想成为社交工程“骗子”么?

开文之前,我们说一下范围,是在信息安全领域中的社交工程骗子。而不是社会学领域的社交工程,那都是些宗教、政治领袖或传销骗子们玩儿的。

人们经常说,社交工程诈骗通常是集团式作战,有严密的分工。当然,要干“大事儿”,需要有团队,有人编骗术剧本,有人负责技术,有人打电话,有人网上偷钱,有人线下取钱……

事实上,这个行业也可以“单干”,或者小规模团队行动,尤其是目标集中在重要信息的社交工程骗子。当然,首先要说的就是,我们绝不鼓励您去“行骗”,那是违法的,我们自己也绝不会给您提供网络犯罪工具,或教唆您去违法犯罪。相反,您应该严格遵守适用的法律法规,比如《网络安全法》、《计算机安全保护条例》等,做一名合格的网民。我们的目的只是引起您的好奇心,让您了解这种可能性,即一个社交工程“骗子”是如何炼成的,进而让您能够“知己知彼”,在工作和生活中注意防范社交工程诈骗,保护好重要甚至机密信息。

通过社会工程大师之路

我在信息技术世界和信息安全领域的岁月有20余年了。昆明亭长朗然科技有限公司网络安全研究员董志军说:期间遇到了许多年轻干将、各种各样的极客高手以及介于两者之间的各色人物。不管是外向的和内向的,在这个行业中混迹的发达的都有。所以,不管您是什么样的性格特质,都有可能成为社交工程“骗子”,也就是说,什么性格的社交工程“骗子”都有。

不要以为口才好的,外向的人才能成为社交骗子,外向的人更容易而已。这是因为社交工程的基本难题是能够开始和目标进行对话,让目标开始信任您,并且不会对您最终提出的问题和要求产生怀疑。我搞信息安全与保密的久了,性格变得保守和内向了,像很多程序员“码农”一样,几乎没有什么社交互动。但是我看到类似的内向性格人员却很自信,当然也很成功,他们以不同但相似的方式进行网络冒充、钓鱼和掠夺。有的人甚至因干了这一行当而彻底改变了性格,原本的极内向的好好先生,后来成为生活中的泡妞高手和人生赢家。

英雄不论出处,社会工程大师不论出生,不管您是红二代、官二代、富二代还是穷二代,只要努力,就能成功,就像人们膜拜的互联网英雄大佬们一样。我看到很多今天混在城中村小黑屋里的“穷鬼”,干成一大笔后,明天买下别墅,开着豪车出入奢华场馆。当然,更多还是保持相当的低调,纵使发达了,仍然像个普通人一样平静地过日子。

我是从做电脑文员、IT/网络管理/服务器支持进入网络安全领域的,但是我看到进入这行业的人来自各行当的都有,其中有一个粮油店伙计,前期在业余时间有这爱好,后期发达了,从粮油伙计变成渔具店老板了。当然,这“渔具”就是“网络钓鱼”用的黑产工具。不过,那小子知道及时止步,前几年洗手不干,移民海外了。

再次强调一下,不管做什么事儿,都要弄清自我,做守法公民,并遵守适用的职业道德规范。人生不值得为短暂的辉煌而冒险去干违法犯罪的事儿,进而让自己在牢狱里度过大半生。

既然有了追求,就要努力,现在诱惑多,工作报酬低,很多年轻人很无奈,在空闲时间就玩儿手游。我不是说不能玩儿,但是沉迷进去不行,人生短暂,时间都花到娱乐中,哪儿还能学习社交工程啊。还有一点是方法,就是要走出舒适区,人们往往善于做自己的专业工作,虽然枯燥,但这个舒适区的吸引力很强,我们要挑战自己,走出我的舒适区。不断尝新,设立一些掌握新知的小目标,在实现了之后,给自己适当的奖励,不断通过这样来刺激自己成长。视野宽了,懂得多了,社交工程才更好做。

上述基本上就是一个通往社会工程大师之路的关键点了,在这过程中会有很多不适,就是不舒服,比如碰到自己不懂的或者难消化的新知,或者忍受一些生活中的困难甚至他人的嘲讽。但是只要有希望,坚持不懈,永不放弃,终会成功。比如,您给自己定下了掌握Metasploit社交工程套件的计划,就应该全身心投入,即使放弃一些手游娱乐以及同事聚餐。

终上所述,不要小看社交工程“骗子”,他们同很多专业人士一样,都是经过努力拼打过来的,当然有能力的时候要走正路,到网络安全公司谋职是不错的,有很多社工和渗透测试工作相关的职位。

了解防范社交工程“骗子”们的成长轨迹,知晓他们的骗术手法,当您对社会工程“骗子”的了解超过他们自己后,在遭遇社工诈骗时,不用急着试探和揭开他们的真实面目,应该及时避开并向相关人员发起报告和警示。

希望本文通过分享一些我的职业生涯中的所见与所感,能帮助坚定您的意愿,至少对您是否进入社交工程行业产生了积极影响,这个道路丰富了我的个人生活。在这过程中我们能够遇到很么多新的、有趣的人,并进一步巩固友谊,让我的整个世界变得更加开放和充实。社交工程技能在与信息安全无关的日常情况下是可用且有意义的,不见得会帮您找个美女或帅哥相伴,但是也不排除这种可能。

如果您对社会心理学、信息安全或相关课题感兴趣,那么社会工程学就是您应该研究的领域。社交工程大师就可以成为您的职业目标,祝您早日成材,正大光明,行大道!

昆明亭长朗然科技有限公司创作了数百部网络安全教育视频课程以及宣传图片,数百万学员通过我们的作品提升了安全防范意识、信息保密意识及合规守法意识,不仅保护好了自己,也给所在工作单位带来了安全收益。欢迎有类似需求的领导们及信息安全产品厂商、服务商、合作伙伴们与我们联系,洽谈业务合作。

昆明亭长朗然科技有限公司

电话:0871-67122372
手机:18206751343
微信:18206751343
邮箱:info@securemymind.com
QQ:1767022898

积极策划开展“安全意识进企业”系列活动

今天的多数组织机构特别是信赖互联网系统和信息数据进行商业交易的公司企业,无疑得花费大功夫来保障信息资产的安全,进而确保客户及合作伙伴的信任,以及保护组织的品牌信誉。

近日发生的一起事件颇值得玩味,国航网站系统短时故障,造成部分旅客以零元票价购得国际航线机票,随后被告知出票失败,实际上多数国内的电商都会有相关的法律声明,为自己的过错找“耍赖”的机会。可悲的是多数电商就停留在“耍赖”的层面,甚至反诬消费者故意钻空子,最终让顾客感觉没占到便宜,反倒很受伤,消费者浪费了宝贵的感情和时间,换来的自然是对电商服务的不满和唾弃。而垄断行业之外的激烈竞争让部分电商开始反思客户忠诚度、客户满意度与客户回头率之间的关联,他们开始真正关心顾客。

好的消息是国航在几天之后重发微博,称其注重诚信,将承担相应损失,即零元机票有效。我们不得不赞叹国航不仅是策划和营销高手,更是安全管理方面的专家。虽说在短期之内,就此事件本身结局而言,国航可能亏了,不过将重重危机转变为成功营销无疑将为其带来长远的客源。

说到安全管理方面,尽管网站可能有法律声明,比如有权判定由于系统的故障造成的恶意购票无效,可是仍然会面临部分旅客和媒体的声讨,被骂不守信甚至被诉诸法律。先不管被诉诸法律之后输赢,商业公司不守契约则将给带来的是比法规遵循更严重的商业运营风险。

而在信息安全管理方面,出现这种事故,显然是信息系统缺乏数据校验的结果,信息安全从业人员通常都知道安全三要素之一是Integrity,即“真实性”、“完整性”,如果数据的真实性出现问题,或受到严重的挑战,则表明信息安全方面的改进空间很大。

为保障信息安全,我们会部署各类安全系统、比如安全控管技术以及作业流程,同时,一些业务部门、安全和信息技术的经理们也会想到要保证每位员工了解到他们在保护组织信息资产方面的安全职责。归根结底,以国航为代表的多数大型企业目前最缺乏的是让员工们了解到自己的安全职责,只有当他们接受了足够的安全意识培训之后,才可能认识到安全的基本原理和重要性,才可能在工作中注意保证数据的“真实性”和“完整性”。

如果您觉得我们上述关于国航零元机票事件和信息安全管理的关联比较牵强,那就说明您的确需要加强信息安全意识方面的学习,我们不仅为您着想,更为您所服务的企业。请想想,如果负责国航在线票务信息系统的IT经理、管理员或客服人员稍有些保障数据安全“真实性”或“完整性”的常识,肯定会对员工进行适当的安全技术和流程培训,对零元这种异常的不合理的机票报价进行结果校验、过滤筛选以及报错处理。在银行业,对巨额的交易往往会有专职的交易控制人员来进行人工审核,审核通过之后才会进入下一步流程,当然,银行业的部分安全管理方法和手段虽然值得学习,但是从最近的“中国黄金第一案”事件处理结果看,银行的部分客户服务姿态和做法很令大众所不齿,加之巨额的垄断利润,容易让人们质疑银行的社会责任感,银行自身的安全漏洞却让客户负责,更是让银行界的信息系统安全管理团队和信息安全服务公司为此白白蒙羞。

关于系统安全漏洞方面,我们得理解国内企业的信息安全团队和管理人员,毕竟大的环境是客户的安全意识不足,法律法规对安全的要求也比较低,所以多数系统设计和开发人员并不会在保障安全方面追求极致,加之项目进度的追赶,通常整合以及实施一些安全技术措施便拿来上线,以期能抵御多数安全攻击和意外事故。然而在消费者开始觉醒,越来越精明甚至刁蛮的时候,他们中的技术黑客对安全漏洞越来越着迷的时候,企业无疑应该打破常规走出新路,及时更新员工们的安全意识,至少要让员工们的安全意识认知走在消费者的前面。

好的消息是昆明亭长朗然科技有限公司所接触的几乎所有银行业信息安全负责人都表示:如果遭遇此类由于系统安全漏洞而造成的巨额损失事故,愿意承担责任。从这些简单的安全承诺中,我们看到了信息安全领袖们的专业敬业精神和职业化魄力,这让我们很感动,也让我们更加坚信信息安全产业必将拥有光明的未来。不过我们更坚信科学,安全事故的发生不可能百分百杜绝,除非人人都能重视信息安全,都能了解到自己的安全职责,以及基本的和完成工作所必要的安全常识。

信息系统的漏洞可以找专业的漏洞检测和挖掘人员帮忙,业务流程中的漏洞可以通过加强权限管理等方式来处理,但是人们脆弱的安全意识才是信息安全管理中最大的漏洞,这无疑需要通过加强安全意识教育来弥补。

“对员工进行培训是取得安全成功的最好投资,安全培训不是对员工进行恐吓、警告或告警,而是帮助和成就员工,通过必要的沟通管道,向员工输送安全知识、理念、责任和信心。只有在安全方面帮助和成就了员工的企业,才能获得员工在安全工作方面的回馈。”亭长朗然公司的培训讲师Alice Wong如是说。

据悉,昆明亭长朗然科技有限公司将在未来数年,携手全球多家合作伙伴,攻城略地,上山下乡,广泛开展“安全意识进企业”系列活动,欢迎各有意向的最终企业或合作伙伴与我们联系