在许多人担心病毒、恶意软件和黑客的同时，人们往往忘记了最大的漏洞在于我们自己：人类。
社会工程学以心理操纵为基础，诱骗你泄露机密信息或采取危害公司安全的行动。
什么是社会工程学，如何识别？
社会工程学并非新生事物，但它随着技术的发展而不断演变。
想象一下，一个黑客不需要破解代码或侵入系统。相反，他或她会操纵公司员工来获取敏感信息。
这种方法利用的是自信、好奇甚至恐惧。
当有人要求您提供敏感信息或以虚假借口邀请您点击可疑链接时，您就能识别社交工程企图。
钓鱼电子邮件、诈骗电话和社交媒体帖子是常见的方法。
为了保护您自己和您的公司，必须时刻保持警惕，随时核实信息请求，在不能完全确定请求者真实性的情况下，绝不共享敏感数据。
公司漏洞案例
- 针对员工的网络钓鱼一家大型公司遭到攻击，一名黑客冒充 IT 总监向几名员工发送了一封电子邮件。邮件要求员工在一个虚假网站上更改密码，黑客由此访问了该公司的账户。
- 网络钓鱼攻击在另一家公司，一名黑客冒充该公司的固定供应商，要求更改付款银行账户。该公司在意识到欺诈行为之前向黑客的账户转入了一大笔钱。
- 通过社交网络实施社交工程一名员工在社交媒体上分享了他的工作细节和他使用的系统。一名黑客利用这些信息欺骗了公司的技术支持部门，并获得了该员工的账户访问权限。
公司防范社交工程攻击的成功案例
1. 通过提高工作人员的认识阻止了网络钓鱼企图
黑客的尝试 一伙网络犯罪分子试图通过向几名员工发送网络钓鱼电子邮件来攻击一家金融服务公司。这些电子邮件看似来自公司的首席财务官，要求员工在一个模仿公司登录页面的网站上输入他们的凭据。其目的是获取对员工账户的访问权限并入侵内部系统。
他们是如何避免的？ 由于正在开展网络安全培训计划，其中一名员工发现了这封可疑的电子邮件。他没有点击链接，而是通知了公司的安全团队。该团队分析了这封电子邮件，确认这是一次网络钓鱼尝试。随后，他们向整个组织发出警报，并加强了安全措施，防止了攻击的得逞。
2. 通过严格验证防止冒名顶替
黑客的尝试 在另一个案例中，一名黑客冒充一家制造公司的固定供应商，向应付账款部门发送电子邮件，要求更改付款的银行账户。黑客的计划是将大量资金转移到他们控制的账户。
他们是如何避免的？ 公司政策规定，任何更改付款信息的请求都必须通过直接致电供应商进行核实。应付账款部门在尝试核实该请求时，联系了实际供应商，但该供应商否认提出过更改请求。这引起了警觉，冒名顶替的企图在转账之前就被挫败了。
3.通过社交媒体实施的社会工程因主动监测而中断
黑客的尝试 在一次渗透尝试中，黑客通过一家技术公司员工的社交网络确定了他的身份。然后，他们利用该员工发布的信息创建了一个虚假的个人资料，并假冒他的身份。他们计划联系该公司的技术支持部门，要求重置密码，并声称存在访问问题。
他们是如何避免的？ 该公司建立了一个积极主动的社交媒体监控系统，旨在检测与社交工程相关的潜在安全风险。在发现创建虚假个人资料后，安全团队立即采取行动保护员工的账户，并将这一恶作剧企图通知技术支持人员。结果，黑客没有访问任何账户，公司的安全保持完好。
这些案例表明，准备工作、培训和明确的政策可以在防止社交工程攻击成功方面发挥重要作用。关键是要保持警惕，并始终制定强有力的安全协议。
摘要
社会工程学是一项复杂的挑战，因为它并不依赖技术，而是依靠人为操纵。公司必须教育员工识别潜在攻击的迹象，并建立处理信息请求的明确程序。意识、培训和安全协议的结合可能是防范这些威胁的关键。
