社会工程攻击依然是企业面临的最大威胁

企业进入数字化时代，网络攻击行为无处不在，利用社会工程攻击已成黑客的惯用手段。研究表明，91%的网络攻击是通过社会工程手段完成的。

常见的社会工程攻击手段有哪些？

网络钓鱼：

这是经典手段，大多数的钓鱼攻击都是伪装成银行、学校、软件公司或政府安全机构等可信服务提供者，要求用户提供相关信息。

伪造邮件：

攻击者“黑”进一个电子邮件，利用受害者邮箱发送邮件或者链接，要求好友提供信息或进行相关操作。

诱饵计划：

利用用户大意或兴趣，比如新闻热点、关注话题、官方通知等，进行信息挖掘。

精准的社会工程攻击是如何进行的？

第一步、黑客对目标先进行分析，收集可利用的资料信息，如服务内容 、邮件地址、财务状况、商务信息等，这些可以通过公开的网络获取。

第二步、分析企业薄弱点，利用电子邮件发送钓鱼邮件，植入恶意软件，或其他类型的恶意软件。例如合作协议、付款说明，或冒名官方发送政策调整、密码重置、身份验证等。利用人们疏于防范的心理引诱用户进入指定页面，输入敏感信息或下载恶意程序。

第三步、一旦入侵成功，黑客将进一步获取系统权限，访问其他数据，进行非法操作如窃取密码、读取数据、添加用户、植入木马或更改系统配置等，为下次入侵做好铺垫。

第四步、离开前黑客会对自己的活动轨迹进行擦除，隐藏自己潜伏在系统中，长期获取可利用的数据，尝试渗透其他系统，等待合适时机实施更大规模的攻击。

近期案例

西工大钓鱼邮件攻击：黑客通过以“科研评审、答辩邀请和出国通知”为主题的钓鱼邮件，邮件内含木马程序，引诱部分师生点击链接，非法获取师生电子邮箱登录权限，致使相关邮件数据被窃取。

企业邮箱安全问题仍然突出，国内政企邮件安全隐患普遍存在。调研显示，30%以上的中大型企业存在个人邮箱和企业邮箱混用，或完全使用个人邮箱办公的情况。甚至一些企业没有独立邮件系统，没有明确邮件安全管理规定，没有文件外发数据传输等管理策略。

当前邮件安全导致的数据安全事件频发，企业电子邮箱又是重要事务通知和敏感数据传输的主要通道，因此每个企业机构应提前加固薄弱环节，进行必要的策略部署。

数据加密，可有效防止数据被窃或非法读取。

安全策略，可最大程度避免数据外泄事件的发生。