骗子现在很少硬闯系统了。工程攻击他们直接找你要密码。有手这就是工程攻击社会工程攻击——绕过防火墙，直接攻击人。有手去年一家公司的工程攻击财务收到“CEO”的邮件，要求紧急转账。有手邮件语气、工程攻击签名、有手甚至标点习惯都模仿得一模一样。工程攻击财务转了87万。有手后来发现，工程攻击那个邮箱地址只差一个字母：ceo@company.com 变成了 ceo@cornpany.com。有手这种手法叫“钓鱼”，工程攻击但只是有手冰山一角。

最常用的工程攻击手段是 pretexting（借口构建）。攻击者编一个可信的身份或场景，让你主动交出信息。比如打电话给客服：“我是IT部的，正在排查网络故障，需要你登录一下VPN测试。”对方一登录，攻击者就拿到了凭证。我见过一个案例，攻击者冒充疾控中心人员，打电话给医院前台：“你们科室有人新冠阳性，需要立刻提供所有员工名单和联系方式。”前台慌了，直接发了Excel。信息泄露不是因为技术漏洞，是因为人怕担责任。

诱饵（Baiting） 更直接。U盘丢在停车场、公司厕所、甚至会议室桌上。标着“工资表”或“2024裁员名单”。有人捡到插进电脑，恶意软件就装上了。美国能源部做过测试，丢20个U盘，15个被插。不是员工傻，是好奇心加恐惧。你看到“裁员名单”四个字，手指比脑子快。

尾随（Tailgating） 不需要任何技术。攻击者抱着一摞文件，站在公司门禁前。你刷卡进门，他紧跟其后。“忘带卡了，帮我扶下门。”十次有八次能进去。我亲眼见过一个渗透测试员，穿快递服，拿个空箱子，半小时进了三家公司的机房。保安还帮他开门。

冒充技术支持 是电话版的老套路。但升级了。现在他们先发一封邮件：“您的账户异常登录，请点击链接验证。”你点了，是个假登录页。输入密码后，页面跳转到一个“正在修复”的进度条。同时，攻击者用你的密码登录真系统，改掉绑定邮箱。等你发现，账号已经没了。这叫“中间人钓鱼”，页面做得比真的还真。

还有 情感操纵 。攻击者花几周甚至几个月，在社交媒体上和你互动。点赞、评论、私信聊爱好。等你觉得他是“朋友”了，再开口：“帮我收个验证码，我手机坏了。”你发了。那个验证码是重置你公司邮箱的。LinkedIn上这种“杀猪盘”式社工越来越多。不是骗钱，是骗权限。

最防不住的是 内部威胁 。不是所有员工都忠诚。有人被收买，有人被威胁，有人单纯想报复。一个前运维，离职前在系统里留了后门。三个月后回来，用旧账号删了数据库。他说：“他们裁员没给赔偿。”社会工程不总是外部攻击，有时候就是身边人。

这些手段有个共同点：利用人性。恐惧、好奇、贪婪、善良、懒惰。技术防御再强，人一慌，全白搭。我见过最离谱的案例：攻击者打电话给CEO，说“你儿子在我手上”，CEO直接报了银行卡密码。后来发现他儿子在隔壁房间打游戏。不是CEO蠢，是那一刻他脑子空白了。

防社工，培训有用，但别指望培训能解决所有问题。流程比人可靠。比如：转账必须双人复核，U盘禁止插内网，门禁必须一人一刷。还有，别在社交媒体上晒工牌、晒工位、晒公司内部系统截图。你晒的每一张图，都是攻击者的拼图碎片。

最后说个真事。某大厂安全团队做钓鱼测试，发了一封“年终奖发放通知”的邮件。点击率92%。连安全团队自己的人都点了。事后复盘，一个工程师说：“我知道是假的，但我就是想看看发多少钱。”社会工程攻击从来不缺猎物。缺的只是合适的诱饵。

(责任编辑：综合)