什么是社会工程学

第四点解释了为什么这类电话听起来像真的。编造说辞所需的信息来自公开渠道：公司网站、员工社交媒体和招聘信息。一个晚上就能整理出一份组织的详细资料。

一种经典场景是：有人冒充失去访问权限的员工，打电话给技术支持。坚持不懈的态度，加上对几个内部细节的了解，往往比任何核验流程都更有说服力。

任何安全措施都假设合法用户能够进入。社会工程学正是利用了这条路径：它不撬锁，而是从持有钥匙的人那里拿到钥匙。

问题也就在这里：加强技术措施几乎没有帮助，有时反而会适得其反。流程越复杂，员工越常寻找变通办法，而这些办法恰恰会成为入侵入口。

最后一点比技术措施更重要。如果员工害怕因犯错而受罚，就会保持沉默，组织可能要过几周才知道遭到了攻击。鼓励报告事件的文化，比规章制度更能提供保护。

还要记住，目标不一定是密码。对方常常只要求一些小事：确认同事的职位、告知内部号码，或转发一个文件。这些零碎信息会被用来编造下一套已经足够可信的说辞。