在最近的一项研究中，安全专家将社会工程攻击确定为当前网络安全面临的最大隐患。相较于其他黑客手段，社会工程学攻击所用到的专业技术知识少，同时，它又是一种心理操纵形式，主要攻击网络安全最薄弱的环节——人，因此逐渐成为犯罪分子的“软”选择，在大量的网络攻击中都发挥着重要作用。

因此，针对员工的安全意识培训是非常关键的，同时掌握犯罪分子在社会工程攻击策略的各阶段行为更能帮助企业制定有效策略，确保数据安全。

什么是社会工程攻击？

社会工程攻击是一种利用"社会工程学" 来实施的网络攻击行为。
在计算机科学中，社会工程学指的是通过与人的合法交流，传递虚假消息来使其心理受到影响，做出某些动作或者是透露一些机密信息。这通常被认为是一种欺诈他人以收集信息、行骗和入侵计算机系统的行为。

社会工程攻击的常见形式

社会工程攻击正在变得更加复杂，也更加难以察觉。随着我们对网络技术的依赖，犯罪分子利用漏洞的机会也增加了。社会工程学通常以交谈、欺骗、假冒或口语等非技术渗透手段，套取用户信息。

有以下常见的形式手段：

· 网络钓鱼：

这是经典手段，大多数的钓鱼攻击都是伪装成银行、学校、软件公司或政府安全机构等可信服务提供者，要求用户提供相关信息。

· 伪造电子邮件：

攻击者“黑”进一个电子邮件，利用受害者邮箱发送邮件或者链接，要求好友提供信息或进行相关操作。

· 诱饵计划：

利用用户对于某些内容的兴趣，比如最新电影、潮玩、美妆等，进行信息挖掘。

# **社会工程攻击的五个阶段**

1 研究：

犯罪分子通过研究目标对象，收集可以利用的信息，其中可能包括在网上能寻找的公开信息以及进一步的物理监视。

2计划：

当收集了足够的信息，犯罪分子就会开始计划攻击方式，思考使用什么方法来利用目标对象的弱点。

3执行：

犯罪分子开始执行计划，以获得访问目标系统或数据的权限。他们会通过发送钓鱼邮件，植入恶意软件，或使用其他类型的恶意软件。例如，网络中奖、免费赠送等内容的邮件或网页，诱惑用户进入页面，下载程序，或要求填写账户口令，“验证”身份，利用人们疏于防范的心理引诱用户，这通常是社会工程学早已设好的圈套。

4 升级：

如果最初的攻击成功，黑客将尝试升级系统内的特权，以获得进一步的访问权限，可能涉及窃取密码、添加新用户或更改系统配置等操作。

5掩盖：

最后，黑客会通过删除他们活动的证据或加密他们窃取的数据来掩盖他们的踪迹。社会工程攻击是不间断的，企业一方面要保证所有员工都接受了安全意识培训，另一方面需要制定保护措施，能够迅速反应，有效遏制攻击，并防止企业损失。

# **近期社会工程攻击的案例**

1、西北工业大学遭受钓鱼邮件攻击****

2022年4月初，西北工业大学相关人员发现学校电子邮箱系统遭受钓鱼邮件攻击。在本次攻击事件中，黑客通过技术手段构造了与真实邮件十分相似的网站链接，并将伪造的邮件定向发给目标人员。黑客通过以“科研评审、答辩邀请和出国通知”等为主题的钓鱼邮件，内含木马程序，引诱部分师生点击链接，非法获取师生电子邮箱登录权限，致使相关邮件数据被窃取。
整体攻击过程如下：

除此之外，黑客还经常运用鱼叉邮件攻击、水坑攻击、供应链攻击等。黑客手段层出不穷，但并非防不胜防。事前做好防御，做好人员安全意识培训和信息化系统的安全建设尤为重要。

2、大亚圣象企业邮箱被入侵，损失2000余万

2022年9月“地板大王”大亚圣象邮箱系统遭黑客入侵，导致公司损失了 2275.49万元。黑客入侵公司租用的微软公司邮箱系统，伪造假电子邮件冒充该公司管理层成员，伪造供应商文件及邮件路径，实施诈骗。

调查发现，大部分企业都会通过邮箱进行沟通，收发重要邮件。比如，重要行业的机密信息、商务合作。但同时也发现，部分企业在网络安全、数据防护等方面的技术能力都相对脆弱，一旦发生攻击事件，内部响应不及时，导致数据外泄，企业被勒索、敲诈的事件就接踵而来。

在多数情况下攻击是较为隐蔽的，并具有长期潜伏性。黑客会在较长的潜伏期持续窃取数据。尤其是中大型企业需要经常使用邮箱，收发重要邮件。因此，企业用户应采取必要的防护措施。

网络安全面临的最大隐患，能够操纵人心的社会工程攻击是什么？