攻击与威胁
托词攻击
别称: 伪装身份诈骗
定义
攻击者编造可信的情境或身份,操纵目标披露信息或执行特定操作的社会工程手段。
托词攻击(Pretexting)是许多社会工程攻击的基础。攻击者先对受害者进行调查,再编造一个可信的故事——冒充审计员、IT 工程师、招聘人员、快递员或高管——以此为请求提供合理理由。与机会式钓鱼不同,Pretexting 通常是定向的,会使用真实姓名、内部术语,以及通过 LinkedIn、泄露数据或开源情报获取的组织架构信息。托词降低了受害者的警觉,为重置密码、电汇转账、出入设施等异常请求提供掩护。常见对策包括通过受信任联系列表回拨核实、对高风险操作进行双人审批、安全意识培训,以及减少对外公开的组织信息。
示例
- 自称 "IT 支持" 的来电以 "核实安全告警" 为由,索要员工的多因素验证码。
- 攻击者冒充供应商联系应付账款部门,要求更新付款账户信息。