用美國網路安全和基礎設施安全局（CISA）的話來說，社會工程攻擊是一種… 「攻擊者利用人際互動（社交技能）來獲取或洩露有關組織或其電腦系統的資訊」。它之所以有效，是因為它針對的是人，而不是軟體。 Verizon 發布的《2026 年資料外洩調查報告》發現… 62%的違規事件中存在人為因素比前一年的 60% 有所上升。
這裡列出了15個社會工程案例，分成3組，每組5個。每個案例都附有一個需要注意的危險信號和相應的應對措施。第一組涵蓋網路釣魚，第二組涵蓋偽裝和冒充，第三組涵蓋人身攻擊和誘餌攻擊。每組案例都以一個…結尾。 我們的選擇這是我們首先要訓練的範例，理由只有一行。
以下所有範例公司、人物和資訊均為虛構。
第一組：網路釣魚家族
- 電子郵件釣魚。 看似來自銀行、供應商或您公司IT團隊的消息會要求您點擊連結並登入。美國網路安全與基礎設施安全局 (CISA) 表示，網路釣魚攻擊會利用電子郵件或惡意網站來達到目的。 冒充值得信賴的組織，索取個人資訊. 紅旗： 寄件者地址模仿真實企業的地址，通用問候語如“尊敬的客戶”，或滑鼠懸停時連結地址與文字不符。 停止： 請勿點擊。請自行輸入網址造訪網站，或檢舉該訊息。
- 魚叉式網路釣魚。 同樣的伎倆，這次針對的是同一個人。寄件者會使用你的名字、你經理的名字以及你實際參與的一個項目，這些資訊可以從公開資訊中拼湊出來。 紅旗： 一個奇怪而具體但又與他性格不符的要求，例如「今天就把 Atlas 合約寄給我」。 停止： 透過其他管道詢問寄件者，例如撥打你已經知道的電話號碼。
- 竊竊私語。 透過簡訊進行網路釣魚。 CISA 描述 ish污 這是一種利用簡訊進行社會工程攻擊的手段，簡訊中包含連結、數字或地址，點擊後即可打開瀏覽器或撥打電話。 紅旗： 一條包含短連結的短信，內容為「包裹暫存」或「帳戶已鎖定」。 停止： 刪除它，然後自己打開真正的應用程式或網站。
- 釣魚。 CISA表示，網路釣魚是透過語音進行的。 許願 使用語音通話，而且來電顯示可以被偽造，所以來電顯示一個熟悉的名字並不能證明什麼。 紅旗： 來電者施加壓力，索取代碼或密碼。 停止： 掛斷電話，然後撥打帳單或公司網站上列印的電話號碼回撥。
- 二維碼釣魚。 二維碼會隱藏其指向的位址。聯邦調查局已發出警告。 未經請求的包裹，內含二維碼 它會向收件人索取個人和財務信息，或安裝竊取資料的軟體。 紅旗： 一個你意料之外的驗證碼，沒有任何寄件者資訊。 停止： 請勿掃描來源不明的二維碼。
我們選擇的例子：例 4，語音釣魚。 Verizon發現，在網路釣魚模擬中，點擊率中位數為 以行動裝置為中心的管道，例如語音和短信，成長了 40%。 比起電子郵件，人們對電子郵件的不信任速度更快。人們對電子郵件的不信任速度比對電話的不信任速度更快。
第二組：偽裝和冒充
Verizon 將偽裝定義為攻擊者的策略，其中 透過精心設計的情境來建立信任關係。 攻擊者透過語音、電子郵件或簡訊等方式誘騙使用者採取危害組織安全的操作。在2026年的報告中，此類攻擊佔所有資料外洩事件的6%，而網路釣魚攻擊則佔16%。
- CEO詐欺和商業電子郵件入侵。 美國聯邦調查局的網路犯罪投訴中心（IC3）對網路犯罪的定義是： 商業電子郵件洩露 (BEC) 這是一種針對企業的詐騙手段，透過被盜用的電子郵件帳戶和其他通訊方式進行詐騙，導致未經授權的資金轉移。 2025年，IC3記錄了24,768起BEC投訴，報告的損失金額約為3.05億美元。 紅旗： 一位高階主管緊急請求你支付款項或購買禮品卡，並叮囑你「不要告訴任何人」。 停止： 請透過電話或當面確認任何付款請求。
- 虛假IT支持。 有人自稱是技術支援人員，需要你的密碼或遠端存取權限來「解決問題」。 IC3 已收到此訊息。 2025年技術支援投訴量將達47,794起據報道，損失超過 2.1 億美元。 紅旗： IT部門會先聯絡你，並要求你提供密碼或一次性驗證碼。 停止： 真正的IT團隊不需要你的密碼。掛斷電話，然後依照常規流程提交工單。
- 供應商發票變更。 一封看似來自常規供應商的電子郵件稱其銀行帳戶資訊已變更。 IC3 對 BEC 的定義涵蓋了針對特定目標的詐騙。 與供應商合作並定期進行電匯的企業. 紅旗： 新的銀行帳戶資訊及付款截止日期。 停止： 在更改任何內容之前，請先撥打供應商存檔的電話號碼與他們聯絡。
- 假冒招募人員。 一名「招募人員」以看似晉升的職位接觸員工，然後要求提供個人文件或下載測試任務。 IC3 已收到此通知。 2025年預計將有24,688起就業詐騙投訴. 紅旗： 一份你並未申請過的、進展迅速的offer。 停止： 透過公司自己的招聘頁面核實招聘人員的信息，面試時切勿安裝任何軟體。
- 深度偽造語音。 一個聽起來像是你主管的克隆聲音要求你緊急付款。 IC3 表示 語音克隆技術可用於要求電匯付款。 報告稱，到 2025 年，涉及人工智慧的商業電子郵件詐騙 (BEC) 將給企業造成超過 30 萬美元的損失。 紅旗： 在你來得及核實之前，一封語音留言或一通電話就催促你採取行動。 停止： 約定一個用於付款的暗號或回撥規則，因此僅依靠說服力是不夠的。
我們的選擇：例 6，CEO 詐欺和 BEC。 這是其中代價最高的案例，甚至超過了 IC3 預測的 2025 年技術支援詐騙，而阻止措施成本很低：只需在任何資金轉移之前撥打已知號碼的電話即可。
第三部分：物理攻擊與誘餌
這些攻擊無需鍵盤。它們之所以重要，是因為建築物內的陌生人可以存取防火牆保護的內容。
- 跟隨聚會。 有人跟著你穿過一道安全門，「因為他們雙手都拿著東西」。 紅旗： 一個沒有佩戴徽章，但個性輕鬆友善的人。 停止： 禮貌地請他們自行辦理登記手續，或陪同他們到接待處。
- 利用U盤作餌。 一個標有「2027 年年薪資審查」字樣的 U 盤被遺留在停車場或大廳內。 紅旗： 任何你未購買的可移動儲存裝置。 停止： 切勿將找到的設備直接連接電源。請將其交給IT部門，由他們安全地進行檢查。
- 肩窺。 有人在火車上或共用辦公桌前偷看你的螢幕或監視你輸入密碼。 紅旗： 有人站得太近或用傾斜的角度對著你的螢幕。 停止： 使用隱私濾鏡，離開時鎖定螢幕，並背靠牆坐著。
- 翻垃圾桶。 列印出來的電子郵件、組織結構圖和會議記錄被隨意丟棄在普通垃圾桶裡，這些文件會洩露攻擊者的姓名、電話號碼和項目名稱，以便他們下次聯繫。 紅旗： 敞開的垃圾桶裡放著寫有姓名或號碼的紙張。 停止： 使用碎紙機或上鎖的垃圾桶，並保持桌面整潔的習慣。
- 虛假送貨。 一名身穿品牌夾克的快遞員要求進入接待處，或將包裹放在伺服器機房。 紅旗： 無人訂購的包裹，或無法送達前台的包裹。 停止： 請到前台領取，並將意外包裹與標籤上指定的人員核對。
我們的選擇：例 11，尾隨聚會。 它不需要任何技巧，也不需要任何成本，良好的禮儀是關鍵。給員工一份禮貌的應對話術，這樣質疑他人就會顯得自然而然，不會顯得無禮。
如何阻止所有15個
這15個例子有一個共同點：它們都促使你快速行動，並且獨自行動。而有三個習慣會打破這個模式。
- 透過第二個管道進行驗證。 如果請求涉及金錢、密碼、代碼或存取權限，請使用您現有的聯絡資訊透過其他途徑進行確認。 CISA建議，如果您不確定請求是否真實， 請直接聯絡公司進行核實。並且沒有使用郵件中提供的聯絡方式。
- 報告它。 CISA針對疑似網路釣魚的建議是： 檢舉該消息 然後刪除它。養成一鍵舉報、不追究責任的習慣，這樣第一個發現問題的人就可以提醒其他人。
- 慢一點。 CISA 名單 緊急或感性的語言 網路釣魚的常見跡象之一是語法錯誤。 CISA 也指出，語法完美不再是安全的保證，因為借助人工智慧，一些電子郵件的拼字可以做到完美無瑕。如果郵件要求快速發送，那就表示你應該提高警覺。
培訓是養成習慣的關鍵。根據統計，62% 的違規事件都與人為因素有關。 Verizon 2026 年報告一支練習過辨識這15個例子的團隊，將是你辯護中不可或缺的一部分。如需了解更多詳情，請參閱我們的指南。 網絡安全意識培訓.
如何舉辦一場社交工程會議 AhaSlides
在房間裡或透過視訊通話即時運行這 15 個範例，並在人們做出反應時在螢幕上顯示答案。
- 選擇答案：“真假？” 針對每個例子展示一條編造的訊息，並詢問其真實性。揭示其中的疑點並進行討論。
- 詞雲：「你最常遇到的騙局」。 最大的單字表示應該先練習什麼。
- 評分標準：“你有多大把握能識別出假貨？” 在課程開始前和結束後分別要求學員給予 1 到 5 分的評分，並比較平均值。
- 開放式問題：「我收到了一條可疑的訊息」。 收集真實案例（去掉姓名），並選擇最佳案例作為下一輪的場景。
網路釣魚和社會工程課程範本提供了現成的投影片供您修改，而內部威脅意識範本則是一個很好的後續追蹤材料，適合整個團隊使用。
常見問題
社會工程學的例子有哪些？
網路釣魚、偽裝、誘餌和尾隨是主要的幾種詐騙手段。本文列舉了15種，從電子郵件釣魚和語音釣魚到虛假IT支援、U盤誘餌和虛假快遞。
最常見的社會工程攻擊類型是？
網路釣魚。 Verizon 2026 年的報告顯示，網路釣魚佔所有資料外洩事件的 16%，而偽裝攻擊佔 6%；IC3 在 2025 年收到了 191,561 起網路釣魚和欺騙投訴。
如何防範社會工程攻擊？
透過第二管道驗證請求，並報告可疑請求。增加短期、定期的培訓，因為攻擊手段變化迅速，任何一次性課程都難以應付。
什麼是偽裝？
編造故事以獲取資訊或存取權限。攻擊者透過看似可信的場景（例如撥打客服電話）建立信任，然後索取密碼、付款或要求幫忙開門。
從哪兒開始
選一套例子，在下次團隊會議上示範。如果時間只夠舉一個例子，那就舉個語音釣魚的例子，然後問問大家下次接到意外來電會怎麼做。
