IT支持来电：语音网络钓鱼（Vishing）
您接到一个自称是IT支持人员的电话。对方听起来专业，还知道您的名字。但您总觉得哪里不对劲。学会识别基于语音的社会工程学攻击。
难度
Intermediate
时长
~10 分钟
题目
10
主题
Social Engineering
您接到一个自称是IT支持人员的电话。对方听起来专业，还知道您的名字。但您总觉得哪里不对劲。学会识别基于语音的社会工程学攻击。
📖 场景故事
周三下午2点15分，您的办公桌电话响了：
📞 "您好，我是IT安全部门的Kevin。我们检测到您的账户存在异常登录活动，登录来源是一个境外IP地址。为防止未经授权的访问，我需要验证您的身份。"
他知道您的全名、所在部门，甚至知道您的直属上级的名字。他的语气沉稳、专业。
📞 "我将通过短信向您发送一个验证码。请您将验证码读给我，以便我确认您的身份。"
🚨 这是一次Vishing语音钓鱼攻击！
"Kevin"并非IT部门员工。他是一名社会工程师，事先从领英和公司官网上搜集了您的个人信息。那个所谓的"验证码"实际上是用于登录您账户的多因素认证（MFA）码——一旦您将其读出，您便亲手将绕过安全防护的钥匙交给了他。
"Kevin"并非IT部门员工。他是一名社会工程师，事先从领英和公司官网上搜集了您的个人信息。那个所谓的"验证码"实际上是用于登录您账户的多因素认证（MFA）码——一旦您将其读出，您便亲手将绕过安全防护的钥匙交给了他。
为什么Vishing攻击如此有效
近年来，Vishing语音钓鱼攻击数量激增442%。与电子邮件钓鱼不同，电话沟通会带来以下影响：
- 实时施压 —— 与处理邮件不同，您无法暂停下来仔细思考
- 虚假权威感 —— 自信的声音容易让人产生信任
- 人际连接感 —— 听到真人声音会让您放松警惕
- AI声音克隆 —— 攻击者现在只需3秒的音频，即可克隆任何人的声音
💡 学习要点
🛡️ 如何应对可疑来电
✅ 黄金法则：挂断电话，主动回拨
永远不要向主动打电话给您的人验证自己的身份。正确做法如下：
1. 告知对方："我会直接致电IT服务台确认此事。"
2. 挂断电话。
3. 使用公司内部通讯录中的官方号码联系IT部门——切勿使用来电方提供的任何号码。
永远不要向主动打电话给您的人验证自己的身份。正确做法如下：
1. 告知对方："我会直接致电IT服务台确认此事。"
2. 挂断电话。
3. 使用公司内部通讯录中的官方号码联系IT部门——切勿使用来电方提供的任何号码。
电话中的危险信号
| 危险信号 | 典型话术示例 |
|---|---|
| 索要密码或验证码 | "请把您的验证码读给我听" |
| 制造紧迫感 | "我们必须马上行动，否则黑客就会入侵" |
| 要求远程访问权限 | "请安装这个工具，这样我才能修复您的电脑" |
| 阻止您核实身份 | "不用联系IT部门——我在直接处理这件事" |