继续
▶
1 / 13
继续
▶
🎭
操纵人心的艺术
社会工程学深度解析 —— 从认知偏差到AI时代的攻防博弈
0
万美元 · Arup深度伪造诈骗
0
亿美元 · 2024年BEC损失
0
% · 深度伪造欺诈激增
点击右上角"继续"开始探索
第一部分
什么是
社会工程学
？
攻击者通过
心理操纵
、
欺骗
、
诱导
等
非技术手段
，诱使目标泄露机密信息、执行有害操作或授予未授权访问权限的行为艺术。
"让别人按照你的预期和计划行动的艺术和科学。" —— Harl, 1997
核心定义：
利用对方
心理弱点
，综合利用技术手段诱骗对方来获得自身利益的行为体系。
它永远是心理的，有时也是技术的。
📜 历史案例
1952年 · 维克多·卢斯蒂格"出售"埃菲尔铁塔
乔装成法国政府工作人员，伪造公文，邀请废品收购商谈判，声称政府因维护费用太高要卖掉铁塔。最高行贿金额超过
5000美元
——在当时是笔巨款。社会工程学在
技术出现之前
就已经存在了。
第二部分 · 2.1
🎣 钓鱼攻击
家族
伪造发件人地址、仿冒官网。
82.6%
的钓鱼邮件已采用AI生成内容。
📧
普通钓鱼 Phishing
伪造发件人地址、仿冒官网。
82.6%
的钓鱼邮件已采用AI生成内容。
🎯
鱼叉式钓鱼 Spear Phishing
精准制导，事先情报收集。案例：
2011年RSA SecurID泄露
。
🐋
鲸钓 Whaling
瞄准企业高管。案例：
FACC CEO被解雇
，损失超1000万欧元。
📞
Vishing & Smishing
电话/短信钓鱼。案例：
CarGurus 1240万条
用户记录泄露。
第二部分 · 2.2
🎭 预文本攻击
Pretexting
核心：
预先编造一个可信的"剧本"，以此为前提与目标建立互动关系。
1
信息收集
通过公开渠道收集目标的个人资料、组织架构、业务流程
2
信任建立
引用真实项目名称、使用行业黑话、提及共同认识的同事
3
信息提取
渐进式提问，从无害信息逐步过渡到敏感信息
4
访问执行
利用获取的信息或凭证完成入侵
💡 经典案例
米特尼克对加州DMV的攻击
米特尼克甚至没有主动索要信息——他通过"假装需要帮助"，让接线员
主动纠正
他，从而泄露了真实的Requester Code。这就是预文本攻击的
精髓
。
第二部分 · 2.3
🚪 物理社会
工程学
🚶 尾随攻击 Tailgating
跟随持有合法门禁卡的员工进入受限区域。利用人类的
社交礼貌
——当有人双手抱着文件时，大多数员工会出于善意为其扶门。
💾 诱饵攻击 Baiting
丢弃标注"机密"、"薪资名单"的恶意U盘。美国国防部测试：
97%
的U盘被捡起并插入电脑。
第二部分 · 2.4
💰 商业邮件诈骗
BEC
自2013年以来，BEC攻击造成的累计损失已超过
550亿美元
2023年单年损失
29亿美元
，位居所有网络犯罪类别
之首
。
第二部分 · 2.5
🤖 AI时代的
新型社会工程学
🧑🎤
深度伪造 Deepfake
语音克隆API仅需
5美元
，实时视频伪造成本
50-500美元
。操作门槛降至"会打字即可"。
🔔
MFA疲劳攻击
反复发送推送通知轰炸受害者，使其误以为是系统故障而点击"批准"。案例：
Uber攻击事件
。
☁️
钓鱼即服务 PhaaS
每月约
20美元
订阅全套钓鱼工具包。ClickFix/InstallFix攻击激增
517%
。
思维导图
攻击技术
全景图谱
社会工程学
攻击技术图谱
🎣 钓鱼攻击家族
Phishing / Spear / Whaling
🎭 预文本攻击
Pretexting · 四阶段剧本
🚪 物理社会工程学
Tailgating · Baiting
💰 商业邮件诈骗 BEC
累计损失超550亿美元
🧑🎤 深度伪造 Deepfake
语音克隆仅需5美元
🔔 MFA疲劳 / PhaaS
推送轰炸 / 钓鱼即服务
第三部分 · 3.1
🧠 西奥迪尼的
六大影响力原则
🤝
互惠原则
当他人提供价值，我们产生
"亏欠感"
，倾向于回报。攻击者先"善意提醒"，再顺势提问。
🚪
承诺与一致
"登门槛"效应
：先提小请求，再逐步升级。拒绝后续请求会产生认知失调。
👥
社会认同
"90%的同事已完成"——利用
从众效应
，让受害者怕成为"异类"。
👑
权威原则
冒充CEO、IT管理员、警察。米尔格拉姆实验证明：普通人愿在权威指令下施加
"致命"电击
。
😊
喜好原则
伪装成"校友"、"同好"。LinkedIn是
喜好原则攻击的温床
。
⏰
稀缺原则
"1小时内修改密码，否则冻结！"时间压力下，
前额叶皮层
活动减弱，
杏仁核
活动增强。
第三部分 · 3.2
🧩 认知偏差：大脑中的
"逻辑漏洞"
可得性启发式
依据记忆中容易想起的例子做判断。攻击者引用近期真实事件增加可信度。
确认偏差
寻找支持已有信念的信息，忽略矛盾信息。知道公司在招CISO → 更相信伪造邮件。
锚定效应
先提极端要求，再"让步"到较小要求。目标会觉得第二个要求"相对合理"。
邓宁-克鲁格效应
"懂一点但不够多"的中间群体——有足够自信忽视警告，却没有足够知识识别攻击。
思维导图
心理学原理
思维导图
心理学
攻击为何有效
🤝 互惠 · 先给后取
"善意提醒"→顺势提问
🚪 承诺一致 · 登门槛
小请求→逐步升级
👥 社会认同 · 从众
"90%同事已完成"
👑 权威 · 服从指令
冒充CEO/IT/警察
😊 喜好 · 相似性
伪装校友/同好
⏰ 稀缺 · 时间压力
"1小时内修改，否则冻结"
⚡ 核心策略：系统2→系统1
制造紧迫感，绕过理性分析
第四部分
未来展望：
AI时代
的攻防博弈
📡
攻击面持续扩大
远程办公常态化瓦解了传统网络边界。物联网设备持续收集生物特征素材。智能手表心率数据可推断
情绪状态
——攻击者可能精准选择受害者
心理最脆弱
的时刻发起攻击。
⚔️
生成式AI"军备竞赛"
攻击者只需找到
一个突破口
，防御者必须堵住
所有漏洞
。AI使攻击的"可解释性"下降——不存在可检测的模板或签名。
未来防御越来越依赖行为分析而非内容分析。
⚖️
法律、伦理与政策
欧盟《人工智能法案》将深度伪造列为
"高风险AI应用"
。中国《深度合成管理规定》要求显著标识。但技术发展速度远超立法进程，地下犯罪生态对法律约束
天然免疫
。
🌟
结语
在
信任
与
怀疑
之间
寻找平衡
社会工程学的本质，是对人类最美好品质的恶意利用——我们的
信任
、
善良
、
乐于助人
和对
权威的尊重
。
培养
"有意识的信任"
：
在默认信任的同时，为关键决策建立
验证机制
在乐于助人的同时，对异常请求保持
警觉
在尊重权威的同时，保留
质疑的权利
最强大的防火墙不是由代码构成的，
而是由知识、警觉和批判性思维构成的
人类心智
。
"我过去利用的是人们的无知，现在我致力于消除这种无知。"
—— 凯文·米特尼克
谢谢大家！