conducting-social-engineering-pretext-call

# 执行社会工程学借口电话

## 概述

借口电话（vishing，语音钓鱼）是一种社会工程学技术，攻击者通过电话冒充受信任的权威人物，操纵目标泄露敏感信息、执行某些操作或授予访问权限。在红队演练中，借口电话测试安全控制的人为因素，衡量员工遵守验证程序的情况和安全意识培训的有效性。MITRE ATT&CK 将其映射到 T1566.004（钓鱼信息：语音）和 T1598（钓鱼信息）。

## 前置条件

- 指定社会工程学范围和边界的书面授权
- 已批准的目标员工列表（通常由客户提供）
- 对目标和组织的 OSINT 研究
- 来电显示欺骗能力（已授权用于测试）
- 录音设备（根据需要获得合法同意）
- 客户批准的借口场景

## MITRE ATT&CK 映射

| 技术 ID | 名称 | 战术 |
|---|---|---|
| T1566.004 | 钓鱼：语音 | 初始访问 |
| T1598 | 钓鱼信息 | 侦察 |
| T1598.003 | 钓鱼信息：鱼叉式语音钓鱼 | 侦察 |
| T1589 | 收集受害者身份信息 | 侦察 |
| T1591 | 收集受害者组织信息 | 侦察 |

## 阶段一：OSINT 与目标研究

```bash
# LinkedIn 员工枚举
theHarvester -d targetcorp.com -b linkedin -l 200

# 公司组织架构和员工职位
# 查看 LinkedIn、公司网站"关于我们"/"团队"页面

# 技术栈识别
# 查看招聘信息中的技术参考（VPN 供应商、邮件、服务台工具）

# 电话系统识别
# 拨打主线，注意 IVR 选项、部门名称、分机号规律
```

需收集的关键情报：
- 内部服务台电话号码和流程
- IT 部门名称和员工
- VPN/远程访问供应商（Cisco AnyConnect、Fortinet、Pulse Secure）
- 企业邮件格式（first.last、flast 等）
- 近期事件（合并、办公室搬迁、系统升级）
- 员工姓名、职位、部门

## 阶段二：借口场景开发

### 常用借口场景

**IT 服务台冒充（最有效）：**
> "您好，我是 IT 服务台的[姓名]。本周我们正在将大家迁移到新的 VPN 客户端，我看到您的账户还没有更新。我需要验证您当前的凭据以确保迁移顺利进行。您能确认一下您的用户名和当前密码吗？"

**供应商/承包商：**
> "您好，我是[已知供应商]的[姓名]。我们正在为[产品]进行紧急补丁部署，需要远程访问您的系统。您能帮我通过 TeamViewer 连接吗？"

**行政助理（权威）：**
> "这里是[CFO 姓名]秘书[姓名]来电。[他/她]需要紧急处理一笔即将完成的交易汇款。我会通过邮件发送详情，但需要在一小时内完成。"

**建筑/设施管理：**
> "您好，我是设施管理部门的[姓名]。本周末我们要更新门禁系统。我需要确认您的员工 ID 和当前门禁卡号，以确保您的访问不会中断。"

### 借口检查清单

- [ ] 该借口对本组织是否可信？
- [ ] 是否创造了适当的紧迫感而不带有威胁性？
- [ ] 是否与 OSINT 发现一致（真实部门名称、真实系统）？
- [ ] 是否有合理的理由请求信息？
- [ ] 如果目标拒绝，是否有备用方案？
- [ ] 客户是否批准了这个特定借口？

## 阶段三：电话执行

### 通话结构

1. **介绍**（10 秒）：说明姓名、部门、来电原因
2. **建立信任**（30 秒）：提及真实情况（近期事件、共同背景）
3. **建立权威**（20 秒）：引用经理姓名、工单号、紧迫性
4. **信息请求**（30 秒）：自然地请求目标信息
5. **处理异议**：如受到质疑，平静地用准备好的答案回应
6. **结束**（10 秒）：感谢对方，不留下怀疑

### 异议处理

| 异议 | 回应 |
|---|---|
| "我能回电吗？" | "当然，请拨打服务台主线并要求找[姓名]。但这需要在今天下班前完成。" |
| "我需要先验证一下" | "完全理解，您的谨慎很值得称赞。您可以向[经理姓名]确认。" |
| "我被告知永远不要提供密码" | "您说得对，我们通常也不会这样要求。这是一个特殊情况，因为[原因]。我可以让我的经理来电。" |
| "您的员工 ID 是多少？" | 转移："是[编造的 ID]。听着，我今天还要打 50 个电话。我们能就此搞定吗？" |
| "我改发邮件给 IT" | "当然，但系统迁移今晚就要进行。如果在此之前没完成..." |

## 阶段四：数据收集与指标

记录每次通话的以下内容：

| 指标 | 描述 |
|---|---|
| 目标姓名 | 被呼叫的员工 |
| 部门 | 目标所在部门 |
| 日期/时间 | 通话时间 |
| 时长 | 通话时长 |
| 使用的借口 | 哪种场景 |
| 获取的信息 | 泄露了什么 |
| 凭据是否泄露 | 是/否（及类型） |
| 是否尝试验证 | 目标是否尝试验证来电者？ |
| 是否向安全部门报告 | 目标是否报告了此次通话？ |
| 社会工程学得分 | 1-5 级易感性评级 |

## 阶段五：报告

### 成功指标

| 指标 | 目标 | 结果 |
|---|---|---|
| 凭据泄露率 | <10% | XX% |
| 敏感信息泄露率 | <20% | XX% |
| 验证率 | >80% | XX% |
| 安全报告率 | >50% | XX% |

## 道德与法律注意事项

1. **始终获得书面授权**，然后再进行语音钓鱼测试
2. **切勿使用威胁性语言**或制造真实的恐惧
3. **记录通话录音的同意和法律要求**
4. **保护泄露的凭据** — 立即向客户报告
5. 如客户批准，在演练结束后**向目标汇报**
6. **切勿公开点名**未通过测试的特定员工
7. **遵守所在司法管辖区的电信法律**

## 参考资料

- Verizon DBIR 2025：74% 的数据泄露涉及人为因素
- MITRE ATT&CK T1598: https://attack.mitre.org/techniques/T1598/
- 《社会工程学渗透测试》by Gavin Watson（Syngress 出版）
- 《欺骗的艺术》by Kevin Mitnick（Wiley 出版）
- NIST SP 800-50：构建信息技术安全意识和培训计划