社会工程学（Social Engineering）

社会工程学（Social Engineering）是指在信息安全语境下，通过操纵人的心理和信任，诱使目标泄露机密信息或做出不安全操作的攻击手法，俗称「社工」。

概述

与直接攻破软件漏洞不同，社会工程学攻击的对象是「人」这个环节。攻击者会冒充同事、客服、领导或权威机构，利用人们乐于助人、服从权威、害怕麻烦或贪图便宜的心理，一步步骗取密码、验证码、内部资料，甚至让对方主动打开恶意文件、放行门禁。安全圈常说「人是安全链条中最薄弱的一环」，说的正是这类攻击。

需要注意的是，它与社会科学里研究社会改造的「社会工程」不是一回事：信息安全中的社会工程学本质上是一种信任骗局，目的是收集情报、实施欺诈或作为入侵系统的前置步骤，在现实中常与电信诈骗、商业间谍活动交织，属于违法行为。渗透测试人员也会在获得授权的前提下模拟这类攻击，以检验企业的安全意识。

常见手法

• 网络钓鱼（Phishing）：伪造邮件、短信或仿冒网站，骗取账号密码，是最普遍的形式。
• 假托（Pretexting）：编造身份和剧本，如冒充 IT 支持或银行客服，套取敏感信息。
• 诱饵（Baiting）：投放带恶意程序的 U 盘、假破解软件等，引诱目标主动上钩。
• 尾随（Tailgating）：跟随员工混入门禁区域，实施物理入侵。
• 电话诈骗（Vishing）：通过电话施加紧迫感，如今还可能配合 AI 换脸、语音克隆增强欺骗性。

如何防范

防范社会工程学的核心是建立验证习惯：凡涉及转账、密码、验证码的请求，一律通过另一渠道向本人核实；不点击来源不明的链接和附件；对「紧急」「保密」「限时」类话术保持警惕。企业层面则应定期开展安全意识培训与模拟钓鱼演练，配合多因素认证、最小权限等技术措施，降低单点失误造成的损失。

常见问题

问：社会工程学攻击需要很高的技术水平吗？答：不一定。它主要依赖话术、剧本和对人性的把握，很多攻击几乎不涉及代码，这也是它门槛低、危害广的原因。

问：社工和网络钓鱼是什么关系？答：网络钓鱼是社会工程学最常见的一种具体形式；社会工程学是更大的范畴，还包括电话诈骗、假冒身份、物理尾随等手段。

问：普通人如何判断自己是否遇到了社工攻击？答：留意三个信号：对方制造紧迫感、索要密码或验证码、要求绕过正常流程。遇到任一情况，先停下来通过官方渠道核实身份。