一、起源
凯文·米特尼克在《反欺骗的艺术》中曾提到，人为因素才是安全的软肋。很多企业、公司在信息安全上投入大量的资金，最终导致数据泄露的原因，往往却是发生在人本身。你们可能永远都想象不到，对于黑客们来说，通过一个用户名、一串数字、一串英文代码，社会工程师就可以通过这么几条的线索，通过社工攻击手段，加以筛选、整理，就能把你的所有个人情况信息、家庭状况、兴趣爱好、婚姻状况、你在网上留下的一切痕迹等个人信息全部掌握得一清二楚。虽然这个可能是最不起眼，而且还是最麻烦的方法。一种无需依托任何黑客软件，更注重研究人性弱点的黑客手法正在兴起，这就是社会工程学黑客技术。
二、社会工程学的定义
社会工程学是一种利用人类的社交和心理特征来获取敏感信息或进行其他恶意行为的技术。攻击者通过操纵人们的情感、信任、好奇心等因素，欺骗他们揭示个人机密信息，例如密码、账户信息和身份证号码。社会工程学攻击通常不直接攻击技术系统，而是利用人们的弱点来入侵系统或获取信息。
三、社会工程学的攻击方式
- 钓鱼攻击：攻击者伪装成合法机构或个人，通过发送虚假的电子邮件、信息或打电话，诱使受害者揭示敏感信息。他们常常冒充银行、社交媒体平台或其他在线服务提供商，引诱受害者点击恶意链接或提供个人信息。
- 冒充身份：攻击者通过伪造身份或假装是合法人员，赢得受害者的信任，并获取敏感信息或进行未经授权的行为。他们可能以技术支持人员、公司员工或其他权威人士的身份出现，让受害者主动提供信息或执行恶意操作。
- 社交工程：攻击者通过深入了解受害者的个人信息和社交网络，在面对面的交流中利用社交技巧和心理操作手段获取信息。他们可能伪装成朋友、同事或熟人，以亲密关系的名义获取受害者的信任，并获取敏感信息。
四、社会工程学的防御措施
- 提高安全意识：通过教育和培训，提高人们对社会工程学攻击的认识，学会辨别可疑请求和行为。组织应定期开展安全意识培训，帮助员工了解攻击方式和保护措施，提高他们对潜在威胁的警觉性。
- 谨慎揭示信息：不轻易泄露个人身份信息和敏感数据，特别是在未经验证的情况下。当收到可疑请求时，应谨慎验证请求的真实性，并避免通过电子邮件、电话或社交媒体提供敏感信息。
- 强化身份验证：采用多因素身份验证机制，例如使用密码、生物识别技术或令牌等，以增加访问系统或数据的安全性。这样即使攻击者获得了部分信息，也无法轻易突破多层次的身份验证措施。
五、社会工程学的危害
社会工程学攻击对个人和组织都带来严重的危害。对个人而言，攻击者可能获取其个人隐私、金融信息、登录凭证等，导致财务损失、身份盗窃或在线账户被入侵。对组织而言，社会工程学攻击可能导致敏感数据泄露、商业机密被窃取、财务损失、声誉受损等严重后果。
六、总结
社会工程学攻击揭示了人类心理的脆弱性，并提醒我们在数字时代保护个人隐私和信息安全的重要性。教育和培训是防范攻击的关键，提高人们对社会工程学攻击的认识。采取防御措施如提高安全意识、限制信息揭示、管理访问权限和使用多因素身份验证，可以有效防范社会工程学攻击的威胁。只有综合运用技术手段和人为因素的防御策略，我们才能更好地保护个人和组织的安全。
结语
社会工程学是对个人信息及隐私的获取是违法犯罪行为
社会工程学是对个人信息及隐私的获取是违法犯罪行为
社会工程学是对个人信息及隐私的获取是违法犯罪行为
简单理解
- 企业泄露的用户数据，比如如家酒店，京东快递，q绑，微博等等，被大佬扒下来的数据组成的库，叫做社工库，也是社会工程师的工具，用于信息收集
- 有一个词叫人肉，人肉只是社会工程学的一部分，用于信息收集
- 通常用于获取重大利益和目的进行
- 不像是电影里演的那种，一键获取软件程序什么的，社会工程学需要时间很长或者很短
- 通杀，通杀的意思是完全控制目标
- 并不是让你去怀疑每个人，最好的防御就是留个心眼，面对金钱，物质，权利等利益，警惕精神情绪方面的事情，谨慎透露、输入、发布个人信息
- 重要密码一定不要用生日，身份证，电话，姓名等个人信息，很早就有根据个人信息生成字典的工具
- 渗透也是社会工程学的一部分
- 警惕识别陌生的垃圾邮件，钓鱼信息，钓鱼网站等
本文只是帮助小白认识社会工程学及它的危害，并不提供工具和教程！