15 種社交工程攻擊類型

社交工程攻擊或許是人們與企業在這個快速發展的數位環境中必須面對的最大威脅之一。雖然典型的網路攻擊通常圍繞著攻破軟體或網路漏洞，但社交工程攻擊的主要類型利用了其中最脆弱的一環：人。攻擊者利用人類天生的傾向，例如信任、好奇、恐懼或壓力，誘使他們妥協並提供敏感資訊，或採取不僅會危及自身安全，也會危及整體組織安全的行動。事實上，98% 的網路攻擊都依賴社交工程手法，這也顯示出攻擊者在達成其目標時，是多麼依賴操縱人類行為。

一大類惡意攻擊是以欺騙與人際互動為基礎，攻擊者將自己偽裝成受信任的實體，使受害者相信並透露機密資訊或繞過其安全檢查。這些形式包括但不限於網路釣魚電子郵件、詐騙電話，以及在任何缺乏安全意識的環境中盛行的面對面冒充。隨著技術進步，社交工程手法也日益精密，使偵測與防禦變得愈加困難。正因如此，人們與企業必須了解這些方法，才能在本質上高度互聯的世界中，進一步保護其資料與系統。

本文將說明什麼是社交工程攻擊，並深入探討各種不同形式的社交工程攻擊細節。

15 種社交工程攻擊類型

社交工程攻擊利用人類心理來取得機密資訊，或影響個人行為而危及其安全。社交工程與傳統駭客攻擊完全不同，因為它更依賴透過多種手段進行欺騙或說服。正如技術不斷變化，網路犯罪分子的手法也會隨之演變。因此，最重要的防護工具是意識與教育。以下列出最常見的社交工程攻擊類型，每一種都有其獨特的方法與目的：

1. 網路釣魚: 網路釣魚是最常見的社交工程攻擊形式之一。此類攻擊涉及惡意電子郵件、訊息或網站，旨在誘使受害者洩露敏感資訊。最常見的是，這些詐騙會偽裝成合法來源的身分，例如銀行帳戶或正當公司，藉此欺騙人們點擊惡意連結，甚至提供其個人憑證。其造成的結果可能導致身分盜用、財務損失，或對敏感資料的未經授權存取。大規模網路釣魚攻擊會發送給數百萬名收件者，以提高成功機率。遭受網路釣魚攻擊的受害者，其敏感資訊可能被竊賊竊取，進而導致身分盜用、未經授權的存取或金融詐欺。
2. 魚叉式網路釣魚: 魚叉式網路釣魚是一種更具針對性的網路釣魚形式。在這種情況下，網路攻擊者會對個人或組織進行更深入的研究，以設計出高度個人化的訊息，藉此提高成功機率。一般的網路釣魚攻擊通常是大規模發送，而魚叉式網路釣魚則傾向鎖定高價值目標，例如高階主管或關鍵員工。這類攻擊可能造成極大破壞，因為它們可能成為企業間諜活動或竊取關鍵資料的基礎。問題在於，魚叉式網路釣魚可以被高度客製化，以致即使是謹慎的人也可能成為網路釣魚攻擊的受害者，並洩露機密資訊。大多數魚叉式網路釣魚攻擊一旦入侵內部系統，就會演變為成功的企業間諜活動或竊取企業敏感資料。整個組織的安全遭到破壞，往往發生在內部系統被攻破之後。
3. 語音網路釣魚 (Voice Phishing): 語音網路釣魚是一種利用語音通訊（通常透過電話）從受害者處騙取敏感資料的網路釣魚類型。網路攻擊者會假裝成具權威的人物，或是受害者所信任的人，例如銀行代表或政府官員，以說服受害者交出其個人資料。由於此過程使用語音互動，相較於以電腦為基礎的網路釣魚攻擊，通常會讓人感覺更個人化且更真實，因此在語音網路釣魚的情境中可能特別有效，尤其是在攻擊者偽造來電顯示號碼時更是如此。由於語音網路釣魚也相當依賴人際互動，因此有時這類攻擊看起來會比網路釣魚更為合法或真實。偽造的來電顯示號碼也是此類攻擊中的一部分欺騙手法。根據來電顯示所呈現的資訊，這些電話會被視為來自合法來源。
4. 簡訊網路釣魚 (SMS Phishing): 這是另一種網路釣魚方法。這是一種網路駭客鎖定的技術，攻擊者會轉發簡短的文字訊息，通常稱為 SMS，並冒用某個可信來源的名義，或聲稱其中包含可開啟網站的連結。SMS 會直接要求使用者輸入個人資訊，或下載安裝在系統上的惡意軟體。行動裝置之所以適合 smishing，是因為人們對簡訊的回應速度非常快，而不會像對電子郵件那樣回應。對攻擊者而言，smishing 更容易被用來利用手機，因為人們會立即回覆簡訊，而不是電子郵件。SMS 的即時性會讓使用者不假思索地做出反應。同時，smishing 連結可能會將他們導向假冒真實組織的網站，並誘騙受害者交出其個人資訊。
5. 藉口詐騙: 藉口詐騙是指攻擊者建立一個情境或藉口，以讓受害者提供其存取權限或資訊。例如，他可能聲稱自己是同事、IT 支援人員，甚至是執法人員，並以查詢敏感資訊為由，聲稱這屬於合法業務活動的一部分。藉口詐騙的成功取決於攻擊者在受害者心中建立信任與可信度的程度。藉口詐騙的成功取決於攻擊者與受害者建立信任與可信度的能力。攻擊者利用人們想要幫助他人或服從權威的心理，可能會取得有價值的資料，例如登入憑證或個人識別資訊。因此，藉口詐騙是一種可能導致嚴重資料外洩的手法，尤其是在企業環境中，毫無戒心的員工可能在不知情的情況下授予未經授權的存取權限。
6. 誘餌攻擊: 誘餌攻擊透過承諾受害者渴望的事物來引誘其上鉤，例如免費軟體、免費音樂、音樂，甚至金錢。攻擊者可能會使用實體誘餌，例如將 USB 隨身碟留在公共場所。當毫無戒心的人將該裝置插入其電腦時，便會安裝惡意軟體，讓攻擊者得以存取系統。免費或令人嚮往的物品可能會誘使受害者做出高風險的決定。誘餌攻擊實際上是利用人類的好奇心或貪念，誘使受害者做出危險的決定。在透過此類誘餌安裝惡意軟體後，就有可能突破整個網路的安全防護。因此，最終可能會破壞與該電腦相關的多種安全機制。誘餌攻擊也可能出現在網路空間中，使用者會被誘騙下載看似完全合法但包含隱藏惡意軟體的檔案。
7. 利益交換: 在 quid pro quo 攻擊中，攻擊者會提供某種服務或利益，以換取資訊。這類攻擊的一個經典範例是，當網路犯罪分子假扮為 IT 支援人員，聲稱會修復系統中的某些問題，但堅持事先取得受害者帳戶的認證資訊。這種技術利用受害者希望獲得協助或支援的心理，讓攻擊者更容易取得其敏感資訊。Quid pro quo 攻擊利用了受害者需要某種類型協助或支援這一事實，因此使受害者更有可能提供機密資料。一旦攻擊者取得這些認證資訊，他們就能存取系統、擷取資訊，或在電腦上安裝惡意程式碼。在任何企業環境中，這都極其危險，因為員工通常急於盡快解決技術問題。
8. 尾隨進入 (Piggybacking):尾隨進入是一種實體社交工程攻擊，未經授權的人員會跟隨已授權使用者進入受限制區域。例如，某人可能聲稱自己忘了帶門禁卡，因而跟著員工穿過一道門。因此，攻擊者可以進入原本不應進入的區域，甚至可能造成資料外洩或竊盜。一旦進入內部，駭客便可前往其無權進入的區域，導致敏感資訊遭竊、資料外洩，甚至破壞行為。尾隨進入利用受害者的善意或樂於助人的心理，使其成為一種相當簡單卻有效的方式，用來繞過實體安全控制。這類攻擊顯示，在安全環境中必須嚴格執行存取控制。
9. 翻找垃圾: 翻找垃圾桶是一種駭客手法，攻擊者會翻找垃圾桶以取得帳號號碼、密碼號碼或其他敏感資訊。這通常用於獲取可套用於第二階段攻擊的洞見，常見於網路釣魚或藉口詐騙。組織必須確保妥善處置，並防止透過此方法發動攻擊的可能性。翻找垃圾桶有時可能不易被察覺，但其中確實包含大量可能洩露給攻擊者的資訊。因此，任何組織內使用的紙本資料都應妥善處理，例如碎紙以及對敏感資料進行安全刪除，以避免遭受此類攻擊。即使是最小、看似無關緊要的細節，也可能協助攻擊者策劃更複雜的社交工程攻擊。
10. 水坑攻擊：在水坑攻擊中，網路犯罪攻擊者會入侵那些主要由特定群體或組織造訪的網站。遭惡意軟體感染的網站會將惡意軟體植入其訪客的筆記型電腦中，而訪客會在毫無察覺的情況下將其下載到自己的系統中。此類攻擊是針對特定使用者群體，對於使用者擁有共享數位環境的組織而言尤其危險。水坑攻擊具有高度針對性，對於使用共用數位平台的組織而言尤其危險。惡意軟體會在未被偵測的情況下竊取大量資料或完全入侵系統。這些攻擊利用使用者對熟悉網站的信任，因此需要高度先進的網路安全措施才能加以識別。
11. 商務電子郵件入侵 (BEC): 商務電子郵件入侵是一種針對性的攻擊，網路詐騙者會入侵合法的企業電子郵件帳戶，藉此誘騙員工轉移資金或敏感資訊。很多時候，這類攻擊會偽裝成高階主管，並製造急迫感以迫使收件人接受要求。BEC 攻擊具有破壞性，不僅會造成金錢損失，也會導致資訊遭竊。因此，攻擊者使用合法電子郵件地址會特別具有說服力。企業應建立嚴格的電子郵件安全規範，例如多重要素驗證，以防範此類 BEC 攻擊。
12. 美人計：攻擊者透過網際網路與受害者進行情感交流，這也稱為 honey trap。一旦建立聯繫，受害者便會因分享密碼、企業機密，甚至金錢而落入攻擊者的陷阱。Honey trap 利用受害者的情感，使其更容易受到操控。由於攻擊者會花費數週或數月贏得信任後再發動攻擊，因此這類手法具有高度個人化特性。若受害者在組織中擔任敏感職務，這些攻擊可能導致大規模的個人與財務損失。
13. 惡意安全軟體:網路攻擊者利用看似正版的偽造安全軟體，回報使用者電腦中不存在的惡意軟體感染。一旦下載，該軟體就會安裝真正的惡意軟體，最終竊取資料或要求支付贖金。恐懼是他們唯一依賴的手段，因為他們使用永不停歇的彈出式視窗和安全警告，迫使他人迅速採取行動。因此，敏感資訊會外洩，或向根本不存在的網路犯罪情境支付款項。這種攻擊可能使真正的防毒程式失去作用，進而讓系統變得脆弱。受害者可能遭遇身分盜用或資料外洩；例如，與財務資訊相關的資料遭竊。
14. 社群媒體利用: 這個高度互聯的世界使社群網站成為資訊、溝通與人際關係的重要媒介。另一方面，它們也為心懷不軌或惡意人士提供了可乘之機，讓其利用使用者來達成自身目的。眾所周知，網路犯罪分子會透過社群網站蒐集其目標的資訊與情報，並以各種手法操縱或欺騙他人，使其洩露敏感資料。其中最常見的欺騙手法之一，就是使用虛假身分檔案，或將自己偽裝成熟人——朋友、親屬、同事，甚至是機構或權威組織。
15. 冒充: 冒充攻擊是指攻擊者假裝成已知或受信任的人員，例如 IT 員工或主管，以存取系統或資料為目的。他們利用受害者與其所認知的權威人物之間既有的信任關係。攻擊者經常使用真實姓名、內部資訊或企業術語來偽裝成真實身分，使偽造行為更難以被察覺。一旦取得受信任區域的存取權，他們可能會獲取敏感系統或資料，甚至導致嚴重的安全事件或機密資訊遭竊。多數情況下，若攻擊者進入受限區域或敏感帳戶，冒充行為將造成嚴重後果。

如何防範社交工程攻擊？

防範社交工程攻擊需要以主動方式結合教育、技術與明確流程。網路犯罪分子透過操縱人類心理來行動；因此，安全意識在組織內變得非常重要。以下是一些可有效降低社交工程攻擊風險的策略：

• 員工訓練: 向員工宣導社交工程攻擊中的手法，有助於建立具備安全意識的文化。即使是定期培訓課程，也可能讓人員能夠識別可疑行為、了解社交工程的各種不同形式，並避免落入常見詐騙。互動式學習方法，例如模擬網路釣魚演練，有助於強化學習成效，並讓員工在遭遇潛在威脅時做好有效回應的準備。持續性的教育將使員工掌握網路犯罪分子使用的最新手法。

• 使用多重要素驗證 (MFA): 這會讓攻擊者在使用 多重要素驗證 時更難取得存取權。在登入憑證遭竊的情況下，MFA 會要求另一種驗證方式，例如傳送到行動裝置的一次性代碼或生物特徵辨識，才能完成登入程序。使用 MFA 可降低組織整體遭未經授權存取系統與資料的風險。

• 驗證敏感資訊請求: 所有敏感資訊請求都必須經過驗證。當來源或管道不明時尤其如此。在這種情況下，員工應特別留意透過電子郵件、電話，甚至簡訊收到此類請求的方式。他們必須保持謹慎，並在釋出敏感資訊前，透過已知號碼直接聯絡請求者或聯絡主管來妥善驗證。

• 實施電子郵件過濾解決方案: 套用進階電子郵件過濾技術，在網路釣魚郵件和其他可疑訊息真正進入員工收件匣之前加以偵測。電子郵件過濾器可根據預先定義的因素識別潛在惡意內容，包括網路釣魚連結或附件，並加以標記以供進一步調查。定期更新與微調過濾器，可確保更精密的過濾效果，避免網路釣魚攻擊得逞並消除此威脅。

• 限制敏感資訊存取: 應在整個組織中實施最小權限原則，僅將敏感資料與系統的存取權授予確實有需要的人員。若攻擊者成功取得未經授權的存取權，這可減輕其影響。根據角色與職責定期審查及更新存取權限，可確保過時的存取權被迅速移除。

• 監控異常活動: 密切監控網路活動與使用者行為，特別是未經授權登入、異常資料存取模式或可疑檔案傳輸等惡意活動。 SIEM tools 可協助組織進行即時異常偵測。根據可疑行為發出的警示，也能讓組織在威脅變得更嚴重之前迅速回應。

如需更多詳細資訊，請閱讀: 如何防範社交工程攻擊

結論

隨著社交工程攻擊在現代網路安全環境中持續增加且愈發頑強，深入理解當前威脅已成為當務之急。社交工程攻擊正是其中之一，從最直接的形式，例如網路釣魚與藉口詐騙，到魚叉式網路釣魚與水坑攻擊等進階攻擊，皆利用人類心理與社會互動來取得對敏感資訊或系統的未經授權存取。

再次強調，預防始於員工的認知與訓練。若能建立具備安全意識的文化，並結合多重要素驗證、電子郵件過濾和網路監控等完善的安全措施，這些風險將可大幅降低。