社会工程

概要

社会工程是以人的心理而非系统漏洞为攻击对象的各类手法的统称。它利用信任、恐惧、好奇心、紧迫感等情绪，让目标透露信息或执行不当操作。无论技术层面的安全防护多么牢固，只要人被骗了，就可能被突破。

代表性手法

网络钓鱼是代表性的手法，通过伪装成正规服务的邮件或网站窃取登录信息。借口诈骗是编造虚构的人物或情境来取得信任的手法，会使用“我是 IT 部门的，需要确认一下你的密码”之类的借口。

诱饵攻击是利用好奇心让人运行恶意软件的手法，比如故意把 U 盘丢在停车场。尾随进入是跟在正规入馆者身后通过安检闸机的物理手法。这些手法利用的都不是技术上的高超，而是人类行为模式的可预测性。

利用匿名提问的社会工程

匿名提问服务有可能被滥用为社会工程的途径。攻击者匿名发送提问，从箱主的回答中收集个人信息和行为模式。例如分多次发送“离你最近的车站是哪个？”“你平时什么时段比较活跃？”这样的提问，一点点积累零碎的信息。

在手法高明的情况下，提问本身看起来毫无恶意。从“有推荐的咖啡馆吗？”的回答中推测活动范围，或者从“学生时代参加过什么社团？”缩小毕业学校的范围。箱主在回答时，需要意识到这些信息积累起来之后能在多大程度上锁定到个人。

防御的思路

防御社会工程，仅靠技术手段是不够的，提高用户的素养不可或缺。对于提问箱的箱主，需要开展宣传，提醒不要在回答中包含可能锁定个人的信息。

服务方可以考虑的对策是分析来自同一 IP 的提问模式，检测以收集信息为目的的连续提问。另外，通过内容过滤把直接打听个人信息的提问列为警告对象也很有效。不过，完全自动判断提问的意图很难，最终很大程度上仍要依靠箱主自己的判断力。