安全體系中的人性漏洞
——基于社會(huì)工程學(xué)分析網(wǎng)絡(luò)詐騙
詐騙無處不在
最近陳輔導(dǎo)員每天都會(huì)在院級(jí)群里發(fā)“詐騙日?qǐng)?bào)”师脂，還要求我們轉(zhuǎn)到各自的班群织阳，讓同學(xué)們提高警惕性站削⌒┦蹋“詐騙日?qǐng)?bào)”的內(nèi)容諸如以下：
3月18日詐騙警情：1攘蔽、13時(shí)9分中大學(xué)生被人通過電話冒充朋友借錢詐騙5000元龙屉；2、15時(shí)廣中醫(yī)老師被人以給專家送禮為由詐騙24000元满俗；3转捕、16時(shí)35分廣工學(xué)生在網(wǎng)上出售虛擬物品，被人冒充客服以帳戶凍結(jié)和提現(xiàn)失敗為由詐騙6850元唆垃；4五芝、19時(shí)56分星海學(xué)生被人冒充銀行客服以兌換積分為由詐騙4935元。
3月20日詐騙警情：1辕万、17時(shí)37分貝崗事主被人冒充銀行客服以提高信用卡信用為由詐騙100000元枢步；2、18時(shí)17分廣工學(xué)生在網(wǎng)上購(gòu)物被詐騙8406元渐尿。
3月23日詐騙警情：1醉途、10時(shí)21分廣中醫(yī)學(xué)生被人通過電話冒充老師詐騙1000元；2涡戳、10時(shí)38分廣工學(xué)生被人通過電話冒充學(xué)校領(lǐng)導(dǎo)詐騙4000元结蟋；3、11時(shí)34分廣中醫(yī)學(xué)生被人通過電話冒充學(xué)校領(lǐng)導(dǎo)詐騙4000元渔彰；4嵌屎、15時(shí)8分華師學(xué)生在網(wǎng)上購(gòu)買電影被詐騙2000元推正；5、16時(shí)6分廣大學(xué)生被人冒充公安以其身份信息被盜用現(xiàn)有違章罰款為由詐騙6000元宝惰；6植榕、18時(shí)20分廣工學(xué)生被人冒充客服以退款為由詐騙5070元。
我們表示很無奈的轉(zhuǎn)了尼夺，還私下議論——“這些人怎么這么傻白鸩小！”淤堵、“這么明顯的騙局都會(huì)上當(dāng)寝衫！”、“我怎么沒被騙過拐邪？好像被騙一次拔恳恪！”扎阶、“他們?cè)趺催@么有錢呀汹胃？”……其實(shí)，詐騙無處不在东臀，事實(shí)無數(shù)次證明了着饥，越是“高傲”的人到時(shí)候會(huì)被騙的越慘。這不單單是防御住“天上掉餡餅”的心理這么簡(jiǎn)單惰赋，往常我們看到的詐騙案都是騙子們廣撒網(wǎng)的結(jié)果宰掉，為了數(shù)目不要效度，詐騙對(duì)象無區(qū)別谤逼，所以我們身為有正常智商的群體贵扰，在頭腦不發(fā)熱的情況下，防御起來往往比較簡(jiǎn)單流部。但是如果一個(gè)騙子發(fā)現(xiàn)你是一條大魚戚绕，愿意花時(shí)間專門為你設(shè)計(jì)一套詐騙系統(tǒng)，那么這個(gè)時(shí)候枝冀，你就會(huì)被騙的很慘舞丛。為了避免這種情況的發(fā)生，詐騙系統(tǒng)中的技術(shù)與詐騙技巧都非常值得我們研究果漾。
我曾看過一部電影球切，名叫《我是誰：沒有絕對(duì)安全的系統(tǒng)》，當(dāng)時(shí)看了之后绒障，就立刻迷上了主角高超的黑客技術(shù)和社工技巧吨凑。于是將這部影片反復(fù)看了三遍，私下又查閱了很多有關(guān)“社會(huì)工程學(xué)”的文章，還研讀了《社會(huì)工程——安全系統(tǒng)中的人性漏洞》鸵钝、《線上幽靈》糙臼、《欺騙的藝術(shù)》等一些書籍。下面就針對(duì)我的經(jīng)驗(yàn)恩商，來談一談網(wǎng)絡(luò)詐騙变逃，分析一下人們究竟為什么會(huì)這么“傻”的“輕易”上當(dāng)。
電信詐騙分析
電信詐騙是網(wǎng)絡(luò)詐騙的一種怠堪，也是最普通的一種詐騙形式揽乱。主要分為“電話詐騙”與“短信詐騙”。
電話詐騙
至于電話詐騙粟矿，可以參考下《暴走大事件》這個(gè)脫口秀節(jié)目凰棉，最近幾期都有騙局流程展示。這類是比較好防范的陌粹，平時(shí)和他們聊聊也無傷大雅渊啰，緩解下日常生活無聊的氛圍，反正電話費(fèi)也基本上是騙子出申屹。但是只要涉及到了“轉(zhuǎn)賬”、“金錢”隧膏，別說是陌生人了哗讥，就算是熟人也不要轉(zhuǎn)。譬如前端時(shí)間比較火的“猜猜我是誰”胞枕，“我是你輔導(dǎo)員”這兩種游戲杆煞，都是比較好玩的。相對(duì)于前一種腐泻，后一種較為高深决乎，很明顯兩個(gè)騙術(shù)不在一個(gè)級(jí)別上。
“我是你輔導(dǎo)員”的進(jìn)化版派桩，是騙子能夠叫出你的名字构诚，知道你的班級(jí)和學(xué)號(hào)等等個(gè)人信息，也知道他扮演的“輔導(dǎo)員”的辦公室铆惑、學(xué)院和姓名范嘱，這個(gè)時(shí)候，主要利用了學(xué)生們普遍對(duì)輔導(dǎo)員存在畏懼心理员魏。輔導(dǎo)員要求包點(diǎn)紅包意思意思丑蛤？輔導(dǎo)員遇到困難了需要你的幫助？人之常情撕阎！怎能不包受裹？怎能不幫！
于是就被騙了虏束。
在這個(gè)信息社會(huì)棉饶，拿到你的個(gè)人信息比去菜市場(chǎng)買到無農(nóng)藥的菜還容易厦章。所以即便說出了你的信息，你也不能相信他砰盐。要保持對(duì)別人的高度不信任闷袒，不要輕易信任別人。
其他種類的電話詐騙也無外乎是耍各種套路岩梳，利用受害者的“畏懼心理”囊骤、“貪圖小便宜心理”，進(jìn)行各種花式布陣冀值，最后將軍也物，要你轉(zhuǎn)賬。這最后一步是這種騙術(shù)的關(guān)鍵列疗，如果不成滑蚯，是騙子虧了，虧了電話費(fèi)虧了時(shí)間……
短信詐騙
短信詐騙抵栈，也是比較難以防范的告材，主要利用是自己的名號(hào)，來叫你參與某些活動(dòng)古劲，在活動(dòng)中騙取個(gè)人信息和錢財(cái)斥赋。
當(dāng)然對(duì)于下面這種低智商的，我就不分析了产艾。不過要知道疤剑，它也是屬于“利用名號(hào)”、慫恿你“參與活動(dòng)”闷堡、“騙取金額”隘膘。
名號(hào)：人類抵抗軍的首領(lǐng)，活動(dòng)：保衛(wèi)地球杠览，目的：轉(zhuǎn)賬路費(fèi)弯菊。
恩，這個(gè)騙術(shù)還利用了受害者的“虛榮心”倦零。
下面的這幾個(gè)“銀行詐騙”误续，比較難以識(shí)別。
乍一看扫茅，建行的短信哎蹋嵌，號(hào)碼也是對(duì)的。我原來有這么多積分葫隙，趕緊去兌換一下吧栽烂！
然后被騙了。
整個(gè)過程，沒有叫你轉(zhuǎn)賬腺办，自認(rèn)為很安全焰手，還是銀行發(fā)來的短信，但是還是被騙了怀喉。為什么呢书妻？它叫你兌換積分的時(shí)候，會(huì)讓你填寫你的銀行卡號(hào)和網(wǎng)銀密碼躬拢，登錄系統(tǒng)躲履。這個(gè)時(shí)候，他就拿到了你的銀行卡賬號(hào)和密碼聊闯，就可以自己去取你的錢了工猜。
首先，即便是銀行的短信也不能相信菱蔬。這個(gè)短信主要有兩種手段來偽造篷帅，一是通過Android短信管理器程序，平時(shí)不小心下了什么有毒的軟件就會(huì)被感染拴泌；二是偽基站魏身。就像下面這個(gè)設(shè)備，一個(gè)年輕人背個(gè)背包蚪腐，騎個(gè)自行車在小巷里轉(zhuǎn)悠兩圈叠骑，背包里的偽基站就會(huì)截?cái)喔浇男盘?hào)，偽造號(hào)碼給附近的人群發(fā)短信削茁。偽基站基本上大家可以這么理解，它會(huì)截?cái)嗍謾C(jī)正常的信號(hào)掉房，然后讓手機(jī)接入這個(gè)偽基站的信號(hào)茧跋，然后給你發(fā)送信息，你收到后呢卓囚，又會(huì)再次釋放這臺(tái)手機(jī)到正常的通訊基站上去瘾杭。基本上制作的門檻很低哪亿，偽基站的制造商也很注重用戶體驗(yàn)：考慮到從業(yè)人員的安全粥烁，最新款的偽基站可以放入雙肩包，可以手機(jī)操作蝇棉。真正實(shí)現(xiàn)了“給我一臺(tái)設(shè)備讨阻，我可以坑10萬人”的遠(yuǎn)大理想。操作模式也很簡(jiǎn)單篡殷，背上背包钝吮，踏上單車，哪里熱鬧，去哪轉(zhuǎn)悠奇瘦。
當(dāng)然棘催，有些更高級(jí)的不會(huì)叫你輸賬號(hào)密碼，而會(huì)要你下一個(gè)軟件耳标，這個(gè)軟件會(huì)在你之后使用網(wǎng)銀或者支付寶付款的時(shí)候截取你的賬號(hào)信息醇坝。
之后他們會(huì)處理這些數(shù)據(jù)，一是直接賣掉次坡，二是賣給洗錢師呼猪。簡(jiǎn)而言之，受騙后幾乎無法追回贸毕。
你可能認(rèn)為郑叠，你有密保，不怕被盜明棍。那你就錯(cuò)了……
所以說乡革，之前那個(gè)木馬程序不單單會(huì)釣?zāi)愕馁~號(hào)信息，還會(huì)攔截驗(yàn)證碼短信……
這類短信詐騙也有我開始總結(jié)的規(guī)律——
名號(hào)：銀行摊腋，活動(dòng)：兌換積分沸版，目的：安裝軟件。
這一類詐騙短信就不安套路出牌了兴蒸，還能叫出的你名字视粮，主要利用受害者的“畏懼心理”……
簡(jiǎn)而言之，和“銀行短息”一樣橙凳，短信里有鏈接千萬不要點(diǎn)蕾殴！
下面我介紹一類比較絕的詐騙案例，首先模擬一個(gè)情境岛啸，最近股市走跌钓觉，前景非常不好，有一天你突然收到了一封短信坚踩，它告訴你今天xx股會(huì)漲荡灾。你不以為然。
第二天瞬铸，你又收到了這個(gè)號(hào)碼的短息批幌，它告訴你今天xx股會(huì)跌。你看了一下嗓节，發(fā)現(xiàn)昨天是它是漲的荧缘，而且今天確實(shí)跌了。
第三天拦宣，第四天胜宇，第五天耀怜，第六天，連續(xù)四天桐愉，它都給你發(fā)短息并且對(duì)這個(gè)股的預(yù)測(cè)都正確了财破！
第七天，它告訴你从诲，前面六天預(yù)測(cè)是某軟件的預(yù)測(cè)結(jié)果左痢，六天是一個(gè)試用期，你是否想要購(gòu)買這個(gè)軟件系洛？（或者他直接說他是這個(gè)股的暗箱操作者俊性，要不要加入xx培訓(xùn)班接受培訓(xùn)）你會(huì)怎么選擇呢？
連續(xù)六天都對(duì)了描扯！肯定參加啦定页！
其實(shí)不然，這也是一個(gè)很簡(jiǎn)單的騙術(shù)绽诚，只是放到個(gè)人上很難看透典徊，要放到社會(huì)群體上去俯視他。連續(xù)六天猜對(duì)的概率是1/32恩够，但如果他是把32種情況都組合分配一下群發(fā)給不同的人呢卒落？如果群發(fā)320條，就有10個(gè)人非常有可能上當(dāng)蜂桶，3200條就是100個(gè)人儡毕，這個(gè)效率還是非常可觀的扑媚。
刷單類詐騙分析
這類騙術(shù)主要就是叫你自己墊錢幫某個(gè)網(wǎng)店刷單腰湾，然后有高回報(bào)。其實(shí)這類騙局普通存在疆股，為什么總會(huì)有人上當(dāng)呢檐盟？原因很簡(jiǎn)單，他在騙你的時(shí)候會(huì)告訴你如果他不給錢押桃，你可以通過淘寶退款，每個(gè)人都知道导犹，如果15天內(nèi)不點(diǎn)擊交易唱凯，淘寶是不會(huì)把錢打給商家的。另外谎痢，這個(gè)刷單活動(dòng)具有高回報(bào)磕昼，有點(diǎn)像高利貸。
其實(shí)不然节猿，你是不能退款的票从。因?yàn)樗闼⒌亩际恰包c(diǎn)卡”類的商品漫雕。
這類騙局，一個(gè)拼音你都不要信峰鄙，更不要參與浸间。畢竟，就算是真的吟榴，刷單也屬于違法行為魁蒜。
電商中的詐騙分析
比如你在開網(wǎng)店的時(shí)候，淘寶會(huì)給你發(fā)消息吩翻，叫你去繳納保證金兜看。如果你是第一次做賣家，這類騙局真的是防不勝防狭瞎。
利用了賣家的好奇心理细移、對(duì)事物的新鮮勁兒進(jìn)行詐騙。
另外就是退款的時(shí)候進(jìn)行詐騙熊锭，叫你給xx賬號(hào)打錢弧轧。退款就應(yīng)該走正規(guī)流程，只要涉及到轉(zhuǎn)賬球涛，一定一定要留千萬個(gè)心眼劣针。
點(diǎn)對(duì)點(diǎn)詐騙分析
這類詐騙不單單會(huì)騙錢，可能還會(huì)是騙取重要情報(bào)亿扁。這個(gè)情報(bào)對(duì)你個(gè)人而言可能不重要捺典，但是可能是騙子進(jìn)行下一步詐騙的墊腳石、又或者是對(duì)某些企業(yè)很重要的信息从祝。所以襟己，在一些很正規(guī)的大公司，一般會(huì)請(qǐng)社工專家進(jìn)行滲透測(cè)試牍陌，讓他們騙一騙員工擎浴，誰被騙了今年的獎(jiǎng)金可能就沒了。另外毒涧，新員工入職前需要進(jìn)行專門的培訓(xùn)贮预。這個(gè)培訓(xùn)會(huì)告訴他們嚴(yán)格禁止做某些平時(shí)經(jīng)常做看起來“人畜無害”的事——比如公司內(nèi)不得連外網(wǎng)、公司內(nèi)不能插個(gè)人U盤契讲、沒有證明不能放員工以外的人進(jìn)入辦公區(qū)仿吞、不能將垃圾帶出公司、扔廢紙前使用碎紙機(jī)……
如果是進(jìn)行這類詐騙捡偏，那么它一定有著高超的技巧唤冈，一般有著固定流程——信息收集、偽裝身份直接或間接與你接觸银伟。信息收集相當(dāng)于人肉你虹，如果你是一個(gè)生活有規(guī)律的人绘搞，就比較危險(xiǎn)了。偽裝身份的時(shí)候一般會(huì)植入你的個(gè)人愛好傅物，融入神經(jīng)語言程序?qū)W與你交談夯辖，談話中不自覺的就透露了你的個(gè)人信息。
這類騙局比較少挟伙，但是很難破解楼雹，因?yàn)樗婕暗膶用姹容^多，不單單是“貪圖小便宜”那么簡(jiǎn)單了尖阔，還有“回報(bào)”贮缅、“義務(wù)”、“讓步”介却、“權(quán)威”谴供、“稀缺”、“承諾”齿坷、“喜歡”桂肌、“共識(shí)”等等因素。這里就不在細(xì)說了永淌。(可參考文末的福利崎场。)
總結(jié)
網(wǎng)絡(luò)詐騙通常就是利用了人們的“貪欲”，就像那句老話遂蛀，“永遠(yuǎn)不要相信天上會(huì)掉餡餅的好事”谭跨。正如人的七情六欲無法摒棄一樣，想要杜絕詐騙也絕不可能李滴。因?yàn)轶χ妫诵圆攀窍到y(tǒng)中最大的漏洞。
我們只能在一次又一次的詐騙案例中汲取教訓(xùn)所坯，分析一下這些案例的規(guī)律谆扎，找出應(yīng)對(duì)措施，至少要保證自己遭遇它們的時(shí)候芹助，不要輕易上當(dāng)受騙。
福利：社會(huì)工程學(xué)書籍pdf版下載
