免费赠送丨网络安全意识：防社工海报8幅

今年，某金融行业在一场内部攻防演练中，红队通过多人角色扮演的社工钓鱼策略突破防线。攻击者伪装成 “某大型公司 HR”，在脉脉等求职平台锁定目标单位的运维人员，以 “年薪百万岗位” 为诱饵诱导其添加微信，并发送藏有后门的压缩包。同时，他们还通过伪造的 “薪资调整通知”“安全漏洞补丁” 等邮件主题，利用员工对工作场景的信任，成功获取内网权限。

可以发现，社工钓鱼的攻击套路灵活，且效果显著。对于攻击者来说，与其绞尽脑汁突破内网防线，不如转为突破员工的防线，从而更加轻松地进入内网。虽然大部分安全从业者都了解社工钓鱼可能会造成的不良结果，但想要对抗还是有很大的难度。原因在于：

01 利用人性弱点，突破心理防线

权威与紧急性：攻击者常冒充 “系统管理员”“HR” 或 “高管”，以 “账号异常需紧急验证”“薪资调整需确认” 等话术制造紧迫感，诱使用户无暇验证真实性。例如，某 IT 企业员工因收到 “异常登录提醒” 邮件，在恐慌中点击钓鱼链接，导致账号泄露。

信任锚点构建：通过伪造社交媒体账号、克隆语音或视频（如 Deepfake 技术），攻击者模拟熟人或可信机构，降低用户警惕。2024 年某欧洲企业因 CEO 视频被伪造，财务人员按指令向 “供应商” 转账，损失惨重。

利益诱惑：以 “领取福利”“抽奖”“高薪职位” 为诱饵，利用人类趋利心理。例如，红队通过 “年薪百万岗位” 吸引运维人员，进而植入木马。

02 技术手段隐蔽，绕过传统防御

伪装与混淆：钓鱼邮件常使用合法域名的变体（如 “paypal.com” 变为 “paypai.com”），或通过 HTTPS 加密、伪造证书增强可信度。SolarWinds 攻击中，攻击者还通过清除 LNK 文件元数据、伪装 PDF 文件等手段规避溯源。

多阶段攻击链：从钓鱼邮件投递到后续横向移动，攻击过程复杂且隐蔽。例如，攻击者先通过钓鱼获取初始权限，再利用供应链漏洞（如 Log4j2）扩大渗透范围。

移动设备与新型载体：SMiShing 攻击利用短信绕过邮件过滤，而伪造的移动应用（如假 Chrome）可长期潜伏窃取数据。此外，攻击者还通过微信、QQ 群等社交平台发送伪装成 “内部文档” 的恶意文件。

03 攻击面扩大，防御资源不对称

远程办公与移动化：云计算和远程办公导致传统网络边界消失，终端设备（如手机、平板）成为新的攻击入口。某金融行业因员工远程访问需求开放互联网权限，钓鱼攻击成功率显著上升。

供应链与第三方风险：攻击者通过攻陷供应商（如 SolarWinds）或利用开源组件漏洞，间接渗透目标企业。此类攻击难以通过单点防御拦截。

攻击者专业化与资源优势：APT 组织和黑灰产团队投入大量资源研究漏洞、定制攻击工具，而企业安全团队在资金、技术和人员上往往处于劣势。例如，红队在攻防演练中使用 “超级 0day” 漏洞，普通企业难以应对。

04 防御技术存在局限性

多因素认证（MFA）的漏洞：虽然 MFA 能有效防止密码泄露，但攻击者可通过 “会话劫持” 或伪造受管理设备绕过部分机制。例如，微软建议结合 FIDO2 安全密钥等防钓鱼方法，但用户可能因操作繁琐而弃用。

反钓鱼工具的误判与滞后性：传统邮件过滤依赖特征库，难以识别新型变体。深信服等厂商虽通过 AI 大模型实现 95% 以上的钓鱼邮件检出率，但攻击者可通过快速更换签名、混淆代码绕过检测。

用户安全意识参差不齐：即使企业部署防御工具，员工仍可能因误操作（如点击可疑链接、下载附件）导致防线失效。某金融机构在演练中发现，所有突破口均来自钓鱼攻击，反映出用户培训的不足。

05 攻击手段持续进化，防御成本高

技术迭代快：从早期的邮件钓鱼到如今的深度伪造、供应链攻击，攻击手段不断升级。例如，攻击者利用 HTML Smuggling 技术在本地生成恶意文件，完全规避防火墙检测。

防御复杂度增加：企业需同时应对邮件、短信、社交媒体等多渠道攻击，并平衡安全性与用户体验。传统双终端隔离方案成本高昂，而零信任沙箱等新技术虽有效，但部署和维护难度较大。

对此，安在新媒体面向社群用户，推出“网络安全意识团购服务”，涵盖宣传素材、培训课程、威胁体验、游戏互动等，采用线上线下融合的方式，帮助员工掌握安全要点，并提供定制化安全策略咨询。

针对社工钓鱼攻击，安在新媒体推出了8幅防社工海报。海报的图文形式可以细致地展现出各类安全风险的危害，企业可将其以展板、易拉宝形式放置于办公区域，持续性加深员工的安全意识。

更多防社工海报，关注【安在新媒体】联系我们

部分展示，以作参考，更多服务，详情请洽

Tina（诸子云群秘Tina）

获取更多安全意识资料，加入诸子云，关注【知识星球】，持续更新

安在意识服务