9、社交工程：信息安全的隐形威胁

社交工程：信息安全的隐形威胁

1. 社交工程概述

社交工程是一种利用人类心理弱点和社交互动来获取信息或系统访问权限的欺诈手段。2015 年，“Crackas With Attitude”（CWA）组织入侵了美国中央情报局（CIA）局长约翰·布伦南（John Brennan）的个人电子邮件账户。他们通过获取布伦南的手机号码，致电其服务提供商威瑞森（Verizon），伪装成公司技术人员，骗取了账户信息，进而重置了他的电子邮件密码，下载了敏感文件并公开羞辱了布伦南和美国情报界。这一事件让 CWA 声名大噪，他们还实施了其他高调犯罪，包括非法获取数千名执法、军事和情报人员的信息。

尽管计算机系统和网络在这些攻击中起到了一定作用，但 CWA 主要依靠的是“社交工程”，即对信息安全相关人员进行操纵。在信息安全领域，社交工程技术并非 CWA 所独有。尽管在计算机安全方面投入了大量资金，但传统的欺诈手段往往足以突破系统和组织的安全防线。自电话窃听时代起，社交工程就与黑客和信息安全紧密相连。对于许多黑客和安全专家来说，“人是安全链条中最薄弱的环节”是一个常见的观点。

2. 社交工程的定义

精确界定社交工程并非易事。有些人将社交工程视为影响或说服的同义词。例如，知名黑客和社交工程师克里斯托弗·哈德纳吉（Christopher Hadnagy）将其定义为“任何影响某人采取可能符合或不符合其自身最佳利益的行动的行为”。而另一些人则持更狭义的观点，著名黑客凯文·米特尼克（Kevin Mitnick）将社交工程定义为欺诈艺术的一个子集，即某人“对企业使用欺骗、影响和说服手段，通常以获取企业信息为目标”。

在本文中，我们采用与巴顿（Button）和克罗斯（Cross