服务热线

020-38921330

首页 > 新闻资讯 > 行业新闻

当服务台成为黑客“猎物”:社会工程攻击的新靶点与防御之道

2025-6-5 0:00:00浏览量:16编辑:管理员来源:天畅

在数字化浪潮中,企业服务台始终是解决IT问题的核心枢纽。然而,这一本应提供人性化支持的部门,如今却成为网络犯罪分子的重点攻击目标。通过精心设计的社会工程学策略,攻击者绕过技术防线,直接利用“人的漏洞”发起入侵。本文结合近期案例与社会工程学原理,剖析攻击手法,并提出多维防御策略。 


服务台1-1.png


01
服务台攻击事件:信任被武器化的代价

近期,针对服务台的攻击事件频发,且破坏性日益加剧:

1、Marks&Spencer(2025年4-5月):攻击者诱导IT服务台重置密码,窃取客户个人数据,致其在线订购及点击提货服务中断超三周。
2、Co-Op Group(2025年5月):攻击者伪装身份获取系统级权限,盗取客户联系方式及员工凭证,引发2300家门店库存短缺。
3、Harrods(2025年5月):作为两周内第三家遇袭的英国品牌,其及时检测并阻断未经授权访问,未造成数据泄露。
4、迪奥(2025年5月):确认了2025年5月7日发生的数据泄露事件,外部攻击者非法访问客户联系信息及购买记录,但未涉及财务数据。
5、米高梅度假村(2023年9月):早在2023年,Scattered Spider就打电话给米高梅度假酒店的IT服务台。他们欺骗员工禁用了一名高级经理的2FA,并发起了勒索软件活动,破坏了拉斯维加斯赌场的网络、自动取款机、老虎机和数字密钥系统。
这些事件揭示了一个残酷现实:服务台的“高效响应”特性,正被攻击者逆向利用。 


服务台-2.png


02
为何服务台成为社会工程学的“突破口”?

社会工程学的核心在于操控人性弱点,而服务台的特殊职能恰好为其提供了绝佳切入点: 

权威服从心理:

服务台人员倾向于配合“高管”或“特权用户”的紧急需求,攻击者通过伪造身份(如CEO、IT总监)制造压迫感,迫使员工绕过流程。 

紧迫感驱动决策:

攻击者常选择业务高峰期致电,并以“系统崩溃”“客户投诉”为由施压,利用员工“快速解决问题”的职业本能,诱导其仓促操作。 

同理心滥用:

通过编造悲惨故事(如“员工手机丢失需紧急登录”),激发客服同情心,从而降低安全验证严格性。 


正如网络安全专家Bruce Schneier所言:“社会工程攻击的本质,是将‘人’变为系统中最脆弱的认证因素。” 


服务台1-5.png


03
社会工程攻击的“四步陷阱”

情报搜集:

无差别扫描:攻击者通过公开渠道(如企业官网、LinkedIn)获取组织架构、高管姓名及内部术语。 

深度伪装:部分团伙甚至长期潜伏于目标公司的社交媒体群组,模仿员工沟通风格以提升可信度。

剧本设计:

伪造“紧急工单”“合规审查”等场景,要求重置密码、禁用MFA或开放临时权限。

利用AI工具生成逼真的伪造邮件、工单号甚至电子签名。 

心理操控:

语言陷阱:使用客服母语沟通,并引用内部项目名称或近期公司动态(如“与XX公司的合作需立即处理”)。 

技术辅助:通过虚拟号码伪装成内部短号,或使用Deepfake语音模仿特定员工声线。 

权限升级:

一旦获得初始访问权限,攻击者迅速横向移动,窃取核心数据或部署勒索软件。例如,2026年某制造企业因服务台误批VPN权限,导致生产线控制系统遭加密勒索,赎金高达5000万美元。 


服务台-7.png


04
构建“人机协同”的主动防御体系


服务台1-2.png


为应对日益精密的攻击,企业需从技术、流程、人员三方面升级防护:

1

技术加固:从认证到隔离

动态生物特征认证:在关键操作中引入声纹、指纹或面部识别,替代传统密码和静态MFA。

零信任架构:限制服务台系统权限,强制实施最小特权原则,高风险操作需跨部门审批。

AI异常检测:部署行为分析工具,实时监控客服操作(如短时间内多次密码重置),触发自动告警。

2

流程重构:打破“紧急响应”惯性 

双人复核机制:涉及高管账户或核心系统的请求,必须由两名授权人员独立验证。

冷静期规则:所有“紧急”请求需延迟10-15分钟处理,以阻断攻击者的心理施压。

3

人员赋能:从“安全培训”到“肌肉记忆” 

沉浸式攻防演练:定期模拟社会工程攻击场景(如伪造CEO来电),训练员工识别矛盾点(如“高管为何不通过直属渠道沟通?”)。 

心理韧性培养:与心理学专家合作,帮助员工建立“质疑-验证-执行”的思维模式,而非盲目服从。


05
结语:在人性化与安全性间寻找平衡



服务台的价值在于其人性化服务,但这一特质也使其成为攻击链中的薄弱环节。未来的防御需超越单纯的技术叠加,转而构建“以人为中心”的安全文化——既要通过技术降低人为失误风险,也要尊重员工的专业判断力。正如Gartner报告所强调:“到2027年,60%的企业将采用行为生物识别技术,以应对AI驱动的社会工程威胁。”唯有如此,方能在信任与安全的天平上找到立足之地。








已是第一篇

下一篇:天畅信息再获纳税信用A级评定 让企业“诚”风而行

快分享给好友吧!0