2011年，工程RSA Security公司被攻破。学攻攻击者没有破解任何加密算法，工程也没有找到系统漏洞。学攻他们只是工程给RSA的一个低级别员工发了一封邮件，附件是学攻个Excel表格，标题写着"2011年招聘计划"。工程那个员工打开了它。学攻后面的工程事，就是学攻SecurID令牌种子数据被窃取，RSA母公司EMC损失超过3亿美元。工程

这就是学攻社会工程学攻击。它瞄准的工程不是机器，是学攻人。技术手段再硬，工程也架不住有人愿意主动把门打开。

钓鱼：最古老也最有效

钓鱼邮件到今天依然是主力。但别想成那种"尼日利亚王子"的粗制滥造——现代钓鱼的仿真度极高。攻击者会花几周时间研究目标的社交媒体，知道你在哪个部门、最近在跟什么项目、你的上级叫什么名字。然后一封"来自上级"的邮件发过来，措辞、语气、签名档都对得上，附一个链接。你点还是不点？

变体还有鱼叉式钓鱼（针对特定个人）、鲸钓（针对高管）、短信钓鱼（smishing）和语音钓鱼（vishing）。2020年Twitter被黑那次，攻击者就是打电话冒充IT支持人员，骗到了内部管理工具的访问权限。十七岁的少年，一部电话，拿下了奥巴马和马斯克的账号。

pretexting：编一个让你信的身份

Pretexting是构造一个虚假场景，让你在不知情的情况下交出信息。经典操作：打电话给公司前台，说自己是总部IT部门的，正在处理一个紧急故障，需要你报一下你的登录凭证来"验证系统"。

2006年，惠普公司就卷入过pretexting丑闻——他们雇佣私家侦探冒充记者和股东，骗取电话公司记录，获取董事会成员和记者的通话清单。这事闹到了国会听证会。

这种攻击的核心不是技术，是剧本。剧本写得好，目标会自己说服自己。

尾随与冒充：物理世界的社会工程

你见过那种场景吗？一个人双手抱着纸箱，站在公司安全门外，等有人刷卡出来时顺势进去。保安看到了，但不好意思拦——万一他是新来的同事呢？

这叫tailgating。配合伪造工牌、穿快递员制服、拿个梯子装维修工，成功率更高。2013年，一名安全研究员用这招混进了美国多个核电站的办公区域。他没带任何黑客工具，只带了一个折叠梯和一件反光背心。

诱饵与交换条件

在停车场丢几个 infected 的U盘，上面贴着"工资表"或"裁员名单"。总有人捡起来插进电脑。这个套路老到掉牙，但每次演练都有15%到20%的命中率。

另一种是baiting的线上版：弹窗广告说"恭喜你中了iPhone"，点进去就是恶意软件。或者伪装成盗版软件下载站，种子文件里夹带后门。

Quid Pro Quo：我给你好处，你给我信息

攻击者冒充IT支持，给公司一百个员工打电话，说"我们在做系统升级，需要你配合改一下密码"。大部分人挂掉，但总有几个正好电脑有问题的人会当真。一旦有人上钩，攻击者就"帮"他解决问题，顺便拿到凭证。

这种攻击利用的是互惠心理。别人帮了你，你总觉得该回报点什么。

还有一类：你根本不知道自己在泄露

攻击者翻你的LinkedIn、微博、朋友圈，拼凑出你的工作内容、同事关系、常用术语。然后冒充你给同事发消息："我手机丢了，这是新号，帮我收个验证码。"同事一看头像和说话方式都对，就发了。

这叫OSINT驱动的社会工程。信息是你自己公开发布的，攻击者只是比你更会利用它。

社会工程学攻击的清单可以列很长，但底层逻辑就一条：绕过技术，直接跟人打交道。防火墙挡得住端口扫描，挡不住一个愿意帮忙的人。你可以在每台机器上装EDR，但你没法给每个人的善意装补丁。

RSA那件事之后，他们的安全团队做了一次复盘。结论是：那个员工没有违反任何规定。他收到的邮件看起来完全正常。问题在于，整个公司没有人教过他——"正常"本身就可以是武器。

(责任编辑：休闲)