道德駭客 - 社會工程學

讓我們透過一些例子來了解社會工程學攻擊的概念。

示例 1

您可能注意到舊的公司檔案被當作垃圾扔進垃圾桶。這些檔案可能包含敏感資訊，例如姓名、電話號碼、賬戶號碼、社會安全號碼、地址等。許多公司仍在傳真機中使用複寫紙，並且一旦捲紙用完，其複寫紙就會進入垃圾桶，其中可能包含敏感資料的痕跡。雖然聽起來不太可能，但攻擊者可以透過翻找垃圾很容易地從公司垃圾箱中檢索資訊。

示例 2

攻擊者可能會與公司員工交朋友，並在一段時間內與他建立良好的關係。這種關係可以透過社交網路、聊天室線上建立，或者在咖啡桌、遊樂場或任何其他方式線下建立。攻擊者取得了辦公室員工的信任，最終在沒有引起任何懷疑的情況下挖出了所需的敏感資訊。

示例 3

社會工程師可能會偽造身份證件，或者簡單地透過讓員工相信他在公司中的職位，來假裝自己是員工、有效使用者或 VIP。此類攻擊者可以獲得對限制區域的物理訪問許可權，從而為進一步的攻擊提供機會。

示例 4

在大多數情況下，攻擊者可能就在你身邊，在你輸入敏感資訊（如使用者 ID 和密碼、賬戶 PIN 等）時進行**窺探**。

網路釣魚攻擊

網路釣魚攻擊是一種基於計算機的社會工程學，攻擊者會製作看起來合法的電子郵件。此類電子郵件的外觀和感覺與從原始網站收到的電子郵件相同，但它們可能包含指向偽造網站的連結。如果您不夠聰明，則會輸入您的使用者 ID 和密碼並嘗試登入，這將導致失敗，此時攻擊者將擁有您的 ID 和密碼來攻擊您的原始賬戶。

快速解決方法

• 您應該在您的組織中實施良好的安全策略，並進行必要的培訓，使所有員工瞭解可能的社會工程學攻擊及其後果。

• 檔案粉碎應成為您公司的一項強制性活動。

• 務必確保您在電子郵件中收到的任何連結都來自真實來源，並且它們指向正確的網站。否則，您最終可能會成為網路釣魚的受害者。

• 要專業，在任何情況下都不要與任何人共享您的 ID 和密碼。