社交工程攻擊：術語、手法與防範措施

什麼是社交工程攻擊？

 

社交工程攻擊利用人類心理弱點，操控個人洩露敏感資訊、授予未經授權的存取權限，或執行危害安全的行為。

 

社交工程的主要目的是透過利用人類的好奇心、恐懼或信任等心理特質，誘使個人破壞既有的安全防護措施。攻擊者的目標包括存取敏感資料、竊取資金、植入惡意軟件，或干擾企業營運。

社交工程攻擊是如何運作的

 

社交工程攻擊通常會依循以下一連串步驟進行：

 

• 蒐集情報：攻擊者透過社交媒體、線上資料庫及其他公開來源，蒐集目標相關資訊。
• 建立接觸：攻擊者透過溝通建立信任關係，往往假扮成合法人士或具權威身分的人物。
• 操控誘導：受害者被誘騙洩露資訊、點擊惡意連結，或採取其他危害安全的行動。
• 執行攻擊：攻擊者利用取得的資料達成目的，例如竊取金錢、未經授權存取或造成資料外洩。

 

為何社交工程攻擊屢屢得手

 

社交工程之所以成功，是因為它利用了人類的自然行為與心理特質，例如：

 

• 信任與權威：人們往往更容易配合來自權威人士的要求。
• 好奇心與誘惑：誘人的優惠或緊急請求，容易引人上當。
• 恐懼與急迫感：製造緊急情境，促使即使理性的人也做出未經深思的行動。
• 社交常規：根深蒂固的禮貌與助人本能，可能導致安全疏漏。

 

因此，透過操縱人際互動與情緒，社交工程成為網絡安全入侵中極為有效的手法。

 

過去十年的社交工程攻擊案例

 

Twitter 比特幣詐騙（2020 年）

 

黑客對 Twitter 員工發動語音釣魚（Vishing）攻擊，假扮 IT 支援人員，誘使員工提供內部系統的登入憑證。攻擊者利用員工對 IT 人員的信任，並製造需要立即處理的安全問題假象，成功取得 Twitter 內部工具的存取權，並劫持多個高知名度帳戶發佈虛假的比特幣贈送訊息，從不知情的使用者手中詐騙超過 10 萬美元。

 

Ubiquiti Networks 攻擊事件（2015 年）

 

攻擊者使用企業電郵詐騙（BEC）手法，冒充 Ubiquiti 的高層主管發送詐騙電郵，指示員工進行資金轉帳。這些電郵透過網域偽造與精心撰寫的內容，模仿高層的溝通風格，營造出高度真實性與急迫感。員工在不知情的情況下，將 4,670 萬美元轉入海外詐騙帳戶，直到事後才發現受騙。

 

常見的社交工程攻擊類型

 

• 誘餌攻擊（Baiting） — 以誘人的好處引誘受害者上當，例如含有惡意程式的 USB 裝置或假下載連結。
• 企業電郵詐騙（BEC） — 攻擊者冒充高層或可信聯絡人，誘使員工轉帳或洩露機密資訊。
• 網絡釣魚（Phishing） — 透過電郵、假網站或訊息冒充合法機構，竊取憑證或財務資訊。
• 情境捏造（Pretexting） — 攻擊者編造特定情境，誘使受害者洩露敏感資料。
• 魚叉式釣魚（Spear Phishing） — 專門針對特定個人或組織量身打造的高針對性釣魚攻擊。
• 簡訊釣魚（Smishing） — 透過 SMS 進行的釣魚攻擊，以竊取個人資料或散播惡意軟件。
• 恐嚇軟件（Scareware） — 偽裝成安全軟件的惡意程式，誘騙使用者下載。
• 語音釣魚（Vishing） — 透過電話假扮銀行、技術支援等權威單位以竊取資訊。
• 水坑攻擊（Watering Hole Attack） — 入侵目標族群常造訪的網站，藉此感染訪客。
• 尾隨進入（Tailgating／Piggybacking） — 實體社交工程手法，攻擊者跟隨授權人員進入受管制區域。
• 利益交換（Quid Pro Quo） — 以提供協助或好處為交換，誘使受害者交出資訊，常假扮 IT 支援人員。
• 深偽攻擊（Deepfake Attack） — 利用 AI 生成的假音訊、影片或影像冒充他人，誘使受害者轉帳或洩露敏感資訊。

 

如何防範社交工程攻擊

 

• 核實請求來源：在分享敏感資訊前，務必確認對方身分。
• 警惕突如其來的聯絡：對未經請求的電郵、電話或訊息保持懷疑態度。
• 啟用多重要素驗證（MFA）：增加額外防護層，防止未經授權存取。
• 教育員工與使用者：進行資安意識培訓，提升對社交工程手法的辨識能力。
• 強化實體安全：實施門禁卡管制，並避免尾隨進入。
• 導入深偽偵測解決方案：在深偽內容造成傷害前，即時辨識並標記被操控的內容。

 

如何辨識社交工程攻擊

 

• 異常請求：要求緊急提供敏感資訊的電郵或電話。
• 可疑網址與電郵地址：留意拼字錯誤或不尋常的網域。
• 未驗證的附件或連結：點擊前先檢查連結，並掃描附件是否含惡意程式。
• 施壓或恐嚇手法：攻擊者常利用急迫感或恐懼迫使受害者立即行動。

 

若成為社交工程攻擊的受害者，該如何應對

 

• 立即中斷連線：若懷疑感染惡意程式，立刻斷開網絡以防擴散。
• 回報事件：通知 IT 資安團隊或相關單位。
• 更改憑證：更新已洩露的密碼並啟用 MFA。
• 監控財務帳戶：檢查是否有未經授權的交易，並立即回報。
• 加強教育與培訓：檢討並改善安全措施，以防止類似事件再次發生。

 

深入了解這些社交工程手法，對於預防攻擊及提升網絡安全意識至關重要。透過持續學習與保持警覺，個人與組織都能更有效應對不斷演變的網絡威脅。

 

領先一步防禦社交工程威脅

 

透過安信資訊安全的深偽偵測解決方案，保護您的組織免受深偽詐騙侵害，協助團隊驗證通訊內容、識別 AI 生成內容，並在攻擊者得逞前加以阻止。了解更多我們的 深偽偵測解決方案。