如今，许多服务都使用双因素身份验证（又称双因子身份验证、双重身份验证）来提高用户帐户的安全性。在大多数情况下，双因素身份验证使用密码和通过短信、电子邮件发送的代码或身份验证器产生的代码作为验证的两个因素。与仅使用密码这种单一的身份验证方法相比，双因素身份验证明显更强大并且提供了更好的安全性。

话虽这么说，双因素身份验证还是容易受到黑客的攻击和利用。对此，昆明亭长朗然科技有限公司网络安全研究员董志军警示道：最值得注意的是，黑客使用社交工程策略绕过双因素身份验证并入侵用户帐户的案例越来越多。因此，很有必要充分了解社会工程学的工作原理以及如何聪明地加以应对。

什么是社会工程学？

安全领域内的专业人员通常可能已经知道一些关于社会工程学的知识内容，但是大多数人可能都不知晓。社会工程学通常指不法分子利用人类的行为和心理学，通过使用情感触发以及其他心理策略，诱使用户交出其个人信息和其他详细信息。

由于社会工程学使用人类心理学，因此没有万无一失的方法来应对它，事实上，几乎没有能有效阻止社会工程攻击的软件或工具。

无疑，人们的安全意识是抵御社会工程学攻击的第一道也是唯一的一道防线。如果用户知道什么是社交工程攻击以及如何该攻击是如何运作的，那么他/她更有可能识别出该攻击，而不是上当受骗。

对抗社会工程学的第一步是了解其工作原理。以下是一些黑客绕过双因素身份验证的最常见方案。

社会工程学如何运作？

黑客使用各种策略来执行社会工程攻击。当涉及双因素身份验证时，有两种最常见的社会工程攻击场景。

场景一、黑客知道用户名和密码

数据泄漏在当今的数字世界中很普遍，甚至大型公司和在线零售商也难逃劫难。在此类数据泄漏事件中，包括登录用户名和密码在内的大量用户数据被转储到黑客站点上。

任何黑客都可以访问此数据并获得您的登录凭据，他们可以通过“撞库”方式获取没有实施双因素身份验证的网站应用。但是，通过双重身份验证，黑客无法仅使用用户名和密码成功登录。因此，黑客需要使用社交工程来获取用于第二步验证的代码。

在此类攻击期间，黑客会向用户发送各种由头的钓鱼消息，以套取用户的双因素验证码。

在幕后，黑客使用您的用户名和密码登录该服务。接下来，通常的网络服务会将验证码发送到用户的电话号码或电子邮箱。

如果用户使用验证码对伪造的钓鱼消息做出响应，则黑客便获得了它，接下来便可以使用它绕过双因素身份验证的第二步。登录后，黑客还会窃取会话Cookie，并拥有未经授权的用户帐户的长久完全访问权限。

场景二、黑客没有用户名和密码

如果黑客不知道您的用户名、密码、电话号码或验证码，他也可以使用社会工程学攻击来获得所有这些以及更多。

这种攻击通常是使用网络钓鱼网站，也就是冒充真正网站的假冒网站。假冒网站通常使用外观与真实网站相似的网址。

在伪造的网站上，黑客要求用户提供用户名和密码进行登录。当用户提供这些详细信息时，黑客会使用它们在真实的登录网站上登录。真实的网站会将验证码发送到用户的电话号码或电子邮箱。当用户在假登录网站上输入此代码时，黑客也会获取该代码，并使用它来完成在真实网站上的登录。这个过程往往是自动化的，用户可能根本觉察不出来。

这样，黑客就可以绕过双因素身份验证并获得对服务或网站上的用户帐户的访问权限。

如何防止双因素身份验证遭到黑客利用社交工程技术的入侵？

既然我们已经了解了黑客如何使用社会工程学绕过双因素身份验证，现在该探讨一些可以防止黑客利用社会工程学入侵的方法了。使用这些工具和技巧，您可以避免自己陷入社会工程的陷阱，并可以帮助到工作场所的同事们。

1、安全密语

安全密语是金融服务网站通常使用的一种身份验证形式，它往往是用户事先留存给合法网站的秘密信息，在输入用户名和密码之后，提交双因素验证码之前，用户可以通过这些秘密信息，来确认网站的真实性。这样，可以防止网络钓鱼网站和伪造的登录页面获取用户双因素验证码登录信息。当然，也不排除定向式的攻击者连用户预留的安全密语也一同伪造于钓鱼网站的情况。

2、硬件令牌

硬件令牌也是金融服务网站通常使用的一种身份验证和授权操作形式，即使网络钓鱼者窃取了用户的用户名、密码和登录验证码，并成功获得了用户的登录凭据，他们在进行关键操作，比如将财产转出时，仍然需要使用硬件令牌，输入硬件令牌生成的操作授权码。这种多一重的授权形式，起到了保护核心信息和资产的目的。不过，会不会有用户被网络钓鱼者远程电话遥控操作硬件令牌并提供类似转账确认这种操作呢？在电信诈骗案例中，向“安全账户”转钱时用户会毫不犹豫地上当的。

3、社会工程学意识

安全意识是抵抗社会工程的最重要方法，了解什么是社会工程学及其工作原理的用户通常可以更有效地避免社会工程学攻击。“短信验证码，打死也不告诉他人。”的这种安全方法虽然很通俗实用，但是往往没有深入到工作原理，接下来当用户被社会工程黑客要求其提供支付条码的文本时，用户便不能举一反三。

总之，加强员工的社会工程意识培训，使其可以识别和抵御社会工程攻击是终极的解决方案。模拟黑客和模拟钓鱼场景是很形象地帮助用户了解社会工程学如何工作的一种好方法。

昆明亭长朗然科技有限公司推出了专门针对职场人员的社会工程学防范意识课程，欢迎有需要的客户或伙伴们联系我们，洽谈合作。当然，如果您对文中的这个话题有兴趣或者有自己的观点看法，欢迎联系我们，以进一步深入探讨。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

科技进步极大地重塑了人类的生活模式，尤其是电话和互联网的广泛应用。这些技术的发展一方面显著缩短了人际沟通的距离，另一方面则使得信任关系的构建与维护变得更加复杂。互联网作为人际互动的载体，不可避免地涉及到社交活动。在技术漏洞带来安全风险的同时，人际交往本身也潜藏着重大风险。交流行为的存在，伴随着欺诈行为的发生，而这些欺诈行为成为了潜在的安全隐患。在此基础上，催生了一门新兴学科——社会工程学。对此，昆明亭长朗然科技有限公司网络安全专员董志军表示：社会工程学是一门研究如何通过个人的影响力、说服技巧来操纵他人，使其相信并采纳社会工程师所伪装的身份，从而实现特定目的的学科。社会工程师通过这些技巧，获取他们所需的信息。这一过程虽然常常伴随着技术手段的运用，但即便没有高科技的支持，社会工程师也能达成其目标。以下将通过几个案例，具体揭示社会工程学的实质和应用，以便更深入地理解这一领域的特点和内涵。

案例一：银行内鬼的骗局

1978年的某一天，瑞福晶偶然进入了美国保险太平洋银行公司，作为一名授权职员，他接触到了繁忙的电汇交易部门。这里每日的资金流转高达数十亿美元。当时，瑞福晶所在的公司恰好负责开发电汇交易的数据备份系统，这使他有机会深入了解转账流程，包括银行职员操作款项的步骤。他得知，被授权进行电汇的交易员每天早晨都会收到一个保密的密码，用于电话转账交易。然而，一些交易员为了方便记忆，会将密码写在纸片上，并将其贴在容易被看到的地方。

11月的一天，瑞福晶找了一个借口进入电汇部门。他假装在检查备份系统的运行情况，趁机偷看了纸片上的密码，并记在了心里。几分钟后，他离开了电汇部门，心中犹如中了大奖一般兴奋。当天下午3点左右，瑞福晶走到大厦前厅的付费电话旁，投入硬币，拨通了电汇部门的电话。他伪装成国际部的银行职员迈克尔森。

以下是那次通话的内容：

“喂，我是国际部的迈克尔森。”瑞福晶对接听电话的职员说。

职员按照正常程序询问他的办公电话，他早已准备好答案：“2862。”

职员继续问：“好的，那密码是多少呢？”

瑞福晶回忆当时的心情，他紧张又兴奋地回答：“4789。”

然后，他指示对方将1020万美元从纽约欧文信托公司转到瑞士苏黎世某银行他预先设立的账户。

职员问道：“好的，请告诉我转账的账号。”

这一问让瑞福晶冒了一身冷汗，他事先并未准备这个信息。但他尽力保持镇定，回答说：“我查一下，马上给您回电话。”

随后，他假装成电汇部门的工作人员，向其他部门求助获取账号，然后再次拨打电话。对方收到账号后，甚至还表示感谢。

几天后，瑞福晶飞往瑞士，提取了现金，并用其中的800万美元购买了大量钻石。他将钻石藏于腰带中，顺利通过海关返回美国。瑞福晶成功实施了历史上最大的银行劫案，他未使用任何武器，甚至无需计算机辅助。这种利用社会工程学技巧的能力，令人叹为观止。

案例二：钓鱼邮件的陷阱

小李是一家中型企业的财务人员，一天他收到一封看似来自公司高层的邮件，邮件内容要求他立即转账一笔巨款到一个指定的账户，理由是紧急项目资金需求。小李没有多想，立即按照邮件中的指示进行了操作。然而，几天后，公司发现资金被转走，经过调查才发现，小李收到的邮件实际上是一封钓鱼邮件，发件人伪装成公司高层，利用小李的信任进行了诈骗。

案例三：假冒客服的骗局

张女士收到一条短信，称她的银行账户有异常交易，需要立即联系客服进行处理。张女士拨打了短信中的电话，对方自称是银行客服，要求她提供账户信息和验证码进行核实。张女士信以为真，提供了相关信息。结果，她的银行账户被盗刷，损失了几万元。

案例四：微信好友的陷阱

小王在微信上收到一条来自“好友”的消息，对方称自己在外地出差，手机丢失，急需借钱。小王没有多想，立即通过微信转账给对方一笔钱。然而，几天后，小王才发现，那条消息实际上是一个骗子通过盗取好友账号发送的，他被骗了几千元。

社会工程学的危害

通过以上几个案例，我们可以看到，社会工程学的手段多种多样，利用人性的弱点，从而满足自身的私欲。它不只是一门技术，更是一门艺术。想要针对性地去防范社会工程学的攻击是很难的，毕竟我们总是会在无意间暴露了很多重要信息，唯有提高自身的日常警惕意识，才能尽可能杜绝被人利用，杜绝社会工程学攻击的可能性。

如何防范社交工程诈骗

1. 小心来路不明的电话：不要轻易相信来路不明的电话，询问员工或者其他内部的资料信息，访问电子邮件等。如果有不认识的人声称来自某合法机构，请设法直接向该机构确认他的身份。
2. 确认身份：除非能够确定某人有权得到此类信息，否则不要提供个人信息或者所在机构的信息，包括所在机构的组织结构。
3. 保护网络信息：网络方面的信息尽可能不要在电子邮件中泄露，私人的或者财务方面的信息不要回应征求此类信息的邮件，也包括不要点击此类邮件中的链接。
4. 加强安全意识：只有加强自身的安全意识，才能去防范复杂多变的社会工程学手段，以不变应万变，以自身坚实的网络安全意识去面对诡计多端的不法分子。

结语

科技的发展为我们带来了便利，但也带来了新的挑战。社交工程诈骗就是其中之一。通过提高警惕，增强安全意识，我们可以有效防范这些诈骗手段，保护自己和他人的利益。让我们共同努力，打造一个更加安全的网络环境。

面对社会工程学攻击，我们必须始终保持高度警惕，增强个人安全意识。只有不断提高自我防范能力，才能在日益复杂的网络环境中确保个人和企业的信息安全。为了帮助各类型的组织机构实现这一点，昆明亭长朗然科技有限公司创作了大量的安全意识教程，其中包括社会工程学攻击的识别和防范方法，欢迎有兴趣的客户及伙伴联系我们，预览和体验教程内容，洽谈业务合作。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898