最坚固的密码，最先进的加密，最严格的防火墙——这些在社会工程学面前可能都不堪一击。因为最薄弱的环节，永远是人。
什么是社会工程学？
社会工程学（Social Engineering）是一种利用人性弱点来获取敏感信息的艺术。攻击者不直接黑进系统，而是通过欺骗、操纵目标人员来获取密码、访问权限或其他敏感数据。
经典电影《战争游戏》里，小黑客大卫·莱特曼通过给发电厂员工打电话，谎称是公司IT部门，轻松拿到了内部系统的密码。这不是编造——现实中这种攻击方式成功率极高。
钓鱼攻击：最常见的社会工程手段
钓鱼（Phishing）可能是所有人最熟悉的社会工程攻击形式。攻击者伪装成可信任的实体——银行、快递公司、甚至是你的老板——发送欺骗性的邮件、短信或即时消息。
邮件钓鱼你可能见过：你收到一封"银行"发来的邮件，说你的账户有异常登录，让你点击链接"核实"。链接点进去是个假网站，看起来和真银行一模一样，你输入了用户名密码——完了，密码直接到了攻击者手里。
短信钓鱼（Smishing）这几年也很猖狂。快递签收通知、ETC异常、医保卡冻结……这些和日常生活绑定的场景特别容易让人放松警惕。
语音钓鱼（Vishing）更直接——攻击者直接打电话过来，自称是某公司客服，说你的账户有问题需要立即验证。配合心理压力，很多人会当场把密码交出去。
借口攻击：精心编织的谎言
借口（Pretexting）是社会工程学的另一个核心技巧。攻击者会提前构建一个可信的场景——比如新来的IT管理员需要核实员工账户、调查记者在做选题、甚至是你的同事忘了带门禁卡。
2016年的好莱坞事件还历历在目：黑客冒充FBI局长科米的妻子，通过社会工程手段获取了他的个人Gmail邮箱密码。堂堂FBI局长的密码，就这样被人钓走了。
诱饵攻击：贪小便宜吃大亏
"免费U盘"的经典场景你应该听过：攻击者在停车场或大厅丢下一个U盘，上面贴着"机密文件"或"工资表"的标签。捡到的人出于好奇插到电脑上查看——U盘里可能有自动运行的后门程序。
现在更多是数字诱饵：下载某个软件送破解版、扫码领红包、打开附件得大奖……天上掉馅饼的事，往往是陷阱。
尾随攻击：跟进去就行
在物理世界，尾随（Tailgating）也很常见。你刷卡进了大楼，后面有个人两手提着东西说"帮我刷一下，我忘了带卡"。你出于好心帮了忙，攻击者就这样混进了限制区域。
进了大楼之后，攻击者可以物理访问内部网络、窃取文件、甚至安装硬件键盘记录器。
如何防御社会工程学攻击？
技术和流程只能防御一部分，最有效的防御还是人的意识和习惯。
**验证对方身份**。收到要求提供密码或敏感信息的请求时，不要被紧迫感驱使。挂掉电话，主动拨打官方客服号码核实。收到可疑邮件时，检查发件人地址而不是只看显示名称。
**保持怀疑态度**。如果有人问的信息超出了正常需要——比如问你公司有多少员工、谁是IT负责人——这可能是攻击者在收集信息。
**最小权限原则**。每个员工只应该访问完成工作所需的最小权限。这样即使一个账户被攻破，损失也是有限的。
**定期培训**。很多公司会定期做社会工程学渗透测试——假装攻击员工，看谁会上当。定期培训能提高全员的警惕性。
**不分享密码**。这条看起来是常识，但现实中_password_、123456这样的弱密码随处可见。很多安全事件的起因就是密码被猜出来了。
最后记住：正规机构永远不会通过电话或邮件要你的密码。任何声称"需要立即验证密码"的都是骗子。