conducting-social-engineering-pretext-call

实施社会工程学借口电话

概述

借口电话（语音钓鱼）是一种社会工程学技术，攻击者通过电话冒充可信的权威人物，操纵目标泄露敏感信息、执行操作或授予访问权限。在红队演练中，借口电话用于测试安全控制中的人为因素，衡量员工对验证流程的遵守程度以及安全意识培训的有效性。MITRE ATT&CK 将此映射为 T1566.004（钓鱼获取信息：语音）和 T1598（钓鱼获取信息）。

何时使用

• 在开展涉及实施社会工程学借口电话的安全评估时
• 在针对相关安全事件遵循事件响应流程时
• 在执行计划内的安全测试或审计活动时
• 通过动手测试验证安全控制时

前置条件

• 明确说明社会工程学范围与边界的书面授权
• 经批准的目标员工名单（通常由客户提供）
• 针对目标及组织的 OSINT 调研
• 伪造来电显示的能力（已获测试授权）
• 通话录音设备（按法律要求取得同意）
• 经客户批准的借口场景

MITRE ATT&CK 映射

技术编号	名称	战术
T1566.004	钓鱼：语音	初始访问
T1598	钓鱼获取信息	侦察
T1598.003	钓鱼获取信息：语音鱼叉钓鱼	侦察
T1589	收集受害者身份信息	侦察
T1591	收集受害者组织信息	侦察

阶段 1：OSINT 与目标调研

# LinkedIn employee enumeration
theHarvester -d targetcorp.com -b linkedin -l 200

# Company org chart and employee roles
# Review LinkedIn, corporate website "About Us" / "Team" pages

# Technology stack identification
# Check job postings for technology references (VPN vendor, email, helpdesk tool)

# Phone system identification
# Call main line, note IVR options, department names, extension patterns

需要收集的关键情报：

• 内部服务台电话号码及流程
• IT 部门名称及员工
• VPN/远程访问供应商（Cisco AnyConnect、Fortinet、Pulse Secure）
• 企业邮箱格式（first.last、flast 等）
• 近期事件（并购、办公室搬迁、系统升级）
• 员工姓名、职位、部门

阶段 2：借口设计

常见借口场景

冒充 IT 服务台（最有效）：

“你好，我是 IT 服务台的 [name]。我们这周正在把所有人迁移到新的 VPN 客户端，我看到你的账户还没更新。我需要核实你当前的凭据，以确保迁移顺利进行。你能确认一下你的用户名和当前密码吗？”

供应商/承包商：

“你好，我是 [known vendor] 的 [name]。我们正在为 [product] 做紧急补丁部署，需要远程访问你的系统。你能帮我通过 TeamViewer 连接一下吗？”

高管助理（权威）：

“我是代表 [CFO name] 打电话的 [name]。[他/她] 需要为今天就要完成的一笔交易紧急处理一笔电汇。我会把细节邮件发给你，但我们需要在接下来一小时内完成。”

楼宇/设施：

“你好，我是设施管理部门的 [name]。我们这周末要更新门禁徽章系统。我需要确认你的员工 ID 和当前徽章编号，以免你的门禁权限被中断。”

借口检查清单

• 该借口对这个组织来说是否可信？
• 它是否制造了适当的紧迫感而不会显得具有威胁性？
• 它是否与 OSINT 发现一致（真实的部门名称、真实的系统）？
• 它是否有看似合理的索取信息理由？
• 如果目标反驳，是否有备用方案？
• 客户是否批准了这个具体的借口？

阶段 3：通话执行

通话结构

1. 开场介绍（10 秒）：说明姓名、部门、来电原因
2. 建立融洽关系（30 秒）：提及真实的内容（近期事件、共同背景）
3. 建立权威（20 秒）：提及经理姓名、工单编号、紧急程度
4. 索取信息（30 秒）：自然地索取目标信息
5. 应对异议：若被质疑，用准备好的回答冷静应对
6. 结束通话（10 秒）：致谢，不留任何疑心

异议应对

异议	回应
“我能回头再打给你吗？”	“当然可以，请拨打主帮助台热线并找 [name]。但这件事必须在今天下班前完成。”
“我需要核实一下”	“完全没问题，我很欣赏你的谨慎。你可以向 [manager name] 核实。”
“我被告知绝不能提供密码”	“你说得对，通常我们也不会这么要求。但这次是特殊情况，因为 [reason]。我可以让我的经理给你打电话。”
“你的员工编号是多少？”	转移话题：“是 [made-up ID]。听着，我今天还要给 50 多个人打电话。我们能把这件事先办完吗？”
“我还是发邮件给 IT 吧”	“可以，但系统迁移就在今晚。如果到那时还没完成……”

阶段 4：数据收集与指标

为每次通话记录以下内容：

指标	描述
目标姓名	被呼叫的员工
部门	目标所在部门
日期/时间	通话发起时间
时长	通话长度
所用借口	使用了哪个场景
获取的信息	被泄露的内容
是否泄露凭据	是/否（以及类型）
是否尝试核实	目标是否尝试核实来电者身份？
是否上报安全部门	目标是否上报了该通话？
社会工程评分	1-5 级易受骗程度评级

阶段 5：报告

成功指标

指标	目标	结果
凭据泄露率	<10%	XX%
敏感信息泄露率	<20%	XX%
核实率	>80%	XX%
安全上报率	>50%	XX%

伦理与法律注意事项

1. 务必获得书面授权，之后才能开展语音钓鱼测试
2. 绝不使用威胁性语言，也不制造真正的恐惧
3. 记录同意情况以及通话录音的法律要求
4. 保护被泄露的凭据——立即向客户报告
5. 在项目结束后对目标进行复盘说明，前提是客户批准
6. 绝不公开指认测试失败的具体员工
7. 遵守所在司法管辖区的电信法律

参考资料

• Verizon DBIR 2025：74% 的泄露事件涉及人为因素
• MITRE ATT&CK T1598：https://attack.mitre.org/techniques/T1598/
• Gavin Watson 著《Social Engineering Penetration Testing》（Syngress）
• Kevin Mitnick 著《The Art of Deception》（Wiley）
• NIST SP 800-50：Building an Information Technology Security Awareness and Training Program