社會工程攻擊透過操縱手段誘使人們洩漏資訊或授予存取權限。它針對的是人性，而非技術。攻擊者會建立信任、製造緊迫感，並利用人們樂於助人的心理。例如，有人冒充IT人員打電話，有人冒充高階主管發送電子郵件要求匯款，還有人拿著寫字板，巧舌如簧地繞過前台。手法多種多樣，但目標卻如出一轍：誘使目標做出不該做的事。

社會工程攻擊之所以有效，是因為它能繞過技術控制。防火牆無法阻止客服人員為看似合法的人重設密碼。 2020 年的 Twitter 駭客事件就利用了電話社交工程手段，誘騙員工交出帳號憑證。攻擊者隨後控制了多個知名帳號，並發布了比特幣詐騙訊息。 FBI 稱之為一次有組織的社交工程攻擊。防禦始於提高安全意識，但僅僅提高意識是不夠的。流程更為重要。透過獨立管道驗證身份。要求對敏感操作進行審批。限制任何個人的權限。目標是讓謊言更難得逞。培訓固然重要，但完善的流程能彌補培訓的不足。

常見的社會工程技巧

• 網路釣魚－基於電子郵件的欺騙行為
• 語音釣魚－語音電話詐騙
• 預設情境－捏造的場景
• 誘餌－提供誘人的優惠，例如免費的USB隨身碟
• 尾隨－尾隨他人進入安全區域

社會工程利用的是信任。防禦的關鍵在於核實，而不是懷疑。