社会工程是一种依赖社会线索而非数字线索的骗局。骗子利用对您的业务、员工、项目等信息的深入了解，说服您重置密码或批准付款。他们通常会将这些信息与紧迫感相结合，促使您迅速做出决定。

任何警示清单都无法让人对此做好准备，因为这种操纵并非通过技术发生，而是在人做决定的那一刻发生在大脑之中。

我们已经从基础层面介绍过社会工程是什么：定义、常见攻击类别，以及基于操纵的攻击与纯技术攻击的大致运作机制。至于如何构建有效的安全意识计划、如何安排培训结构、设定节奏并衡量成效，则是我们另行撰写的独立主题。

本文介于两者之间。它既不是定义介绍，也不是计划设计，而是探讨员工培训中实际需要包含的内容：攻击者所依赖的心理机制，以及当一个人身临其境（而非在幻灯片上阅读）时，真正的抵御是什么样子。

社会工程为何有效：六个杠杆，一个盲点

社会工程得逞并非因为员工粗心，而是因为它借用了人脑每天用来快速应对日常决策的快捷方式，然后将这些快捷方式指向错误的目标。Robert Cialdini 的说服力研究在几十年前就识别出了其中七种捷径，其中六种几乎可以概括企业会遇到的所有社会工程攻击：

  • 互惠
  • 稀缺
  • 权威
  • 一致性
  • 社会认同
  • 统一性

权威

骗子最常利用权威。对于看似来自高管、IT 管理员或监管机构、供应商等外部机构的请求，人们往往会更快照办，而不去核实该权威是否属实。

紧迫感

紧迫感会加剧这种效应：截止期限、被锁定的帐户，或一笔必须在银行关闭前付出的款项，都会促使人们采取行动而放弃核实，因为暂停检查似乎可能正好引发攻击者所威胁的那个问题。

稀缺

稀缺以另一种伪装发挥着同样的作用：限时优惠、一次性访问窗口，或暗示犹豫就会错失机会的消息。

社会认同

社会认同让人相信某个请求是正当的，因为其他人显然已经照办，比如“财务部的其他人都已经批准了”，或者一个看起来像真实内部会话的话题串。好感原理则利用融洽关系：一个友好、善于恭维或看似熟悉办公室文化的攻击者，仅凭相处起来令人愉快就能降低目标的戒备。

互惠

互惠是六种手段中最不动声色的：先给予一个小恩惠、一条看似有用的信息或一句赞美，从而制造一种轻微的、往往是无意识的回报义务感。

这些杠杆都不复杂。它们正是让日常工作合作得以实现的本能。任何运用了其中一种或多种原理的请求，看起来都像是一个正常、略带紧迫的请求，也正是人们在职业生涯中一直被训练要迅速、热心回应的那种请求。

员工在企业环境中实际会遇到的攻击

大多数组织都侧重于反网络钓鱼措施，我们也撰文介绍过如何防御网络钓鱼攻击。但止步于电子邮件的社会工程培训，会让员工错过他们实际面临的大部分威胁，在办公室或混合办公环境中尤其如此，因为电话、来访者和实体访问仍是日常工作的一部分。

语音网络钓鱼（Vishing）

语音网络钓鱼，即vishing，依靠伪造的电话或语音留言。来电者可能冒充 IT 支持，要求某人在系统更新前确认其密码；或冒充银行核实一笔交易；或冒充快递员，声称需要一个一次性代码才能完成投递。

真实的声音带有文本无法逼真伪造的紧迫感和权威感，这正是它即使对自认为对网络钓鱼电子邮件保持警惕的人也依然有效的原因。攻击者还越来越多地使用语音克隆工具模仿真实同事或高管的语音，英国国家网络安全中心（NCSC）已将此标记为对个人和组织都在不断增长的风险。我们也撰文介绍过深度伪造防范。

借口套取（Pretexting）

借口套取是指编造一个故事，攻击者随后利用这个故事为异常请求提供正当理由。他们可能冒充需要帐户详细信息才能设置付款的新供应商、索取访问日志的审计人员，或请 HR 联系人为背景调查确认个人信息的求职者。

这些情景往往由零星的公开信息拼凑而成，例如将一个职位头衔和一个供应商名称拼接在一起，听起来煞有介事。

诱饵攻击（Baiting）

诱饵攻击会提供员工想要的东西：免费资源、印有品牌标志的 USB 闪存盘或硬盘、标题为“第三季度薪酬评估”的文档，以换取会危及设备或帐户的操作。它之所以有效，是因为它不像网络钓鱼电子邮件那样索取信任，而是依靠好奇心来说服人。

尾随（Tailgating）

尾随（也称为搭尾随行）是本列表中唯一与屏幕无关的攻击。攻击者会尾随员工通过门禁门，往往抱着箱子、穿着看似制服的服装，或者干脆掐准时机，在为他人扶住门是礼貌之举的那一刻靠近。它直接利用职场礼貌，这就是为什么完全围绕收件箱构建的安全计划往往会忽视实体安全培训。

抵御社会工程攻击实际上是什么样子

单纯告诉员工“要多疑”在真正的压力面前站不住脚。怀疑是一种感觉，而攻击者恰恰是想压制这种感觉。培训需要用具体、可重复的行为取代这种模糊的指令，这些行为不应依赖于当事人在当下察觉自己正被操纵。

始终核实

通过单独渠道进行核实是企业可以建立的最有用的习惯。如果请求通过电子邮件到达，应通过电话或当面确认，使用档案中已有的电话号码或联系方式，而不是消息本身提供的号码。仅这一项行为就能挫败很大一部分冒充企图，无论最初的接触多么令人信服，因为它剥夺了攻击者对核实环节的控制。

放慢速度

紧迫感应被视为放慢速度的信号，而不是跳过某个步骤的理由。应培训员工注意请求何时促使他们为了速度而放弃流程，因为这种压力很少是偶然的。真正紧急的正当请求可以经受住两分钟的核实电话；经受不住这种延迟的请求，无论看似来自谁，都应受到怀疑。

获取确认

涉及财务和凭证的请求应将第二个人的确认作为标准做法，而不是只针对大额交易的例外。这消除了攻击者在孤立单个员工并要求其独自行动时所依赖的社会压力，也为该员工提供了一种直接、无可指责的方式说“让我找别人核实一下”，而不会显得不愿帮忙或不信任对方。

上报未遂事件

未遂事件的上报可以形成闭环。员工如果已执行了请求的一部分、犹豫过但最终妥协，或事后意识到有什么不对劲，都应被鼓励上报，即使为时已晚，即使表面上没有造成任何损失。这些上报往往是一个企业收到自己正被盯上的最早预警，而只有在上报不带有尴尬或指责的文化中，这些信息才会浮现出来。

一旦钱款或数据真的流出，同样的本能也适用：Action Fraud（新窗口） 是英国全国欺诈和网络犯罪举报中心，它存在的原因就在于事件被上报得越早，对同样遭受该模式攻击的其他人就越有用。

为什么幻灯片无法建立抵御能力，而模拟演练可以

阅读这六种说服杠杆对了解背景有用，但它不会改变一个人在真正压力下的行为，正如阅读消防演习材料无法让人做好寻找最近出口的准备。抵御操纵是一种需要练习的技能，而不是从幻灯片里记住的事实，这就是为什么最有效的社会工程培训依赖模拟演练而非单纯的讲授。

有效的模拟演练让员工经历他们实际会面对的压力的真实版本：一通要求更改帐户信息的模拟供应商来电、一个自称经理的人发出的虚构紧急请求，或一个要求通过安全门的假扮访客，然后给予即时、具体的反馈，而不是通过/不通过的分数。

其目标是让员工在安全的环境中体验压力时刻，察觉被利用的是哪个杠杆，并在真正关键时刻到来之前建立暂停并核实的本能。

难度应逐步提升，情景应反映真实角色。财务人员面对的借口与前台人员不同，练习最后应进行复盘，解释所使用的机制，而不仅仅是告知当事人是否通过。

如果做得好，模拟演练能把这六种心理杠杆转化为员工能够理解和辨识的概念，而这正是旨在课堂之外依然有效的培训的全部意义所在。

培训人，而不只是培训策略

社会工程之所以得逞，是因为它瞄准了那些让日常团队协作成为可能的本能：对权威的信任、对紧迫感的即时反应、质疑看似职位高或友善之人时的不安。只定义这些攻击或罗列其类别的培训，会让员工和从前一样毫无防护，因为认出一个定义和识别一次真实发生的操纵尝试是完全不同的技能。

一套课程如果能点明这六种心理杠杆，逐步讲解语音网络钓鱼、借口套取、诱饵攻击和尾随在工作场所环境中的实际表现形式，并为员工提供具体、经过演练的行为（单独渠道核实、把紧迫感视为危险信号而非截止期限、引入第二个人、连未遂事件也上报），就能给人们一些在压力之下真正用得上的东西。

通过模拟演练而非幻灯片加以强化，并以唯一密码和 MFA 作为后盾来限制成功攻击所能触及的范围——正是这种组合将意识转化为抵御能力。

这些都无法替代构建培训计划本身的工作：节奏、结构、重复频率、如何衡量成效。这是我们的配套指南《构建安全意识计划》所涵盖的内容。这里要讲的是计划之下的那一层：员工实际面对的心理攻势，以及当压力从假设变为现实时依然站得住脚的具体、经过演练的习惯。

一个能够在说服策略正被用于自己身上时将其点破、并确切知道行动前应致电哪位第二个人的团队，从根本上比一个只是被叮嘱保持警惕的团队更难被攻破。这正是这类培训能够弥合的差距。

凭证的关联：为什么失误之后遏制依然重要

培训能降低社会工程得手的频率，但无法把这个数字降到零。以此为目标的计划注定会失败。总有人会在某个时刻在电话中交出密码、点击伪造的登录页面，或确认本不该确认的详细信息。彼时限制损失的不是意识，而是在电话开始之前就已到位的访问控制。

通过社会工程获取的凭证，如果是某个单一服务独有的并受多重身份验证（MFA）保护，对攻击者的用处就会大打折扣。唯一密码可防止一个已泄露的凭证被重复用于访问其他服务，而 MFA 可以防止仅凭被窃取的密码就能访问其所属的帐户。

这与我们在《构建强大的工作场所安全文化》指南和创建稳健的密码策略指南中介绍的遏制逻辑相同，值得在此重申，因为社会工程和密码卫生通常被视为两个独立的问题，而实际上它们是同一次攻击的两个阶段。

像 Proton Pass for Business 这样的企业密码管理器让这种遏制在大规模下得以切实维持，而不是依赖于个别员工记得遵守策略。

当凭证通过受管理的密码保险库进行存储、生成和安全分享，而不是依赖记忆、浏览器或电子表格时，一次成功的社会工程攻击就不再成为进入员工接触的每个系统的途径。

Proton Pass for Business 让凭证管理对每个团队成员而言都变得轻松，而不仅仅是您的 IT 团队：

使用安全的企业密码管理器，降低团队面临社会工程攻击的风险。