什麼是社交工程攻擊?

什麼是社交工程攻擊

社交工程攻擊（Social Engineering Attack）顧名思義是透過合法的社交互動或活動，與被攻擊者進行接觸，使被攻擊者心理受到影響，進而自願透露個人的機密資訊的一種攻擊方式。

攻擊者為了影響目標（被攻擊者）的心理，主要會利用人性的弱點來進行攻擊，讓攻擊者可以取得目標的機密資訊或是財產。

而詐騙就是一種常見的傳統社交工程攻擊，攻擊者會利用人性的貪婪特質，透過一些與金錢相關的誘惑，吸引目標上鉤。

網路上最常見的一種社交工程攻擊手法就是釣魚（Phishing）。釣魚主要的目的是為了欺騙被攻擊者，自願提供個人資料、銀行帳號密碼或是信用卡號碼這類型的資料，釣魚的形式可能透過網頁、Email、電話或是簡訊等等的方式。

惡意網路釣魚電子郵件大多會偽裝是知名企業，但實際上來自 Webmail 位址是免費的電子郵件信箱。舉一個2022最常見的例子，駭客的電子郵件偽裝成“DHL Express”。電子郵件的主題是“無法遞送的DHL（包裹/貨物）”，並且在郵件內容中，試圖說服受害者點擊惡意連結，聲稱有個快遞要送給他們。郵件內容的連結指向一個惡意網站，該網站要求受害者輸入帳號和密碼。當受害者送出帳號和密碼後，駭客就已經成功騙取到受害者。

另一個例子是，駭客偽造的Microsoft電子郵件信箱，其主題是“在 OneDrive 上與您共用了一份名為「提案」的文檔”。攻擊者也是企圖引誘受害者點擊惡意連結，聲稱在OneDrive上與他們共用了一份名為「提案」的重要文件。該惡意連結會重新導向到一個欺詐性Microsoft網頁登錄頁面，要求使用者需要在該頁面中輸入帳戶密碼。

以上兩個例子，若是警覺性不高的受害者收到電子郵件，就會嘗試輸入帳號與密碼，如此一來，讓駭客使用釣魚（Phishing）攻擊手法，輕而易舉的騙取到電子郵件的帳號與密碼。