攻擊者利用員工一念之仁進行攻擊最難防範，但要保護公司免當社交工程（soialengeerg）騙術受害者還是有規則可循。

  你被騙過嗎？社交工程者誘騙手法往往相當細膩，受害者往往還不知所以然就上了鉤。社交工程者往往利用人性弱點而非技術/軟件漏洞來入侵保護周延的網絡。

  小偷，非強盜

  這種詐騙大師的典型之一就是英國的kevitnik，他曾因電腦犯罪前後進出監獄三次，出獄後itnik決定改邪歸正，現在經營起一家顧問公司defehkg，專門保護企業員工免受社交工程騙術之害。

  itnik在犯罪全盛時期，幾乎無所不騙，他可誘使人們泄漏各種信息，包括密碼、上網帳號、一般技術信息等。我們訪問了itnik，看看社交工程騙子打電話進公司找人時最常希望拿到哪些信息。

  “這多半是打電話進去，然後套出他們的密碼，”他說，“但其實還有更精密的攻擊手法，隻為了取得各種細碎的信息。”

  比方說你看上某家軟件公司，（這是itnik之前最常做的事，先是在0年代竊取de公司的源代碼，後來陸續還找過諾基亞、sun、摩托羅拉與ne），你不會直接打進去找it管理員，開口就說，“密碼多少？”

  有技巧的攻擊者會安瞄準比較容易下手的部分，比如公司區域網絡上的某台工作站，利用常見的技術漏洞做入侵。接著社交工程就可派上用場，用來尋找網絡上哪台機器才是攻擊者真正想要的目標，如此便可節省許多胡亂在n上摸索的時間，同時也可降低誤觸安全警報的風險。

  如何破解攻擊手法？

  訓練員工權衡突發的“請求”事件，尤其是通時不是在他們權限範圍內應該做的事。itnik表示社交工程高手最愛給人戴高帽，比方說“隻有像你這麽聰明的人才肯幫我，待會我寄給文件給你，請你打開附件看看。”他們也會使用恫嚇方式，“要是你不說出密碼讓我進入我的ail信箱，你就等著被革職。”

  若你能拒絕這種“狀況外”的請求，你大概就贏一半了，“關鍵在於訓練員工了解哪些是合法的請求，哪些不是。”itnik說。

  有些簡單的政策也很容易遵循，幾乎所有社交工程師不會顯示來電號碼，“他們會找各種借口，比如說我的手機電池快沒電等等的，”itnik如此說，公司隻要立下規定說，若有人來電請求的信息是具有/機密性質的，員工必須真的知道有這號人物，然後回電給對方確認才行，經過這一關，至少七成社交工程騙術都會事跡敗露。

  隻要有人來電要求重設密碼，it人員務必回電該名員工做確認，這樣的政策絕對有助於破解社交工程騙子。

  itnik不是it安全通才，社交工程才是他的拿手戲，itnik之前還研究過心理層麵才能屢屢犯罪得逞，“社交心理學說人類有兩種思考模式，一種是係統（systeati）模式，一種則是探索式的（heuristi），”itnik解釋說，當你在係統模式下，你會有動機去做思考，若是在探索式模式下，你就懶散過去，你會分心，思考其他東西，“我們有90時間都處於這種狀態。”

  也就是在這種時候我們最容易變成攻擊者的共謀，社交工程師就是有辦法說服受害者，讓他們沒有機會仔細思考。最厲害的是，他們所做的要求往往是超乎受害者日常工作範圍之外的。

  “你跟人聊天時，若發現對方跟你是同鄉，或者有相同的嗜好興趣，那麽攻擊者就會盡量迎合你的所好，因為就心理學而言，你會比較喜歡跟自己很像的人，”itnik說，“而你喜歡某人後，你自然也比較可能答應對方的請求。”

  “一旦發現對方跟你有太多巧合，那你就應該心生警覺了。”他說。

  設定紅燈與黃燈警戒線

  itnik建議引進紅綠燈製度來協助員工判斷是否被誘騙了。

  人性本善，大家一開始多半會相信陌生人，而不會故意去懷疑對方，這也讓社交工程騙子有機可乘。你是否曾經幫同棟大樓的陌生住戶開門？大家都喜歡給人好印象，即使跟陌生人也是如此，也因此大家都很樂於施點小恩小惠，同理，若對方給予一些回報也是一種禮尚往來，這種人性傾向反而成了攻擊者的最大漏洞，itnik如此認為。他以往最成功的例子都是通過這種手段犯下的。

  “若有人給你一點好處，你理所當然也會有所回饋，這種人之常情走到哪裏都適用，尤其是美國，”他說，“攻擊者會假裝是在協助你解決問題，或者他們會刻意製造問題，然後再假裝幫你忙。”

  攻擊者可能假裝是管理部門做抽查，先打給it維修部門，要求原公告知待修清單，一旦取得某一待修單的詳細內容後，這位社交工程師又可假裝是維修人員，打給熬熬待援的員工，並協助他們解決問題。之後幾小時候，攻擊者又可打電話回來說，“嗨，我是it部門某某人，剛剛幫你解決eail的問題。我等會寄一個診斷工具給你，你可幫我執行一下嗎？”一般而言，用戶多半不會拒絕，這招看似很簡單，但許多人一時不察絕對都會上鉤。

  itnik表示要求他人泄漏信息或代為執行某些動做其實很類似銷售員一般。“這隻是把業務或營銷技巧用在壞的地方而已。因此公司必須設定紅燈與黃燈警示，讓員工清楚知道哪些狀況有可能會上當。”

  除了訓練員工外，還要加以督導驗收才行，itnik表示，這種風險無法完全被排除，但卻可以降到最低，證據何在？即使是itnik這種社交工程高手，最後也不是栽了嗎？