什麼是社交工程？
社交工程是指網路犯罪者藉由操縱人員而非技術，取得本不應取得的存取權限、資訊或資源。您可能認為駭客入侵系統最常見的方式是突破防火牆，或使用高明的密碼破解演算法，但事實上，大多數資安外洩事件都是社交工程所造成的。 駭客並不針對技術屏障下手，而是「設計」出操縱貴組織內部人員的手法，因為他們認為人員是企業最大的資安弱點。這些惡意人士會捏造一個「社交」情境（通常是駭客自己製造的問題！），社交工程因此得名。 簡單來說，社交工程師會編造一個極具說服力的故事，誘騙您為他們做某件事，或讓他們取得私密資訊。
它是如何運作的？
網路犯罪者會運用各種心理技巧來贏得您的信任，然後再背叛這份信任。以下是幾個例子。預先鋪陳（Priming）
預先鋪陳是指社交工程師先以情感渲染對話氣氛，藉此打破隔閡並顯得更可信，讓受害者更有可能回答他們的問題。例如，他們可能一開口就分享自己早上有多麼不順，或是在背景播放孩童跑來跑去的音檔，然後假裝叫孩子們安靜一點，因為爸爸或媽媽正在講電話。孩子嘛，對吧？框架效應（Framing）
您還記得那些電視購物廣告嗎（那時我們會只因為喜歡 Billy Mays，就看完 20 分鐘的 OxiClean 廣告）？他們絕不會直接告訴您產品的價格，而是會說「只要 12.99！」這就是框架效應；資訊以特定方式呈現，進而左右您接收資訊的感受。13 卻讓人覺得非常划算。 網路犯罪者也運用相同的手法；他們會以巧妙的方式向您呈現資訊或提出要求，藉此設計您的反應。下次當您收到陌生人寄來的電子郵件，聲稱除非您寄給他 iTunes 禮品卡，否則他就無力養家餬口時，請自問：「如果他一開始就直接向我要這個，我會答應嗎？」損失趨避（Loss Aversion）
如果您在《怦然心動的人生整理魔法》（Marie Kondo）正熱門時，也曾下定決心大掃除，結果卻發現自己幾乎什麼都捨不得丟，您並不孤單。人類極度厭惡失去自己擁有的東西。社交工程師會利用這一點，在潛在受害者面前拋出可能失去某樣東西（通常是金錢）的情境，混淆其判斷力，使其更願意配合或透露個人資訊。權威偏誤（Authority Bias）
您花了多久才意識到父母並非永遠都是對的？人們往往會下意識地信任權威人士的意見；而且當權威人物提出要求時，人們也更可能做出違背自身利益的事。社交工程師經常會冒充高階主管等權威人物，讓潛在受害者不敢仔細審視其要求。熟悉偏誤（Familiarity Bias）
您在餐館點汽水，服務生問您要可口可樂還是 Dacey Fizz。您會選哪一個？當然是可口可樂，對吧？面對選擇時，人們明顯更傾向選擇（並信任）最熟悉的選項。社交工程師可以利用這一點，列出多種行動方案，並篤定您會選擇最熟悉的那一個——也就是他們希望您選的那個。
有哪些例子？
您可能認為駭客入侵系統最常見的方式是突破防火牆，或使用高明的密碼破解演算法，但事實上，大多數資安外洩事件都是社交工程所造成的。網路釣魚
網路釣魚是迄今最常見的社交工程形式，其中最常見的類型是電子郵件詐騙。這類電子郵件會誘使您分享私密資訊、點擊連結，或開啟會讓您的裝置感染惡意軟體的附件。我們下個月將進一步探討網路釣魚。 簡訊釣魚（Smishing）與語音釣魚（Vishing）是網路釣魚的變種，分別透過簡訊和語音通話進行。他們可以讓來電顯示為任何自己選擇的名稱，因此能冒充您信任的人，並告訴您他們換了新號碼，或需要您幫忙做某件事。 範例：您收到來自另一個分公司 Janet 的「緊急」語音留言，表示她的資料庫當機，急需某位特定客戶的帳戶資訊。當您回電給「Janet」時，便向釣魚者透露了個人資訊，對方隨即利用這些資料入侵該客戶的銀行帳戶。實體入侵
社交工程師有時會假扮成員工，或送貨司機等親切面孔以進入建築物，然後趁無人看管時，入侵電腦或翻找私密文件。 範例：一名身穿郵務人員制服的人手忙腳亂地抱著一疊包裹，從您身後走來。您在進入辦公室時好心地為他扶住門，結果這名郵務人員其實是偽裝的網路犯罪者。包裹裡裝的是什麼？是駭客裝置，他們會將這些裝置插入公司的電腦和伺服器，以入侵您的網路。知識就是力量！
社交工程師是操縱人心的高手，但他們並不會控制心智。沒錯，駭客會試圖欺騙您，但您也掌握著更有效保護組織的力量。透過深入了解社交工程技巧，您就能具備識破惡意人士所需的知識。 請為自己所帶來的影響感到自豪，並與同事（以及您的親友）分享您新學到的知識，讓每個人都能保持安全。