账号不是被破解的，多半是被问走的。这话听着像抱怨，但处理过几轮事故的人基本都认同——入侵的起点常常不在漏洞公告里，而在一通电话、一份发错的表格、或者某人在工单里顺手多打的一句”初始密码是xxxx”。社工攻击怎么防？技术那一半当然要做，另一半得把你自己身上那三个泄密口先堵住，不然防火墙再厚也白搭。
社工攻击怎么防？先把三个泄密口的危险等级排一下
我给它们排个序：人和流程排第一，公开信息面排第二，纯技术配置排第三。原因不复杂，技术口子有补丁可打，有人给你推送更新，人和流程没有——它靠的是当天那个接电话的人心情好不好、赶不赶时间。着急的时候人最容易松口，这正是社工最喜欢利用的。所以别一上来就想着加设备，先把”谁在什么情况下能说什么”理一遍，往往更省事。
第一个口子：人是最愿意配合的那个
冒充供应商报个”系统升级”、冒充财务问一句”账户变更确认一下”、冒充新同事加群要个文档权限，这些话术都不高明，但胜在耐心。一个电话被打回来，换个说法再打，问到第三个人总有人愿意帮忙。最典型的一幕是：前台接到”IT外包”的电话，说要做例行巡检，顺手就把后台地址和一位管理员的手机号给了出去。整个过程没人觉得有问题，因为对方太像”正常的同事”。
第二个口子：你在公网上主动摊开了什么
官网的联系页面写着姓名、职位、直线分机；招聘启事写着熟悉某套后台系统、了解内网结构；群里发过的截图带着主机名和路径；技术问答站上的求助帖把报错全文贴了出来。单看哪一样都不算什么，拼起来就是一张相当清楚的内网地图。企业邮箱命名规律也一样，知道了姓名和格式，猜出地址再发一封”内部通知”并不难。这块的解法不复杂，把不必要露的信息收一收，截图该打码就打码，别只糊一半。
第三个口子：流程里的软肋比配置更常见
找回密码的验证方式、离职员工的邮箱和群、工单系统的验证环节、供应商对接的临时账号，这些东西写起来平平无奇，出事的时候个个是通道。几个常见的场景：人走了账号还在，前任的邮箱设了自动转发到私人地址，外包给的账号权限一直没收回，共享文档设成拿到链接就能看。这些不涉及什么高深技术，纯粹是没人管。定期清一遍这类残留，比多买一台设备实在。
怎么核实对方身份，有几个不玄学的做法
第一步永远是回拨，用你自己掌握的号码，不用对方给的号码。涉及钱、涉及权限、涉及数据导出这类操作，两个人确认，别一个人拍板——听着麻烦，这个麻烦能救命。链接别急着点，尤其是那种要你登录的，从收藏夹或者手动输地址进去，再看一眼域名对不对得上。工单类的请求内部核对编号，核对不上就退回。
还有一条比较反常识：对”太热情”的人保持一点怀疑。真正的同事一般不会追着你办权限，真正的供应商也不会催你马上给后台地址。越急越要停一下。这跟防刷量、防DDoS是两码事，那类攻击机器在打，这类攻击是有人在跟你聊天。
几个看着没事的细节
把工单截图发到工作群，图里有客户手机号；临时密码走微信发；为了排查问题把完整报错贴到公开论坛，连主机名、路径一起；给外包开一个”先凑合用”的账号，任务结束忘了停。这些单拎出来都不算事故，但它就是社工最好的切入点——他不需要攻破什么，他只需要你多给一句。
万一真被套了，别急着全站改密码
先确认范围、先留证。查邮件转发规则、查子账号和API密钥、查第三方应用的授权列表、查最近的登录记录和异常IP。很多人第一反应是全公司改密码，结果把痕迹全冲掉了，事后说不清到底被拿走了什么。顺序上一般建议：先冻结可疑会话、切断可疑转发，再改密码、再复盘。改密码这一步不能省，但要放在取证之后。
最后落到地上就是四个动作：把能对外打电话的人列出来，把公开页面上不该出现的信息删掉，把离职和外包账号定期清一遍，涉及钱和权限的操作两个人确认。都不花什么钱，只是需要有人真当成一件事来干。社工攻击怎么防？防的从来不是技术，是你愿意多问一句、多等一分钟。
【版权声明】：本站内容若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
