社交工程是騙「人」而不是破解系統的攻擊：攻擊者假冒主管、合作廠商、客服或訪客，取得員工的信任，讓對方交出帳號密碼、匯款到陌生帳戶、安裝程式或放人進入辦公室。美國國家標準與技術研究院（NIST）把它定義為誘騙他人透露可用來攻擊系統或網路的資訊，手法可以是電子郵件、即時通訊，也可以是電話或面對面。常見類型包括網路釣魚、假冒主管或廠商要求付款、電話與簡訊詐騙、多重要素驗證的推播轟炸，以及實體尾隨。企業的防範重點是把「確認身分」寫成流程、定期做涵蓋各種管道的教育訓練，並讓員工知道疑似受騙時立即向誰通報。
社交工程的定義：攻擊目標是人的判斷
NIST 詞彙表收錄兩種說法：一是誘騙他人透露可用來攻擊系統或網路的資訊，例如密碼；二是欺騙個人以揭露敏感資訊、取得未經授權的存取或進行詐欺，手法是接近對方、取得信任。台灣電腦網路危機處理暨協調中心（TWCERT／CC）則指出，社交工程主要的攻擊模式是以電子郵件誘騙使用者點擊不明連結或圖片，進而導入釣魚網站或植入惡意程式。
攻擊者利用的是信任關係。數位發展部資通安全署《資安事件應變處理行動指引》提到，駭客常假冒合作廠商、外部律師或內部高階經理人；Google 搜尋中心也說明，社交工程內容會仿效銀行、政府或作業系統等可信實體的外觀，誘騙使用者提供個人資訊。光靠技術防護不夠，還要有確認身分的流程。
社交工程手法總覽
NIST 的測試指南把社交工程分成面對面、電話這類類比方式，以及電子郵件、即時通訊這類數位方式。企業常見的情境可以這樣整理：
| 類型 | 管道 | 典型情境 | 對應做法 |
|---|---|---|---|
| 網路釣魚 | 電子郵件、假網站 | 誘騙點連結、開附件，或在假登入頁輸入帳密 | 回報可疑郵件、啟用多重要素驗證 |
| 假冒主管或廠商 | 電子郵件、通訊軟體 | 以緊急或機密為由要求付款、變更匯款帳戶 | 用原約定的聯絡方式回撥確認 |
| 電話與簡訊 | 電話、簡訊、即時通訊 | 自稱資訊人員或客服，索取驗證碼、要求安裝遠端程式 | 掛斷後改用公司公告的號碼聯絡 |
| 推播轟炸 | 多重要素驗證通知 | 連續送出登入核准請求，等員工誤按同意 | 改用號碼比對或防網路釣魚的驗證方式 |
| 深偽冒充 | 視訊、語音 | 偽造主管的聲音或影像下達指令 | 涉及付款與帳號的指令一律另行確認 |
| 實體尾隨與假冒訪客 | 門禁、櫃台 | 跟著員工進門，或假冒維修、送貨人員 | 訪客登記、全程陪同 |
美國網路安全暨基礎設施安全局（CISA）指出，沒有號碼比對的推播驗證容易受到推播轟炸與使用者誤按影響；資安署的中小企業指引也把深偽詐騙列為要防範的手法。釣魚郵件的辨識細節，可參考釣魚郵件的辨識與處理。
攻擊前的準備：公開資訊被拼成劇本
社交工程的話術往往很逼真，因為攻擊者事先做過功課。MITRE 維護的攻擊技術知識庫列出的偵察手法包括：搜尋公開的網站與網域，從社群媒體、新聞、徵才或得標消息取得目標資訊；以及蒐集目標的身分資訊，例如員工姓名、電子郵件、帳密，甚至多重要素驗證的設定，方式之一就是用網路釣魚直接套取。
企業可以從自己公開的內容開始檢查：
- 官網是否列出員工的全名、職稱與個人信箱，可以改用聯絡表單或部門共用信箱。
- 新聞稿與社群貼文是否透露付款流程、往來銀行或主管的出差行程。
- 徵才公告是否寫出內部使用的系統名稱與版本。
用流程擋下社交工程：確認身分的規則
TWCERT／CC 建議，除了不點不明連結、不下載附件，更要確認郵件、電話、訊息甚至來訪者的身分；資安署的指引也提醒，未經驗證切勿支付或口頭承諾付款。可以寫進公司規定的做法包括：
- 付款與變更帳戶：一律用原本約定的電話或窗口回撥確認，不用來信或來電中提供的聯絡方式，金額較大時加上第二人覆核。
- 帳號與密碼協助：規定資訊人員不會在電話或訊息中索取密碼與驗證碼，員工接到這類要求就是警訊。
- 多重要素驗證：CISA 強烈建議採用防網路釣魚的多重要素驗證，例如 FIDO／WebAuthn 的安全金鑰或裝置內建驗證器。
- 權限收斂：TWCERT／CC 也建議限縮授權，權限只給工作所需，即使有人受騙，能被動用的範圍也有限。
教育訓練怎麼做：涵蓋電話、訊息與訪客
資安署《中小企業基本資安防護指引》指出，員工良好的網路安全習慣是公司抵禦資安威脅的首要防線，建議每季至少辦理一次資安意識宣導，涵蓋釣魚郵件、AI 詐騙與商務詐騙案例，並制定可疑郵件通報程序。NIST 的資安與隱私學習計畫指南則建議以生命週期管理訓練，內容依對象調整，目標是促成行為改變，並用指標定期評估。
實際安排時，可依職務設計情境：財務人員練習辨識假冒廠商的付款要求，櫃台與客服練習處理自稱主管或維修人員的來電與訪客，主管則要知道自己的名義可能被冒用。評估成效時，除了看有多少人受騙，也要看有多少人主動回報、回報得多快。
疑似受騙時的通報流程
資安署指引的原則是確認或高度懷疑發生事件就通報，不待查明全貌，並建議企業預先編組通報及應變小組，明確分配決策指揮、技術處理與內外部聯絡的角色。發現可能受騙時，下列事項要盡快同步處理；已經匯款的，聯絡往來銀行不要等其他步驟完成：
- 內部通報：立即告知指定窗口與主管，說明收到什麼、做了哪些動作。
- 保留證據：完整留存郵件標頭、通訊紀錄、附件與匯款憑證，不要刪除。
- 依情況止損：帳號可能外洩就立即改密碼，無法登入時向平台官方申訴；已經匯款就立即透過金融機構的官方管道聯絡往來銀行。
- 對外通報：可向 TWCERT／CC 線上通報；涉及犯罪時向所在地警政機關報案，並撥打反詐騙諮詢專線。公務機關與特定非公務機關知悉資通安全事件時，資通安全管理法另有通報義務，要依規定同步辦理。
- 補上流程缺口：檢討被利用的環節，例如缺少回撥確認，修改規定並告知全體員工。
官網與網域也可能被拿來騙人
社交工程不只鎖定員工，也可能利用公司的網站與網域欺騙客戶。Google 搜尋中心說明，社交工程內容是誘騙訪客從事危險行為，例如提供機密資訊或下載軟體；網站被偵測到這類內容時，訪客可能看到詐騙網站警告。若是網站遭入侵被放上釣魚頁面，移除所有相關內容後，可在 Search Console 的「安全性問題」報告提出審查。公司網域則要先設定 SPF 或 DKIM，再設定 DMARC，降低被冒名寄信給客戶的機會。
常見問題
社交工程和網路釣魚有什麼不同？
網路釣魚是社交工程的一種，NIST 稱它為數位社交工程的形式。社交工程的範圍更廣，還包括電話、面對面、假冒訪客這些不經過電子郵件的手法。
員工被騙了，公司要追究責任嗎？
建議把重點放在流程。及早回報才能及早止損，若回報後會被懲處，員工可能選擇隱瞞；檢討時找出被利用的缺口，例如缺少回撥確認或第二人覆核，再修改規定。
接到自稱銀行或政府機關的電話怎麼確認？
先掛斷，再自行查詢對方的官方網站或公開電話回撥，不使用來電者提供的號碼或連結；對方要求提供驗證碼、密碼或轉帳時，一律先停下來確認。
啟用多重要素驗證就不怕社交工程嗎？
不能完全防範。密碼被騙走時，多重要素驗證能擋下部分登入；但員工若被誘導核准登入或交出驗證碼，仍可能失守，所以 CISA 建議改用防網路釣魚的驗證方式。
訪客與外包人員進出辦公室要怎麼管？
訪客登記身分與來訪對象並由員工陪同，門禁卡不外借；維修或送貨人員先向負責窗口確認是否有預約，離開時收回臨時識別證。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
建議先盤點官網與社群上公開的員工姓名、職稱與個人信箱，並確認公司網域的寄件驗證是否完整。京采的網頁設計服務可以協助調整官網聯絡資訊的呈現方式，改用表單或共用信箱，檢查網站是否被植入可疑頁面，並設定與檢查 SPF、DKIM、DMARC 郵件驗證紀錄；想先了解現況，歡迎與我們聯繫。
