網路犯罪中的社交工程手法，其核心就是針對受害者的弱點 (例如容易聽信他人、貪婪或是其他人性弱點) 來捏造虛構的故事讓他們上當。
目錄
結果就是，受害者會自願提供個人私密資訊給駭客，不論是個人資訊 (如姓名、電子郵件地址)、金融資訊 (如信用卡卡號、虛擬加密貨幣錢包)，或者不小心在自己的系統上安裝了惡意程式或後門程式。
我們可以根據受害目標，將今日的駭客攻擊大致分為兩大類：「攻擊機器」或「攻擊使用者」。「攻擊機器」是經由漏洞來發動，最早可追溯至 1996 年的一篇開創性文章：「破壞堆疊來追求樂趣和獲利」(Smash the Stack for Fun and Profit」。但「攻擊人類」(社交工程) 的情況一直以來都更為普遍，目前依然是如此。所有不是經由漏洞的攻擊，都或多或少含有社交工程的成分在內，也就是說，駭客會試圖說服受害者做出一些對他們有害的事。
社交工程威脅的類型
以下雖然並非一份完整的清單，但卻提供了一些主要應該注意的社交工程攻擊：
網路釣魚
網路釣魚是最常見的社交工程攻擊之一，它會利用電子郵件和簡訊來誘騙受害者點選惡意的附件檔案或是會連上有害網站的連結。
利用誘餌讓人上鉤
這類攻擊會提供虛假的承諾，利用貪婪或興趣來誘騙受害者。受害者會被騙掉入一個會洩露其敏感資訊或感染其裝置的陷阱，一個例子就是駭客刻意將含有惡意程式的隨身碟遺留在公共場所，讓受害者因為好奇心想知道隨身碟裡面的內容而將它插入電腦，結果不小心安裝了惡意程式。
編織藉口
在這類攻擊中，駭客會編織謊言來試圖取得資料，例如，駭客可能假裝需要使用者提供金融資訊或個人資料來確認身分。
恐嚇軟體
恐嚇軟體是利用不存在的警訊和威脅來製造受害者的恐懼，例如透過欺騙方式讓使用者以為自己的系統感染了惡意程式，接著要求使用者安裝建議的修正軟體，但該軟體本身就是惡意程式，例如病毒或間諜程式。一個常見的案例是：瀏覽器彈出一個視窗寫著「您的電腦可能遭到感染」之類的文字，然後宣稱可以幫您安裝修正程式，或者將您帶到惡意網站。
魚叉式網路釣魚 (Spear Phishing) 和網路捕鯨 (Whaling)
魚叉式網路釣魚專門瞄準特定的個人或企業，網路捕鯨也是類似情況，專門針對企業的重要人士，例如執行長和董事。
尾隨 (Tailgating)
「尾隨」(Tailgating) 有時也被稱為「搭便車」(Piggybacking)，就是駭客緊緊跟著持有門禁卡的人員進入一棟有保全看守的大樓或辦公室，讓人以為駭客是被警衛允許進入的。
AI 詐騙
AI 詐騙是使用人工智慧技術來欺騙受害者的詐騙，以下是一些常見的類型：
AI 文字詐騙：利用 AI 生成的文字簡訊來騙取資訊或散播惡意程式。
AI 圖片詐騙：利用 AI 生成的圖片來操弄和欺騙個人。
AI 語音詐騙：利用 AI 生成的語音來假冒信可信任的機構，藉此欺騙受害人。
AI 影片詐騙：利用 AI 生成的影片 (又稱為 Deepfake 深偽影片) 來散播假訊息或攻擊特定人士。
若您想要進一步了解更多訊息，請參閱我們有關 12 種社交工程攻擊類型的介紹網頁。
如何分辨社交工程攻擊
由於社交工程攻擊有眾多的形態和大小，並利用了人類容易出錯的一些弱點，因此要分辨社交工程攻擊不是件容易的事。但如果您遇到以下任何一項情況，請注意您很可能就是遇到了社交工程攻擊：
不請自來的陌生電子郵件或簡訊。
訊息給人一種非常緊急的感覺。
訊息中要求您點選網址或開啟附件。
訊息中包含許多錯字和文法錯誤。
或是，您接到陌生人打來的電話。
來電者試圖向您索取個資。
來電者試圖要您下載某種東西。
來電者聽起來好像非常緊急或很積極。
今日，對抗駭客集團社交工程技巧最好的防禦手段，就是了解他們如何利用社群媒體的漏洞。面對駭客集團，您的挑戰不單只是避免被他們的垃圾郵件、網路釣魚所騙，以及避免感染惡意程式，還要清楚地了解如何守護自己的資料隱私。
除了留意上述警訊之外，以下是一些不錯的良好習慣：
隨時保持作業系統與網路資安軟體更新。
使用多重認證和密碼管理程式。
切勿開啟不明來源的電子郵件和附件檔案。
將您的垃圾郵件過濾設定成「嚴格」等級。
刪除並忽略任何索取金融資訊或密碼的請求。
若您在互動過程當中感到有任何不對勁，請保持冷靜小心應對。
必要時請對網站、企業和個人做一番功課。
小心您在社群媒體上分享的內容，善加利用您的隱私權設定。
若您是某家企業的員工，請務必了解公司的資安政策。
社交工程的範例
絕大多數駭客集團都是以獲利為動機，因此他們會想盡各種辦法來取得網路使用者的敏感資訊以供他們變現。
一月份是許多國家開始報稅的季節，而這也是駭客集團最愛的賺錢機會之一。駭客最愛的一種手法就是趁著重要節慶、國定假期以及新聞熱潮之際發動一波社交工程攻擊，這往往能讓他們海撈一票。所以，在報稅期間，美國民眾經常收到假扮成國稅局 (IRS) 的垃圾郵件。
請點選右方連結來進一步了解這類報稅季節惡意程式攻擊。
2014 年 8 月 12 日，羅賓·威廉斯 (Robin Williams) 逝世的消息震撼了全球。就在他的死訊像野火般在網路上蔓延時，垃圾郵件集團和駭客集團也開始散播有關其死訊的垃圾郵件，並刻意在郵件主旨上提到他的名字。這些垃圾郵件會要求收件人下載一段有關羅賓·威廉斯如何死亡的「聳動」影片，但當點選影片網址時，卻會下載一個趨勢科技偵測為「WORM_GAMARUE.WSTQ」的蠕蟲。
請點選右方連結來進一步了解這起名人八卦惡意程式攻擊。
當網際網路上瘋傳著有關伊波拉病毒疫情的新聞時，駭客集團也趁機利用這個消息為誘餌，吸引不知情的受害者開啟假電子郵件。這些電子郵件最終會將受害者帶到網路釣魚網站，進而竊取受害者的資訊和登入憑證。
請點選右方連結來進一步了解這起假電子郵件惡意程式攻擊。
2008 年是社交媒體攻擊爆發的一年，駭客集團的目的不外乎破壞和獲利。根據已發現的攻擊目標，這些利用社群平台的攻擊瞄準了家庭使用者、中小企業以及大規模企業，導致智慧財產遭到竊取和重大的財務損失。駭客想出了各種方法來攻擊使用 Facebook 和 Twitter 這類社群網站的使用者。
2008 年，Facebook 使用者成為 KOOBFACE 蠕蟲惡意程式的攻擊目標。2009 年，Twitter 變成了駭客集團用來散播木馬程式惡意連結的寶物。
社交工程攻擊的未來
我們可以將任何社交工程互動拆解成以下幾項元素：
- 「媒介」：用來與受害者建立聯繫，如：電話、電子郵件、社群網路或直接私訊等等。
- 「謊言」：駭客會捏造一個虛假的情境來說服受害者在一段時間之內盡速採取行動。這些謊言通常都帶著一種急迫性，例如時間緊迫。
- 「要求」：也就是要求受害者採取的行動，例如：提供登入憑證、執行惡意檔案、加入某種加密貨幣騙局，或是匯款。
以下就是一個您或許也熟悉的常見案例：典型的電子郵件詐騙。
圖 1：社交工程攻擊的媒介、謊言和要求。
到了 2024 年，犯罪集團已經可以透過各種網路功能來觸及受害者，同時，他們也會在社交工程攻擊當中使用捏造的故事，但目的大致不變，不外乎就是：騙取密碼、安裝惡意程式、取得個人資訊。
這麼多年下來，我們已見過各式各樣的社交工程詐騙，所以您大概也跟我們一樣，覺得天底下的點子都被他們用完了。然而，駭客就是有辦法年年開發出新的社交工程技巧。所以，接下來我們將討論駭客未來可能如何改善其社交工程技巧。基本上，駭客可以透過改變媒介、謊言或要求來輕易變出新的花樣，繼續讓使用者上當。
那麼，我們預料將看到哪些新的元素？ 而舊的詐術可能會有哪些新的變化？ 還有，新的技術將帶來什麼影響？
改變媒介
隨著新的技術出現，駭客將有更多管道可以觸及受害者，包括使用 AI 工具、VR 裝置 (如 Apple Vision Pro、Humane Pin、Ray-Ban 眼鏡)，或是未來使用者可能使用的任何新裝置。
以穿戴式裝置為媒介
每年都會有新的裝置上市，而這將擴大駭客可利用的攻擊面。穿戴式裝置之所以特別值得注意，是因為它們隨時都在運作，而且受到使用者的完全信任。任何經由穿戴式裝置散播的誘餌，將有更高的機率被人相信和信任。有一種可能是駭客會設法取得穿戴式裝置的存取權限，因為這些裝置本身通常不適合安裝資安軟體，也不會定期自行驗證，而且通常不會受到一般資安控管的管制。
圖 2：穿戴式裝置可能成為社交工程攻擊媒介的一種情境。
以聊天機器人為媒介
AI 聊天機器人也可能成為一種用來觸及使用者的媒介。這類攻擊的概念是將假訊息餵給聊天機器人，藉此操弄使用者，讓他們採取行動。對聊天機器人資料下毒的方式有很多，包括：提供不良的資訊、挾持訓練資料、注入新的指令。
新的電子郵件攻擊
傳統電子郵件和即時通訊 (IM) 這個媒介的一種新的利用方式就是：使用大語言模型 (LLM) 驅動的機器人來強化變臉詐騙 (BEC) 的效果。駭客可利用 LLM 機器人來彙整受害者與執行長過去的所有歷史訊息，接著，機器人就能在這個受信任的對話管道上延續之前的某一串對話，並模仿執行長的寫作風格來說服受害者匯款。目前駭客已經可以透過手動方式來實現這樣的手法，所以他們未來利用 AI 來加以自動化的可能性不容忽視。
改進謊言
社交工程謊言的主要創新動力同樣將來自 AI，社交工程當中實際使用的謊言會隨著季節、國家及人口組成而異，但隨著 AI 帶來的擴充性與彈性，這部分可以很快變化。生成式 AI (GenAI) 非常擅長生成圖片、音訊和影片。在文字方面，它很擅長生成人們相信的內容，而且還能快速處理大量文字。這項新的擴充能力，為社交工程的「謊言」開啟了許多新的發展。
一個可以讓駭客用來製作謊言的新主題就是 AI 技術本身，比方說，製作關於 ChatGPT 或 VR 的謊言效果就很好，因為大家對這些技術很感興趣。此外，駭客也會製作一些假的 AI 工具，但其實是惡意程式。影像設計師通常會對深偽圖片和影片的製作感到好奇，所以駭客如果提供一套這樣的工具，就可能被他們下載來執行。同樣地，在原本就已經相當成功的詐騙當中加入深偽圖片和影片，也可以增加其可信度。在當前的威脅情勢下，這樣的策略顯然正逐漸崛起。我們相信，深偽未來很有可能造成社交工程詐騙的大洗牌，而且不久的將來就會被駭客廣泛運用。
圖 3：深偽 (deepfake) 如何強化電話和語音詐騙。
- 請點選右方連結來進一步了解社交工程的未來。
Trend Vision One™ 平台
Trend Vision One 是一套能簡化資安作業的企業網路資安平台，藉由整合多種防護功能、強化企業對攻擊面的掌握，以及提供資安風險狀況的全方位可視性，來協助企業更快偵測及攔截威脅。
這套雲端式平台，運用了 AI 以及來自全球 2.5 億個感測器與 16 個威脅研究中心的威脅情報，在單一解決方案當中提供了完整的風險洞見、早期威脅偵測，以及自動化風險與威脅回應選項。
防範社交工程