社交工程
社交工程（Social Engineering）是操縱人，而不是破解密碼演算法。目標通常是：交出驗證碼、點惡意連結、轉帳、或安裝遠端協助軟體。技術控制擋得了部分，擋不了「老闆在電話裡很急」這種壓力。
常見手法
| 名稱 | 通道 | 特徵 |
|---|---|---|
| 釣魚 Phishing | 大量郵件 | 假登入頁、附件、緊迫語氣 |
| 魚叉式 Spear phishing | 針對個人 | 用你的專案、同事名字 |
| 捕鯨 Whaling | 高階主管 | 假律師、假併購、假工單 |
| 簡訊／語音 | SMS、電話 | 包裹、稅務、客服 |
| 商業電子郵件詐騙 BEC | 已遭入侵的信箱 | 改帳號、改匯款 |
共同心理槓桿：恐懼、貪婪、服從權威、緊急性。訓練時請練習「先停、另開通道驗證」。
組織能做的控制
- 財務：變更受款帳戶必須第二人用已知電話確認。
- IT：不透過來電請人安裝遠端軟體；客服不向來電者索取密碼。
- 技術：MFA、郵件標示外部來信、瀏覽器隔離、停用巨集。
- 演練：模擬釣魚後提供即時教學，而不是只公開羞辱點擊者。
建議影片
Social Engineering - How Bad Guys Hack Users
IBM 的 Jeff Crume 用三個情境說明：針對個人的魚叉式釣魚如何偷憑證、偽裝軟體如何變成遠端木馬、以及深偽語音如何利用公開資訊與恐懼。影片反覆強調 DNS 過濾與 MFA 等技術輔助，但核心仍是「人被騙了系統就會開」。
官方學習資源
意識訓練
CISA 社交工程與釣魚資源 適合做內部宣導教材來源。