社会工程学攻击怎么防

多数和安全有关的事故，起点不是漏洞，而是有人被一句「我是IT，帮个忙」绕过去了。钓鱼邮件、假客服、冒充领导要权限，套路不同但节奏很像。这篇按场景拆开讲：哪些请求天然可疑、接到之后先做什么、拿不准找谁核实、事后怎么留证；最后给管理者一份可以拿来内部宣导和演练的清单。

多数和安全有关的事故，起点不是漏洞被攻破，而是有人被一句「我是IT，帮个忙」绕过去了。钓鱼邮件、假客服、冒充领导要权限，这些话术表面不一样，但节奏几乎一致：先亮身份、再制造紧迫感、最后让你做一件平时不该做的事。

这篇不聊高深攻防，只讲普通员工和管理者日常能做的事：哪些请求天然可疑、接到之后按什么顺序处理、拿不准找谁核实、事后怎么留证。看完能直接照着走，而不是记住一堆名词。

先认清套路：社工攻击靠的不是技术

社工攻击的核心是「骗人」而不是「破系统」。攻击者往往不碰任何技术边界，他要的是你主动开门。所以判断标准不在对方用了什么工具，而在这个请求本身是不是破坏了你平时的工作习惯。

• 冒充IT或客服，说你的账号有异常，需要你配合验证
• 伪造领导指令，语气简短、要求立刻执行、强调别声张
• 假招聘、假合作，用简历或合同附件做诱饵
• 快递、账单、发票类通知，诱导你点链接或下载附件
• 以「验证身份」为名，索要短信验证码或登录链接

反过来说，真正走内部工单或审批系统的请求，通常有留痕、有编号、能回查，这类不必按可疑处理。判断的关键是「有没有痕迹、能不能复核」，而不是对方语气像不像领导。

六个信号：出现任意一个就停下来

这六个信号不用全中，出现任意一个就值得停下来多问一句。停下来的成本是几分钟，配合错了的成本可能是一次账号泄露或一笔转账。

不适用的情况也要说清楚：团队内部事先约定好的应急代班流程，已经明确谁有权这么做、走什么口令，这种按约定执行即可，不用一见到「紧急」就当成攻击。

四步核实：慢一分钟比事后解释便宜

1. 离开当前通道不要用对方给的电话、链接或聊天窗口回复。改用你已知的号码或内部通讯录回拨，这一步能挡掉大部分冒充。
2. 走第二条渠道回拨之后仍不确定，就找对方的直属同事或主管问一句。两个独立渠道都确认，再动手。
3. 权限请求走工单让对方在正式工单里留痕，口头和私聊不算数。有编号、有审批链，后面出了问题也能追溯。
4. 拿不准就默认拒绝卡住不丢人。只要事后能说明你在按流程核实，就没有责任问题。

不适用的情况：已发生真实故障需要紧急处置时，可以先用事先约好的口令确认身份，但事后必须补记录。约定口令要提前定，临时想出来的口令等于没有。

员工日常清单：把习惯固定下来

• 账号各用各的，不共用不外借，离座锁屏，公共电脑不保存密码
• 邮箱和重要系统开二次验证，验证码任何时候都不转发、不口述
• 收到附件或链接先看扩展名和域名，不明来路的先不点，或放到隔离环境再打开
• 每周花几分钟清一遍登录设备和授权应用，把不认识的踢掉
• 把可疑邮件和聊天记录留一份，别急着删，上报时用得上

不适用的情况：公司统一采购的密码管理器和单点登录会改变具体操作细节，以内部指引为准。但「验证码不转告任何人」这条没有例外。

想知道常见攻击手法的更新情况，可以到站内的安全与工具目录翻一翻，那里按类别整理了相关工具和说明：/tools。

管理者这边：让流程比人情更好使

对普通员工讲防范，重点在识别；对管理者，重点在把「必须核实」变成制度，让员工拒绝可疑请求时不需要看人脸色。靠人情的团队，最容易在冒充领导这一步失守。

定期做一次内部演练，比如发一封自制测试钓鱼邮件，只看整体点击率，不点名批评。目的是让大家在真遇到时有个印象，而不是制造互相猜疑。

• 新人，以及常接触财务、客服、招聘的岗位要单独过一遍，这些岗位最容易被盯上
• 留一条低门槛的上报通道，让误点了的员工也敢第一时间说
• 演练之后简单复盘：哪一步卡住了、流程哪里不好用，比强调「要小心」有用
• 把双人确认的清单贴在财务和运维看得见的地方，别只放在内网深处

不适用的情况：团队人数很少、所有事都当面沟通时，形式可以简化，但双人确认这条不能省。人数少不代表没人冒充，反而更容易因为「都是熟人」而放松。

安全流程的价值，是让员工拒绝一个可疑请求时不需要犹豫，也不需要担心得罪谁。