社会工程攻击利用欺骗和心理操纵，诱使人们泄露敏感信息、转账、打开恶意文件或授予未授权访问。攻击者并非仅依赖技术漏洞，而是利用信任、恐惧、好奇心、紧迫感、权威感以及助人意愿。

常见形式包括网络钓鱼邮件、诈骗电话、短信诈骗、高管冒充、商业电子邮件入侵以及AI生成的语音或视频冒充。此类攻击可影响个人、企业、政府机构、医疗提供方、教育机构以及加密货币用户。

最有效的防御是将安全意识与独立核实、多因素认证（MFA）、严格的访问控制以及清晰的可疑活动报告流程相结合。由于社会工程往往滥用正常的业务流程，验证机制应嵌入支付、账户恢复、访问和数据共享流程中，而非仅依赖个人判断。

什么是社会工程攻击？

社会工程攻击是指试图操纵某人做出危害安全的行为的攻击方式。攻击者可能冒充受信任的人、编造紧急情况、提供诱人的奖励，或创建以假乱真的钓鱼网站，以获取凭据、资金、机密信息或系统访问权限。

与直接利用软件漏洞的传统技术攻击不同，社会工程往往说服受害者自己完成导致失陷的操作。例如，员工可能收到一封看似来自公司财务总监的邮件，要求向新的供应商账户紧急付款。如果员工未经独立核实就照做，即使组织其他系统安全无虞，也可能蒙受资金损失。

社会工程的关键特征

• 利用信任： 攻击者冒充受害者认识或尊重的人。
• 紧迫感： 信息施压使受害者来不及核实事实就采取行动。
• 恐惧： 攻击者以账户封停、法律后果或经济损失相威胁。
• 好奇心： 消息或附件承诺有趣机密或意外的信息。
• 权威： 攻击者自称代表管理层、技术支持、银行或政府机构。
• 操纵性激励： 受害者被许诺金钱、帮助、访问权限或奖励以换取配合。

社会工程可用于窃取凭据、实施金融诈骗、安装恶意软件、促成勒索软件攻击或获取商业机密信息。

10 种社会工程攻击实例

以下示例说明常见手法的运作方式、识别方法以及安全应对措施。

1. 网络钓鱼邮件

网络钓鱼是一种社会工程手法，攻击者发送看似来自合法机构的欺骗性邮件或消息，目的是让收件人点击恶意链接、泄露登录凭据、下载有害附件或提交支付信息。

例如，员工可能收到一封邮件，声称其公司邮箱账户将被停用，除非立即验证密码。邮件中包含一个仿冒公司品牌形象的假登录页面链接。一旦输入凭据，攻击者即可截获并尝试访问真实账户。

警示信号包括：要求验证密码或支付信息的意外请求、模仿但不完全匹配合法域名的发件人地址、指向陌生或拼写错误域名的链接、意外附件、启用宏的请求，以及制造压力或威胁立即产生后果的消息。

为降低风险，应通过可信渠道核实请求，直接访问官方网站而非点击未经请求的链接，并向相关安全团队报告可疑消息。MFA和防钓鱼认证可进一步降低账户失陷风险。

2. 鱼叉式钓鱼与捕鲸攻击

鱼叉式钓鱼是针对特定个人或组织定制的钓鱼攻击。捕鲸攻击是针对高级管理人员或其他高价值目标的定向钓鱼形式。

攻击者可能研究职位头衔、业务关系、公开公告和社交媒体资料，使其消息更具说服力。例如，财务经理可能收到一封看似来自首席财务官的邮件，提及公司近期的一起收购并要求审查一份据称机密的文件。该文件可能导向虚假登录页面，或直接索取敏感信息。

警示信号包括：涉及机密文件的意外请求、提及真实项目却要求异常操作的消息、绕过标准审批流程的要求，以及来自高层的异常指令——即使写作风格看起来真实。

异常请求应独立核实，尤其是涉及凭据、机密数据或付款时。组织应使用审批工作流、基于角色的访问控制，并针对拥有财务或行政权限的员工开展定向安全培训。

3. 短信钓鱼：诈骗短信

短信钓鱼是通过SMS或其他短信渠道进行的网络钓鱼。攻击者可能冒充快递公司、银行、政府机构、电商平台或账户支持团队。

在一种常见场景中，用户收到短信称包裹需支付小额费用才能送达。链接指向虚假支付页面，收集银行卡信息和个人信息。其他消息则声称银行账户已被锁定，或某笔可疑交易需要立即确认。

警示信号包括：意外的配送或账户安全提醒、缩短或陌生的链接、索取密码、银行卡信息或一次性验证码，以及威胁若不立即操作将封锁账户。

不要点击意外的付款链接。应通过服务商官方应用或网站查询配送或账户信息。如果消息声称来自银行，应通过经过验证的电话号码联系银行。

4. 语音钓鱼与电话诈骗

语音钓鱼利用电话或语音消息诱使受害者泄露敏感信息、授权付款或授予账户访问。攻击者可能冒充银行员工、政府官员、技术支持人员或公司高管。一些攻击者使用来电号码伪装，使电话看似来自合法机构。

例如，来电者自称银行欺诈部门，称接收者的账户正遭受攻击，并索取一次性验证码以阻止交易。如果受害者提供验证码，攻击者可能利用其授权账户访问或交易。

警示信号包括：索取密码、一次性验证码或恢复码；施压要求向所谓的安全账户转账；指示安装远程访问软件；威胁、要求保密或绕过正常流程。

接到索取敏感信息的意外来电时应立即挂断，并通过官方联系方式独立联系相关机构。切勿向来电者提供认证码，也不要批准非本人发起的登录。

5. 借口套取与冒充

借口套取是指攻击者编造可信的身份或情境，诱使某人提供信息或执行操作。冒充是建立虚假身份的常用手段。攻击者可能伪装成IT技术员、供应商、审计员、同事、招聘人员或客户。

例如，有人自称内部IT团队成员联系员工，称系统迁移正在进行，要求员工确认登录信息。由于组织确实在进行技术维护，这一说法听起来可信，但来电者身份并未经过核实。

警示信号包括：索取超出其正常职责范围的信息、拒绝接受标准身份核查、熟悉的名字却配以陌生的电话号码或邮箱地址，以及以审计或紧急情况为借口索取机密信息。

应通过独立获取的联系方式确认身份。遵循账户恢复、技术支持和访问申请的既定流程。应鼓励员工质疑异常请求而不必担心受到批评。

6. 商业电子邮件入侵（BEC）

商业电子邮件入侵是一种欺诈形式，攻击者利用被入侵的邮箱账户或逼真的冒充手段操纵商业付款或获取敏感信息。BEC攻击经常针对财务团队、高管、供应商以及负责工资或应付账款的员工。

FBI互联网犯罪投诉中心报告称，2013年10月至2023年12月期间，全球已报告的BEC事件相关风险损失约为555亿美元。这是基于投诉的累计数字，并非年度损失估计，也不能证明每起事件都涉及相同手法。

一个典型例子是应付账款员工收到一封看似来自常规供应商的邮件，称供应商已更换银行账户，并指示将下一笔付款汇至新账户。该邮件可能由被入侵的供应商账户发出，使其与正常往来邮件尤其难以区分。

警示信号包括：供应商银行信息变更、要求紧急或机密转账的意外请求、邮箱地址或域名的细微改动，以及要求对交易保密或绕过正常审批。

应通过先前建立的电话号码或其他可信渠道核实付款信息变更。对大额转账要求独立审批，使用双重授权，并审查付款异常。SPF、DKIM和DMARC等邮件认证技术有助于防范某些形式的邮件伪造，但无法消除冒充或账户被入侵的风险。

7. 诱饵攻击与恶意USB设备

诱饵攻击利用好奇心、金钱激励或获取有用物品的欲望。攻击者可能提供虚假下载、免费软件、奖品或实体设备，导致恶意软件感染或信息窃取。

例如，有人在办公区停车场发现一个标有“机密工资单”的U盘，出于好奇将其连接到工作电脑。如果该设备包含恶意文件或利用设备漏洞，可能使电脑或组织网络面临风险。

警示信号包括：来历不明的U盘或存储设备、宣传为免费高级软件的下载、需要异常权限的意外文件，以及要求关闭安全防护的提议。

切勿将未知存储设备连接到工作或个人电脑。使用经批准的软件来源、终端防护、应用程序控制，以及限制未经批准的可移动质的政策。

8. 尾随入侵与物理社会工程

尾随入侵是指未经授权者跟随授权人员通过安全门禁进入受限区域。攻击者可能伪装成快递员、承包商、访客或忘记带门禁卡的同事。

例如，一名抱着几个箱子的人接近正要进入安全办公区的员工，因双手被占而请求对方帮忙扶住门。如果员工未经核实授权就让其进入，攻击者可能获得对办公室、设备、文件或网络设备的访问权限。

警示信号包括：要求绕过门禁检查的人、无法提供有效身份证件的访客、在受限区域内无人陪同者，以及以礼貌为由要求忽略物理安全流程的请求。

每个人都应遵循相应的门禁流程。员工应礼貌地引导访客前往前台，而非允许未经核实的进入。组织可通过访客登记、门禁卡、安保人员和防尾随控制加强保护。

9. 水源攻击

水源攻击会入侵特定目标群体 likely 会访问的网站或在线资源，目的是通过受害者已信任的网站接触他们。与传统钓鱼攻击不同，攻击者可能无需向受害者发送直接消息。

例如，攻击者可能入侵某个行业内专业人士常用网站。访问者可能遇到试图利用浏览器漏洞或将其重定向到虚假页面的恶意内容。成功的攻击可能泄露敏感信息或为进一步入侵提供途径。

警示信号包括：来自熟悉网站的意外重定向、安全警告或异常浏览器行为、安装陌生软件或浏览器扩展的请求，以及来自通常无需下载的网站的莫名下载。

保持浏览器、操作系统和安全工具更新。使用信誉良好的终端防护，限制不必要的浏览器权限，并调查意外的下载或重定向。网站所有者也应维护其软件，监测未经授权的更改，并及时修复安全漏洞。

10. AI生成冒充与深度伪造

人工智能可帮助攻击者创建逼真的消息、合成语音、篡改图像和高度仿真的视频冒充。这些工具可使社会工程更具说服力，尤其是结合从公开来源收集的信息时。

AI辅助攻击可与网络钓鱼、语音钓鱼、鱼叉式钓鱼和商业电子邮件入侵相互交织。AI是一种可以强化这些现有手法的工具，而非完全独立的攻击类别。

例如，员工一通视频通话，画面显示一位高级管理人员要求进行紧急资金转账。对方声音熟悉并提及公司的真实项目。员工认定请求真实，未走正常审批流程即开始转账。

警示信号包括：在意外来电中提出异常的资金请求、施压绕过正常付款流程、拒绝通过其他渠道核实身份，以及沟通模式的意外变化——即使语音或视频看起来真实。

使用既定的身份验证和付款审批流程。通过单独的可信渠道核实异常请求，并对高风险交易使用约定的内部验证方法。不要仅依赖视觉瑕疵、不自然的语音或其他所谓的深度伪造线索。合成媒介可能非常逼真，而合法的录制内容也可能显得异常。

现实中的社会工程与网络攻击案例

已记录的事件表明，组织必须同时保护其技术和使用者。然而，并非每起重大数据泄露都是已确认的社会工程事件。在评估实际发生的情况以及可以合理汲取的教训时，这一区分很重要。

Target公司：2013年数据泄露

2013年12月，Target披露了影响约4000万张信用卡和借记卡账户的未授权访问。公司后来报告称，多达7000万人的相关信息也被窃取。调查在销售点系统上发现了恶意软件。

该事件经常与第三方安全和供应链风险一起被讨论。然而，存在供应商关系并不意味着初始入侵的每个细节都应被描述为已确认的社会工程手法。

安全教训：组织应限制第三方访问、监测供应商连接、隔离敏感系统，并调查网络中的可疑活动。

索尼影业：2014年网络攻击

2014年11月，索尼影业遭受重大网络攻击，涉及破坏性恶意软件以及专有信息、员工个人信息和机密通信的窃取。FBI于2014年12月公开公布了其调查结果。

该事件说明了网络攻击如何影响业务运营、机密通信、员工隐私和知识产权。组织应维护经过测试的备份、限制特权访问、监测网络、制定事件响应计划，并为重大泄露的业务后果做好准备。

商业电子邮件入侵：已记录的财务损失

商业电子邮件入侵是另一种有充分记录的威胁。FBI报告的BEC投诉累计损失巨大，反映出冒充和欺诈性付款指令可造成重大财务损害。

核心风险不仅仅在于欺诈邮件看似可信，更在于收件人可能拥有转移资金、更改供应商信息或披露敏感信息的权限。

应对付款指令进行独立核实，将付款发起与审批分离，并建立应对异常财务请求的明确流程。

这些事件的共同点

从这些案例中可以得出几条实用的教训：

• 技术控制必须有健全的运营流程支撑。
• 第三方访问应仅限于必要范围。
• 员工需要有简便的可疑活动报告渠道。
• 财务和特权操作应要求适当的验证。
• 事件响应计划应在攻击发生前进行演练。

这些教训比假设每起重大泄露都源于同一种心理伎俩更有价值。

为什么社会工程攻击会得逞？

当攻击者在受害者核实请求之前影响其决策时，社会工程便告成功。以下几种心理因素使这些攻击有效：

• 权威偏差： 人们可能服从自称经理、警察或IT专家的人。
• 紧迫感： 时间压力减少了核实请求合法性的。
• 恐惧： 涉及金钱、就业、法律后果或账户封停的威胁可能引发冲动行为。
• 好奇心： 意外文件、耸人听闻的说法和诱人的提议促使人们点击。
• 信任与熟悉感： 攻击者模仿同事、供应商、朋友或家人。
• 互惠心理： 提供帮助或奖励的人可能期望回报。
• 习惯与分心： 忙碌的员工可能在未执行正常检查的情况下批准请求。

这些因素并不能证明受害者粗心或缺乏智力。社会工程的设计初衷就是利用普通的人类行为，包括信任熟人和应对紧急情况的自然倾向。有效的预防通过将验证机制嵌入日常流程，使安全决策更容易做出。

如何防范社会工程攻击

最佳防御是将个人意识与组织安全控制相结合。培训固然重要，但不应指望员工独自识别每一次高明的冒充企图。

个人防范

• 核实意外请求。 通过已知电话号码、官方应用或独立验证的邮箱地址联系发件人。
• 避免可疑链接和附件。 查询账户或服务时直接访问官方网站。
• 绝不透露认证码。 不要向意外的来电者或消息发送者提供一次性密码、恢复码或密码。
• 启用多因素认证。 有条件时优先使用防钓鱼方法，如通行密钥或硬件安全密钥。
• 使用唯一密码。 信誉良好的密码管理器可帮助为每项服务生成并存储不同的密码。
• 保持软件更新。 为操作系统、浏览器、应用和移动设备安装安全更新。
• 限制公开的个人信息。 避免分享可能使冒充或定向钓鱼更容易的信息。
• 举报可疑消息。 使用相关平台的举报功能，或联系被冒充的机构。

组织防范

组织应将技术防护、清晰流程和定期员工教育相结合。安全演练应以提升韧性为目的，而非羞辱员工。

组织应衡量举报率、响应时间、反复出现的薄弱环节以及纠正措施的有效性，而非仅依赖点击率。如需更广泛的风险管理框架，请参阅 NIST Cybersecurity Framework 和 CISA’s phishing recognition and reporting guidance。

如果中了社会工程骗局该怎么办

如果你点击了可疑链接、泄露了敏感信息、安装了意外软件或进行了转账，请迅速行动。适当的应对取决于泄露了什么。

1. 保护受影响的账户。 通过可信设备更改被泄露的密码，尽可能撤销活动会话，并重置暴露的恢复凭据。如果邮箱可用于重置其他密码，应首先保护邮箱账户。

2. 联系银行或支付提供商。 如涉及资金或支付信息，请立即报告该事件。酌情申请转账撤销、付款拦截或换卡。资金追回并非必然，因此速度至关重要。

3. 报告事件。 通知所在组织的IT或安全团队、被冒充的服务机构，或相关的国家网络犯罪举报机构。保留可疑消息和交易记录。

4. 检查受影响的设备。 如果安装了软件或打开了可疑附件，请联系可信的安全专业人士或所在组织的IT团队。酌情将可能失陷的设备与网络断开，并在评估完成前避免将其用于敏感交易。

5. 监测后续滥用。 审查账户活动、财务对账单、密码重置提醒和身份相关通知。警惕利用已泄露信息进行的后续诈骗。

如果事件涉及加密货币，请立即保护受影响的交易所账户和邮箱账户。如果钱包恢复助记词或私钥已暴露，应将相应钱包视为已失陷，并寻求值得信赖的、针对特定钱包的恢复指导。区块链交易通常不可逆转，任何恢复服务都无法保证被盗资金能够归还。

社会工程统计数据与来源

统计数据有助于解释网络犯罪的规模，但前提是其定义、报告周期和局限性必须清晰。

FBI于2025年4月宣布，其2024年互联网犯罪报告包含859,532起涉嫌互联网犯罪的投诉，报告损失超过160亿美元，较2023年增长33%。这些数字涵盖广义的已报告互联网犯罪，并非仅衡量社会工程损失。

Verizon的 2024 Data Breach Investigations Report 发现，在被分析的社会工程事件中，借口套取占比超过40%，网络钓鱼占31%。这些百分比描述的是该报告分析的事件数据集，并非任何单次钓鱼尝试成功的概率。

FBI的BEC累计数据表明，欺诈性商业通信可能给国内外受害者造成损失。这些数字基于投诉，不应被解读为对全球所有事件的完整统计。

评估社会工程统计数据时，应询问其涵盖哪一年或哪个报告周期、其衡量的是攻击、攻击尝试、事件、已确认泄露、投诉还是财务损失、是全球数据还是仅限于特定国家或行业、来源报告的是实际观察结果还是预测，以及来源披露了哪些局限性。

不应将事件数量、攻击成功率、泄露成本和已报告欺诈损失合并为单一比较。这些指标描述的对象不同，不能直接互换。如需持续研究，请参阅 Verizon Data Breach Investigations Report 和 F IC3 annual reports。发布年度统计数据前，请查阅是否有更新版本。

常见问题

现实中社会工程攻击的例子是什么？

一个常见的例子是诈骗电话：冒充银行员工的人要求客户提供一次性验证码。攻击者可能利用该验证码访问账户或授权交易。安全的应对方式是挂断电话，并通过独立验证的渠道联系银行。

最常见的社会工程攻击类型有哪些？

常见类型包括网络钓鱼、鱼叉式钓鱼、短信钓鱼、语音钓鱼、借口套取、冒充、商业电子邮件入侵、诱饵攻击和尾随入侵。水源攻击和AI生成冒充是可用于接触或欺骗特定目标的额外手法。

网络钓鱼与社会工程有什么区别？

网络钓鱼是社会工程的一种类型，通常利用欺骗性邮件、消息、网站或其他通信手段窃取信息或触发不安全操作。社会工程是更广泛的类别，还包括电话诈骗、物理冒充、欺诈性付款请求和其他形式的操纵。

社会工程攻击如何运作？

攻击者研究目标、编造可信的故事，并利用信任、紧迫感、恐惧、好奇心或权威。然后诱使受害者泄露信息、点击链接、安装软件、批准访问或转账。验证流程和安全控制可以中断这一过程。

为什么社会工程攻击危险？

它们可通过说服合法用户以其自身权限执行操作来绕过某些技术防护。后果可能包括金融诈骗、身份盗用、账户失陷、数据泄露、恶意软件感染、运营中断和声誉损害。

AI如何使社会工程攻击更具说服力？

AI可帮助攻击者生成个性化消息、模仿写作风格、制作合成语音以及创建被篡改的图像或视频。这些能力可使冒充更具说服力，但不能保证攻击成功。独立身份核查和既定审批流程仍然至关重要。

企业如何防范社会工程攻击？

企业应将定期安全培训与MFA、最小权限访问、邮件安全、独立付款核实、供应商管控、事件响应流程和便捷的举报渠道相结合。高风险请求应要求独立于原始消息的验证。

小型企业是否容易受到社会工程攻击？

是的。小型企业可能通过虚假发票、供应商冒充、账户接管企图、欺诈性技术支持和网络钓鱼成为攻击目标。安全资源有限会增加暴露面，因此唯一密码、MFA、付款核实、备份和员工培训等基础控制尤为重要。

如果我不小心点击了钓鱼链接该怎么办？

不要再输入任何信息或下载其他内容。如果提交了凭据，请从可信设备更改受影响账户的密码，并尽可能撤销活动会话。如果安装了软件，请寻求安全协助。举报该消息，并监测相关账户的可疑活动。

如何识别商业电子邮件入侵骗局？

留意意外的付款指令、供应商银行账户变更、来自高管的异常请求，以及绕过既定流程的压力。邮箱地址和写作风格都可能被模仿，因此应通过可信的、单独的沟通渠道核实财务指令。

社交媒体在社会工程中扮演什么角色？

公开资料可透露职位、个人兴趣、业务关系、旅行计划和组织细节。攻击者可能利用这些信息制造可信的冒充企图。应限制不必要的公开披露，并核实意外请求——即使其中提及的是真实的个人或职业细节。

多因素认证能防范社会工程攻击吗？

当密码被盗时，MFA可降低账户被接管的风险，但无法阻止所有社会工程攻击。攻击者可能试图诱骗受害者批准欺诈性登录请求或泄露认证码。防钓鱼认证（如通行密钥或安全密钥）可针对许多凭据钓鱼手法提供更强的保护。

结论

社会工程攻击利用人类的信任和决策机制来获取信息、账户、系统或资金。网络钓鱼邮件、诈骗电话、冒充、商业电子邮件入侵、物理入侵和AI生成欺骗是不同的手法，但都共享同一根本：诱使目标做出不安全的操作。

最强大的防御是将人的意识与实际防护措施相结合。个人应核实意外请求、保护认证凭据并报告可疑活动。组织应执行付款控制、限制访问、保护系统，并让员工能够轻松质疑异常指令。

现实中的网络事件表明，仅靠技术或仅靠培训都不足够。有韧性的安全策略将人员、流程、第三方和技术视为同一防御体系中相互关联的组成部分。

来源：Cryptsy。作者：Ethan Blackburn。