社会工程学攻击
社会工程学是利用人类心理弱点而非技术漏洞进行攻击的方法。它是最危险的安全威胁之一，因为再完善的技术防护也无法阻止被骗的用户。
钓鱼邮件识别
钓鱼邮件是最常见的社会工程学攻击方式。
识别特征
发件人地址： - 看似来自知名公司但域名拼写有误（rnicrosoft.com vs microsoft.com） - 使用免费邮箱（gmail.com、outlook.com）冒充企业发件 - 显示名称和实际邮箱地址不匹配
邮件内容： - 制造紧迫感："您的账号将在24小时内被关闭" - 威胁性语言："将采取法律行动" - 过于诱人的承诺："您赢得了iPhone 15" - 拼写和语法错误
链接和附件： - 悬停显示真实URL，看起来可疑 - 短链接隐藏真实目的地 - 要求下载并打开附件
检查示例
可疑邮件检查清单：
☐ 发件人域名是否和声称的公司一致？
☐ 邮件是否有拼写错误？
☐ 是否要求紧急操作？
☐ 是否要求提供密码/验证码？
☐ 链接地址是否可疑？
☑ 如果任一项是，请勿操作
安全行为准则
- 不要点击可疑链接，手动输入网址
- 不要打开不明附件，确认来源后再操作
- 不要泄露敏感信息，合法公司不会邮件索要密码
- 不转发可疑邮件，报告给安全团队
电话诈骗防范
常见手法
- 冒充客服：冒充银行、快递、电商客服索要验证码
- 冒充领导：冒充公司高管要求转账或共享屏幕
- 冒充公检法：声称涉及案件，要求配合调查
- 技术支援诈骗：假称电脑有问题，引导安装远程控制软件
应对原则
- 挂断后通过官方渠道回拨核实
- 任何要求转账、提供验证码的电话都是诈骗
- 银行、公安等机构不会要求安装远程控制软件
- 定期关注最新的诈骗手法通报
社交媒体攻击
信息收集
攻击者通过社交媒体收集目标信息用于定制攻击： - LinkedIn上的职位和公司信息 - 朋友圈/Facebook中的个人信息 - GitHub上的技术栈和项目信息
社交诱骗
- 假冒身份：创建假账号冒充同事、朋友
- 搭讪攻击：通过私信建立信任后套取信息
- 问卷陷阱：以调查为名收集敏感信息
防御建议
- 社交媒体个人信息遵循最小公开原则
- 不接受陌生人的好友请求
- 不参与要求输入敏感信息的在线问卷
安全意识培训
培训内容
年度必修课程： 1. 密码安全与多因素认证 2. 钓鱼邮件识别 3. 数据分类与处理规范 4. 设备安全（锁屏、勿用公共WiFi处理敏感信息）
钓鱼模拟演练
定期进行模拟钓鱼测试： 1. 发送模拟钓鱼邮件给全体员工 2. 记录点击链接或输入密码的员工 3. 为"上钩"员工提供针对性培训 4. 重复演练，追踪改进效果
期望目标： - 首次演练：低于15%点击率 - 半年后：低于5%点击率 - 一年后：低于2%点击率
安全文化建设
- 建立"零责备"文化：报告安全错误不处罚
- 设立安全大使：每个部门的安全联系人
- 定期安全简报：分享最新的安全威胁和趋势
- 安全事故复盘：分析事故原因，改进防御措施
应急响应
当发现社会工程学攻击时： 1. 立即报告安全团队 2. 不要删除相关邮件或信息（作为证据） 3. 如果泄露了密码，立即修改并启用MFA 4. 监控账号异常活动
技术防御固然重要，但人的安全意识才是安全体系中最薄弱的环节。持续的安全教育和意识提升是防御社会工程学攻击最有效的手段。