conducting-social-engineering-pretext-call

name	conducting-social-engineering-pretext-call
description	规划并执行授权的语音钓鱼（vishing）借口电话，以评估员工对社会工程学（Social Engineering）的易感性，并评估安全意识控制措施的有效性。
domain	cybersecurity
subdomain	red-teaming
tags	["social-engineering","vishing","pretext-call","security-awareness","red-team","phishing","human-risk"]
version	1.0
author	mahipal
license	Apache-2.0

执行社会工程学借口电话

概述

借口电话（vishing，语音钓鱼）是一种社会工程学技术，攻击者通过电话冒充受信任的权威人物，操纵目标泄露敏感信息、执行某些操作或授予访问权限。在红队演练中，借口电话测试安全控制的人为因素，衡量员工遵守验证程序的情况和安全意识培训的有效性。MITRE ATT&CK 将其映射到 T1566.004（钓鱼信息：语音）和 T1598（钓鱼信息）。

前置条件

• 指定社会工程学范围和边界的书面授权
• 已批准的目标员工列表（通常由客户提供）
• 对目标和组织的 OSINT 研究
• 来电显示欺骗能力（已授权用于测试）
• 录音设备（根据需要获得合法同意）
• 客户批准的借口场景

MITRE ATT&CK 映射

技术 ID	名称	战术
T1566.004	钓鱼：语音	初始访问
T1598	钓鱼信息	侦察
T1598.003	钓鱼信息：鱼叉式语音钓鱼	侦察
T1589	收集受害者身份信息	侦察
T1591	收集受害者组织信息	侦察

阶段一：OSINT 与目标研究

# LinkedIn 员工枚举
theHarvester -d targetcorp.com -b linkedin -l 200

# 公司组织架构和员工职位
# 查看 LinkedIn、公司网站"关于我们"/"团队"页面

# 技术栈识别
# 查看招聘信息中的技术参考（VPN 供应商、邮件、服务台工具）

# 电话系统识别
# 拨打主线，注意 IVR 选项、部门名称、分机号规律

需收集的关键情报：

• 内部服务台电话号码和流程
• IT 部门名称和员工
• VPN/远程访问供应商（Cisco AnyConnect、Fortinet、Pulse Secure）
• 企业邮件格式（first.last、flast 等）
• 近期事件（合并、办公室搬迁、系统升级）
• 员工姓名、职位、部门

阶段二：借口场景开发

常用借口场景

IT 服务台冒充（最有效）：

"您好，我是 IT 服务台的[姓名]。本周我们正在将大家迁移到新的 VPN 客户端，我看到您的账户还没有更新。我需要验证您当前的凭据以确保迁移顺利进行。您能确认一下您的用户名和当前密码吗？"

供应商/承包商：

"您好，我是[已知供应商]的[姓名]。我们正在为[产品]进行紧急补丁部署，需要远程访问您的系统。您能帮我通过 TeamViewer 连接吗？"

行政助理（权威）：

"这里是[CFO 姓名]秘书[姓名]来电。[他/她]需要紧急处理一笔即将完成的交易汇款。我会通过邮件发送详情，但需要在一小时内完成。"

建筑/设施管理：

"您好，我是设施管理部门的[姓名]。本周末我们要更新门禁系统。我需要确认您的员工 ID 和当前门禁卡号，以确保您的访问不会中断。"

借口检查清单

• 该借口对本组织是否可信？
• 是否创造了适当的紧迫感而不带有威胁性？
• 是否与 OSINT 发现一致（真实部门名称、真实系统）？
• 是否有合理的理由请求信息？
• 如果目标拒绝，是否有备用方案？
• 客户是否批准了这个特定借口？

阶段三：电话执行

通话结构

1. 介绍（10 秒）：说明姓名、部门、来电原因
2. 建立信任（30 秒）：提及真实情况（近期事件、共同背景）
3. 建立权威（20 秒）：引用经理姓名、工单号、紧迫性
4. 信息请求（30 秒）：自然地请求目标信息
5. 处理异议：如受到质疑，平静地用准备好的答案回应
6. 结束（10 秒）：感谢对方，不留下怀疑

异议处理

异议	回应
"我能回电吗？"	"当然，请拨打服务台主线并要求找[姓名]。但这需要在今天下班前完成。"
"我需要先验证一下"	"完全理解，您的谨慎很值得称赞。您可以向[经理姓名]确认。"
"我被告知永远不要提供密码"	"您说得对，我们通常也不会这样要求。这是一个特殊情况，因为[原因]。我可以让我的经理来电。"
"您的员工 ID 是多少？"	转移："是[编造的 ID]。听着，我今天还要打 50 个电话。我们能就此搞定吗？"
"我改发邮件给 IT"	"当然，但系统迁移今晚就要进行。如果在此之前没完成..."

阶段四：数据收集与指标

记录每次通话的以下内容：

指标	描述
目标姓名	被呼叫的员工
部门	目标所在部门
日期/时间	通话时间
时长	通话时长
使用的借口	哪种场景
获取的信息	泄露了什么
凭据是否泄露	是/否（及类型）
是否尝试验证	目标是否尝试验证来电者？
是否向安全部门报告	目标是否报告了此次通话？
社会工程学得分	1-5 级易感性评级

阶段五：报告

成功指标

指标	目标	结果
凭据泄露率	<10%	XX%
敏感信息泄露率	<20%	XX%
验证率	>80%	XX%
安全报告率	>50%	XX%

道德与法律注意事项

1. 始终获得书面授权，然后再进行语音钓鱼测试
2. 切勿使用威胁性语言或制造真实的恐惧
3. 记录通话录音的同意和法律要求
4. 保护泄露的凭据 — 立即向客户报告
5. 如客户批准，在演练结束后向目标汇报
6. 切勿公开点名未通过测试的特定员工
7. 遵守所在司法管辖区的电信法律

参考资料

• Verizon DBIR 2025：74% 的数据泄露涉及人为因素
• MITRE ATT&CK T1598: https://attack.mitre.org/techniques/T1598/
• 《社会工程学渗透测试》by Gavin Watson（Syngress 出版）
• 《欺骗的艺术》by Kevin Mitnick（Wiley 出版）
• NIST SP 800-50：构建信息技术安全意识和培训计划