如今，许多服务都使用双因素身份验证（又称双因子身份验证、双重身份验证）来提高用户帐户的安全性。在大多数情况下，双因素身份验证使用密码和通过短信、电子邮件发送的代码或身份验证器产生的代码作为验证的两个因素。与仅使用密码这种单一的身份验证方法相比，双因素身份验证明显更强大并且提供了更好的安全性。
话虽这么说，双因素身份验证还是容易受到黑客的攻击和利用。对此，昆明亭长朗然科技有限公司网络安全研究员董志军警示道：最值得注意的是，黑客使用社交工程策略绕过双因素身份验证并入侵用户帐户的案例越来越多。因此，很有必要充分了解社会工程学的工作原理以及如何聪明地加以应对。
什么是社会工程学？
安全领域内的专业人员通常可能已经知道一些关于社会工程学的知识内容，但是大多数人可能都不知晓。社会工程学通常指不法分子利用人类的行为和心理学，通过使用情感触发以及其他心理策略，诱使用户交出其个人信息和其他详细信息。
由于社会工程学使用人类心理学，因此没有万无一失的方法来应对它，事实上，几乎没有能有效阻止社会工程攻击的软件或工具。
无疑，人们的安全意识是抵御社会工程学攻击的第一道也是唯一的一道防线。如果用户知道什么是社交工程攻击以及如何该攻击是如何运作的，那么他/她更有可能识别出该攻击，而不是上当受骗。
对抗社会工程学的第一步是了解其工作原理。以下是一些黑客绕过双因素身份验证的最常见方案。
社会工程学如何运作？
黑客使用各种策略来执行社会工程攻击。当涉及双因素身份验证时，有两种最常见的社会工程攻击场景。
场景一、黑客知道用户名和密码
数据泄漏在当今的数字世界中很普遍，甚至大型公司和在线零售商也难逃劫难。在此类数据泄漏事件中，包括登录用户名和密码在内的大量用户数据被转储到黑客站点上。
任何黑客都可以访问此数据并获得您的登录凭据，他们可以通过“撞库”方式获取没有实施双因素身份验证的网站应用。但是，通过双重身份验证，黑客无法仅使用用户名和密码成功登录。因此，黑客需要使用社交工程来获取用于第二步验证的代码。
在此类攻击期间，黑客会向用户发送各种由头的钓鱼消息，以套取用户的双因素验证码。
在幕后，黑客使用您的用户名和密码登录该服务。接下来，通常的网络服务会将验证码发送到用户的电话号码或电子邮箱。
如果用户使用验证码对伪造的钓鱼消息做出响应，则黑客便获得了它，接下来便可以使用它绕过双因素身份验证的第二步。登录后，黑客还会窃取会话Cookie，并拥有未经授权的用户帐户的长久完全访问权限。
场景二、黑客没有用户名和密码
如果黑客不知道您的用户名、密码、电话号码或验证码，他也可以使用社会工程学攻击来获得所有这些以及更多。
这种攻击通常是使用网络钓鱼网站，也就是冒充真正网站的假冒网站。假冒网站通常使用外观与真实网站相似的网址。
在伪造的网站上，黑客要求用户提供用户名和密码进行登录。当用户提供这些详细信息时，黑客会使用它们在真实的登录网站上登录。真实的网站会将验证码发送到用户的电话号码或电子邮箱。当用户在假登录网站上输入此代码时，黑客也会获取该代码，并使用它来完成在真实网站上的登录。这个过程往往是自动化的，用户可能根本觉察不出来。
这样，黑客就可以绕过双因素身份验证并获得对服务或网站上的用户帐户的访问权限。
如何防止双因素身份验证遭到黑客利用社交工程技术的入侵？
既然我们已经了解了黑客如何使用社会工程学绕过双因素身份验证，现在该探讨一些可以防止黑客利用社会工程学入侵的方法了。使用这些工具和技巧，您可以避免自己陷入社会工程的陷阱，并可以帮助到工作场所的同事们。
1、安全密语
安全密语是金融服务网站通常使用的一种身份验证形式，它往往是用户事先留存给合法网站的秘密信息，在输入用户名和密码之后，提交双因素验证码之前，用户可以通过这些秘密信息，来确认网站的真实性。这样，可以防止网络钓鱼网站和伪造的登录页面获取用户双因素验证码登录信息。当然，也不排除定向式的攻击者连用户预留的安全密语也一同伪造于钓鱼网站的情况。
2、硬件令牌
硬件令牌也是金融服务网站通常使用的一种身份验证和授权操作形式，即使网络钓鱼者窃取了用户的用户名、密码和登录验证码，并成功获得了用户的登录凭据，他们在进行关键操作，比如将财产转出时，仍然需要使用硬件令牌，输入硬件令牌生成的操作授权码。这种多一重的授权形式，起到了保护核心信息和资产的目的。不过，会不会有用户被网络钓鱼者远程电话遥控操作硬件令牌并提供类似转账确认这种操作呢？在电信诈骗案例中，向“安全账户”转钱时用户会毫不犹豫地上当的。
3、社会工程学意识
安全意识是抵抗社会工程的最重要方法，了解什么是社会工程学及其工作原理的用户通常可以更有效地避免社会工程学攻击。“短信验证码，打死也不告诉他人。”的这种安全方法虽然很通俗实用，但是往往没有深入到工作原理，接下来当用户被社会工程黑客要求其提供支付条码的文本时，用户便不能举一反三。
总之，加强员工的社会工程意识培训，使其可以识别和抵御社会工程攻击是终极的解决方案。模拟黑客和模拟钓鱼场景是很形象地帮助用户了解社会工程学如何工作的一种好方法。
昆明亭长朗然科技有限公司推出了专门针对职场人员的社会工程学防范意识课程，欢迎有需要的客户或伙伴们联系我们，洽谈合作。当然，如果您对文中的这个话题有兴趣或者有自己的观点看法，欢迎联系我们，以进一步深入探讨。
