在網(wǎng)絡(luò)安全領(lǐng)域，社會工程學(xué)就是指攻擊者利用“人的因素”這個薄弱點，通過誘導(dǎo)、欺騙的手段獲取到他們想要的信息，從而對目標(biāo)計算機系統(tǒng)進行攻擊。據(jù)IBM發(fā)布的《2022年數(shù)據(jù)泄露成本》報告顯示，以社會工程學(xué)作為初始攻擊的數(shù)據(jù)泄露事件平均損失超過400萬美元。更糟糕的是，社會工程造成的數(shù)據(jù)泄露很難被追蹤和遏制，報告顯示，受害企業(yè)平均要花費約9個月的時間才能發(fā)現(xiàn)并封堵數(shù)據(jù)泄露。

網(wǎng)絡(luò)攻擊者善于操縱受害者的心理來獲得對敏感信息、網(wǎng)絡(luò)或系統(tǒng)的非法訪問，以下收集了5種常見的社會工程攻擊類型和防護方法。

01網(wǎng)絡(luò)釣魚攻擊

網(wǎng)絡(luò)釣魚是最常見的社會工程技術(shù)之一。網(wǎng)絡(luò)犯罪分子發(fā)送貌似來自正規(guī)渠道的電子郵件、短信或私信，誘騙受害者提供敏感信息或點擊惡意鏈接。

防護方法：

• 驗證發(fā)件人的電子郵件地址，查找不一致的地方。
• 謹(jǐn)防不請自來的郵件或信息。
• 將鼠標(biāo)懸停在鏈接上以查看實際的URL，核實后再點擊。
• 使用雙因素身份驗證來保護郵件賬戶。

02虛假冒充攻擊

虛假冒充攻擊是指設(shè)立虛構(gòu)的場景或冒充可信賴的人以欺騙受害者，誘騙對方泄露敏感信息或授予訪問資源的權(quán)限。

防護方法：

• 通過可信賴渠道來驗證聯(lián)系人員的身份。
• 通過電話或互聯(lián)網(wǎng)分享個人信息時須謹(jǐn)慎。
• 培訓(xùn)員工熟悉公司處理敏感信息的規(guī)程。

03誘餌攻擊

誘餌攻擊是指通過獎勵（比如免費軟件或禮物）來引誘受害者，并以此來設(shè)計一個欺詐陷阱，等待潛在的受害者走進陷阱，以非法獲取敏感信息或訪問系統(tǒng)的權(quán)限。

防護方法：

• 警惕各種免費的禮物。
• 僅從可信來源下載軟件。
• 核實任何不請自來的優(yōu)惠或促銷信息。

04Quid Pro Quo（交易交換）

交易交換攻擊是指攻擊者要求受害者提供隱私信息或訪問權(quán)限，以換取某些其所需要的服務(wù)。比如說，攻擊者可能冒充公司IT支持人員，請求受害者提供賬號登錄憑據(jù)以“修復(fù)”某個并不存在的安全問題。

防護方法：

• 對任何信息或訪問權(quán)限的請求進行合法性驗。
• 不同賬戶使用不同的強密碼。
• 在組織內(nèi)實施嚴(yán)格的訪問控制。

05尾隨攻擊

尾隨攻擊是一種物理漏洞利用方式，攻擊者會跟隨他們前面的合法人員進入某些安全區(qū)域，從而繞過門禁卡或生物特征識別掃描器等安全措施。

防護方法：

• 實施嚴(yán)格的訪問控制策略。
• 向員工宣講隨手關(guān)門的重要性。
• 使用安全攝像頭監(jiān)控出入口。

參考鏈接：https://www.vaultree.com/blog/unmasking-social-engineering-attacks-types-and-prevention-techniques/