Physical Social Engineering 物理社会工程

社会工程 的线下版本 —— 攻击者冒充员工、客户、供应商、维修工等,亲自走进公司获取未授权的物理访问。

经典套路:

• Tailgating(尾随) —— 跟在刷卡员工后面溜进门禁
• 冒充快递员 —— 拿个包裹,前台一般直接放行
• 冒充 IT 维修 —— 穿工作服,说来检查打印机
• 冒充清洁工 —— 晚上潜入,插 U 盘到电脑
• 冒充访客 —— 说和某员工有约,签个名就进去

为什么有效:

• 大部分人会避免冲突 —— 你穿得像工作人员,没人愿意当面质疑你
• 物理空间的安全意识普遍弱于线上
• 一旦进入大楼,几乎所有内部系统都被信任(内网 = 被默认可信)

进入后能干什么:

• 插 U 盘装 恶意软件
• 找便签上的密码(很多人贴在显示器上)
• 翻文件柜偷文档
• 把无线键盘嗅探器藏在桌下

防御:

• 不放过任何陌生人 —— 即使穿工作服,也要确认身份
• 门禁绝不允许尾随 —— 一人一刷
• 桌面清空策略(Clean Desk Policy)—— 离开时锁屏 + 不留敏感纸面
• 访客全程陪同