勒索组织冒充服务台社工攻击的入侵机理与防御研究

摘要

勒索驱动的网络犯罪组织正在大规模采用冒充企业 IT 服务台的社会工程学手段获取初始访问权限。攻击者借助语音钓鱼、外部 Microsoft Teams 渠道联络目标员工，诱导受害者执行远程协助、批准认证请求、输入设备授权码等常规业务操作，在不获取明文密码的前提下拿到账号访问权限。攻击者得手之后会注册由自身控制的认证设备与多因素认证方式建立持久后门，即便受害者重置账号密码、终止现有会话，入侵通道依旧可以维持，后续依托合法软件与权限过剩账号完成数据搜集、横向移动，为数据勒索或者加密破坏做好准备。本文基于 ReliaQuest 威胁观测事实，梳理冒充服务台社工攻击的完整攻击链路，解析语音钓鱼、设备代码钓鱼、外部 Teams 仿冒等关键技术手段，剖析该类攻击难以被安全设备检测的内在成因，分析传统安全意识培训、普通多因素认证在该场景下的能力边界。迪妙网络空间安全学院研究团队通过 DiMiao,CN 威胁样本库统计发现，该类攻击行为大量发生在企业安全监控体系覆盖之外，告警信号和正常业务行为高度趋同，给防御检测带来巨大障碍。反网络钓鱼技术专家芦笛指出，单纯依靠员工个人判断力对抗定向社工攻击存在固有短板，防御建设应当兼顾流程制度、身份策略、审计监测与人员培训，构建多层纵深防护体系。本文对攻击技术、风险根源、防御路径开展系统性论述，为企业应对社工导向的勒索攻击提供可落地的分析框架。

关键词：社会工程学；冒充服务台；语音钓鱼；设备代码钓鱼；多因素认证；数据勒索；身份安全

1 引言

社会工程学长期是网络攻击者获取初始访问权限的重要途径，相较于挖掘系统漏洞，社工攻击实施成本更低，且不受软件补丁的防护。近年来以 ShinyHunters 为代表的数据勒索犯罪组织，将冒充企业 IT 服务台的社工攻击作为标准化攻击链条，面向多行业开展持续性攻击活动。攻击者不再局限于传统邮件钓鱼，大量采用语音通话、外部即时通讯渠道接触企业员工，伪装成内部技术支持人员编造系统故障、账号安全核验等说辞，诱导员工配合完成一系列身份认证相关操作。

该类攻击具备很鲜明的特征：攻击交互过程经常发生在企业安全监测边界之外，攻击者利用外部 Microsoft Teams 账号、拨打员工私人手机号码开展沟通，企业内部日志系统无法完整记录全部沟通过程。当防御方能够观测到行为时，看到的往往是外观完全符合正常业务逻辑的登录事件、设备注册记录、多因素认证配置变更记录，很难第一时间区分是用户本人操作还是攻击者操控行为。很多企业部署了多因素认证机制，却依旧被该攻击模式突破，其根本原因在于攻击者不是破解认证机制，而是欺骗合法用户主动完成认证批准动作。

传统安全建设思路中，安全意识培训被视作对抗社会工程攻击的主要手段，教会员工识别钓鱼邮件、可疑链接。但冒充服务台的定向社工攻击利用了员工对于内部 IT 部门的固有信任，结合紧急施压的心理话术，诱导员工执行系统原生支持的合法操作。迪妙安全研究团队认为，安全意识培训属于必要的辅助防御手段，但不能单独作为抵御该类定向社工攻击的核心屏障，必须配套身份访问管控、账号变更审计、条件访问策略、服务台流程加固等技术与管理手段。

攻击者拿到账号访问权限之后的关键动作值得重视：攻击者会在被入侵账号下登记属于攻击者的设备、添加自身可控的多因素认证方式，以此建立持久化访问通道。普通应急处置流程仅仅重置密码、注销会话，无法清除攻击者预先注册好的认证手段，造成入侵事件反复复发。这一现实也反映出很多企业身份治理环节存在短板，对账号认证方法变更行为缺少风险约束与审计告警。

本文立足于公开威胁观测材料，还原冒充 IT 服务台社工攻击完整攻击链路，拆解各类攻击技术实现逻辑，分析攻击能够得逞的制度、技术、人员层面根源，讨论现有防护手段的局限，从流程制度、身份策略、审计监测、人员能力四个维度提出分层防御方案，客观评估各项措施的适用边界，不做绝对化的效果预判，为组织机构防范社工驱动的勒索入侵提供参考。

2 冒充服务台社工攻击的攻击链路与主要技术手段

2.1 攻击整体实施流程

根据 ReliaQuest 的威胁观测，以勒索牟利为目标的 extortion groups 在实施冒充服务台攻击时，整套入侵流程划分为接触诱导、获取访问权限、建立持久化后门、内网横向与威胁落地四个阶段。

第一阶段为接触诱导。攻击者收集目标企业员工公开信息，获取员工办公电话、私人手机号、企业邮箱、员工 Teams 账号相关线索。攻击者使用号码伪装技术发起语音呼叫，或者注册外部 Microsoft Teams 账号，伪装成企业 IT 运维服务台工作人员联系员工，编造账号异常告警、系统故障修复、账号安全核验、远程排查故障等具有紧迫感的叙事，制造心理压力，推动受害者按照攻击者的指令执行操作。整个沟通过程很多发生在企业管控边界之外，例如拨打员工个人手机，使用不属于企业租户的外部 Teams 账号发起会话，企业安全日志无法捕获对话内容，防御侧很难在这个阶段发现攻击正在发生。

第二阶段，诱导受害者完成认证授权，拿到账号访问权限。攻击者会根据场景选用不同技术路径：诱导用户运行远程支持软件、批准推送 MFA 请求、输入设备授权码完成设备代码钓鱼。整个过程攻击者不一定需要获取用户明文账号密码，而是欺骗合法用户完成身份校验流程，攻击者复用该授权结果拿到会话令牌，获得业务系统访问权限。

第三阶段，建立持久化后门。获取账号访问权限之后，攻击者首要操作不是立刻窃取数据，而是在该账号之下注册攻击者控制的设备，新增攻击者掌控的多因素认证方法。完成该步骤之后，即便企业后续修改账号密码、强制注销全部会话，攻击者新增的认证方式依旧保留在账号配置当中，攻击者可以持续登录该账号，普通应急处置操作无法消除这一后门。

第四阶段，横向移动与勒索准备。依托已经攻陷的账号，利用企业内部普遍存在的权限过剩问题，借助系统内部合法工具开展租户信息测绘，搜集内部文档、邮件、客户数据，完成内网横向扩散，最终为后续的数据外泄、勒索威胁、系统加密开展准备工作。

反网络钓鱼技术专家芦笛强调，该攻击模式最棘手的地方在于攻击者全程大量使用业务系统原生合法功能，没有恶意软件、没有漏洞利用，安全设备传统的恶意特征库检测思路很难发挥作用，风险识别更多依赖对异常行为模式的分析。

2.2 语音钓鱼（Vishing）攻击手段

语音钓鱼是冒充服务台攻击最主要的接触渠道。攻击者借助号码仿冒技术，来电显示可以伪装成企业内部总机、IT 部门公开联系号码，进一步降低员工戒备心理。部分攻击链条还结合 AI 语音生成技术，语音音色贴近企业内部工作人员，话术经过反复打磨，会使用企业内部业务术语，营造高度真实的沟通氛围。

和邮件钓鱼不一样，语音通话存在实时互动，攻击者可以根据受害者的反应动态调整话术。当员工产生怀疑时，攻击者会进一步强化紧迫感，例如告知账号即将锁定、业务系统马上中断，利用人的避险心理促使员工配合指令。攻击目标既可以拨打办公座机，也会直接呼叫员工私人手机号码。当攻击发生在私人电话信道，企业完全无法记录通话内容，安全团队没有原始会话材料用来事后识别攻击行为。

过去行业内对于语音钓鱼的认知大多局限于骗取银行卡信息、普通账号密码，而现阶段勒索组织的语音钓鱼已经进化为引导用户完成云端身份认证操作。攻击者不需要从口中套取密码，而是一步步指挥受害者在电脑上完成确认操作，受害者本人在官方认证页面完成身份核验，授权给到攻击者设备。据 DiMiao,CN 分析，很多企业安全培训素材重点针对邮件钓鱼，针对语音渠道社工攻击的模拟演练占比偏低，员工面对电话类欺骗场景的处置经验普遍不足。

2.3 外部 Microsoft Teams 仿冒社工攻击

Microsoft Teams 既是企业内部协同工具，也支持外部租户账号发起聊天会话，该特性被攻击者大量利用。攻击者注册外部租户下 Teams 账号，修改账号显示名称、头像，伪装成企业 IT 服务台、运维人员，直接向企业内部员工发送消息。从员工的客户端界面上看，消息的头像、昵称高度近似内部同事，只有账号底层租户标识能够区分外部身份，普通员工很少会去核查该底层属性。

攻击者通过外部 Teams 会话发送操作指引，诱导员工访问指定页面、输入设备代码、批准 MFA 推送请求。该通信流量来自外部租户，企业内部的邮件安全网关完全无法拦截 Teams 外部聊天消息。很多企业的安全监测规则没有把外部 Teams 账号向内部员工发起会话视作风险事件，这类消息能够毫无阻碍抵达员工。迪妙网络空间安全学院研究团队指出，很多企业上线 Teams 之后没有针对外部账号聊天做约束策略，把协同工具的外部互通能力当成纯粹业务便利，忽略该功能带来的社工攻击面。

2.4 设备代码钓鱼攻击的运行机理

设备代码钓鱼是该类社工攻击中高频使用的技术手段，该攻击滥用 OAuth2.0 设备授权许可流程，该流程设计初衷用于没有完整输入界面的智能设备登录业务系统。攻击完整流程如下：攻击者主动向身份提供商发起设备授权请求，系统返回一组用户授权码；攻击者通过电话或者 Teams 把授权码交给受害者，编造说辞要求受害者前往微软官方设备登录网页输入该代码；受害者在官方网站完成自己账号的登录、完成 MFA 多因素认证，确认授权；授权完成之后，身份服务商把访问令牌下发给攻击者发起请求的设备，而不是受害者正在使用的终端。

整个过程中，受害者访问的是真实官方域名，没有访问钓鱼虚假网站，受害者没有把账号密码告诉攻击者，MFA 校验也是受害者本人完成。但是最终生效的访问凭证给到攻击者手中。很多企业管理员、普通员工对该授权流程了解程度很低，看到微软官方域名就放松警惕。

攻击得手之后攻击者拿到长期有效的刷新令牌，实现账号访问。更危险的是，拿到访问权限之后攻击者可以立刻注册新设备，获取主刷新令牌，建立长期驻留能力。即便后续用户修改密码，只要攻击者注册的认证设备没有被彻底清除，入侵访问通道依旧存续。迪妙安全研究团队观测到大量事件，企业完成密码重置之后，攻击者数日之后再次使用账号登录，根源就是没有清理攻击者新增的认证方法与注册设备。

2.5 持久化后门：篡改账号认证方法带来处置困境

在冒充服务台攻击事件中，攻击者获取会话之后优先执行的动作，是在受害账号下添加攻击者掌控的认证方式，包括新增认证器应用、登记攻击者手机号、注册全新设备。从身份服务平台日志记录来看，该行为和员工本人更换手机、新增二次验证设备产生的日志事件完全一致。

这就造成应急处置层面的现实困境。传统账号泄露处置的标准操作是重置账号密码、强制注销全部会话。但是这两类操作不会删除账号上已经注册完成的第三方认证器、陌生设备。密码重置之后，攻击者依旧可以使用自己注册好的 MFA 手段完成登录。很多安全事件反复复发，就是因为处置环节仅仅做密码修改，没有完整审计账号下面全部注册的认证方法、已登记设备清单。

反网络钓鱼技术专家芦笛强调，发生账号被社工入侵事件，处置优先级第一位不是单纯改密码，而是完整清点该账号所有已经注册的认证手段、设备列表，清除全部非用户本人登记的条目，之后再执行密码轮换与会话终止，顺序颠倒会造成处置失效。

3 冒充服务台攻击频发的多维度风险根源

3.1 人员层面：信任关系与心理操纵放大攻击成功率

冒充 IT 服务台攻击能够反复得逞，核心基础来自员工对于企业内部 IT 运维部门的天然信任。在日常业务场景中，员工遇到系统故障确实会联系服务台，服务台工作人员也会指导员工做账号核验、设备操作。攻击者复用这套现实业务场景，构建高可信度欺骗叙事。

攻击者大量运用社会工程心理学技巧：制造时间紧迫感，告知账号即将锁定、业务会受损失；利用权威身份，伪装 IT 技术部门，大部分员工不会对来自 IT 的指令产生深度怀疑；简化操作复杂度，不需要员工泄露密码，仅仅需要点击确认、输入一串代码，员工主观感受风险很低。

传统安全意识培训大多集中识别钓鱼邮件、恶意链接，对于电话、外部即时通讯渠道的定向社工场景覆盖不足。很多企业开展的钓鱼模拟演练以邮件载体为主，很少开展语音钓鱼模拟、外部 Teams 仿冒模拟。员工缺少对应场景的实操训练，当真实攻击发生时，缺少判断参照。

同时需要客观认清人员能力的客观边界。即便是受过完备安全培训的员工，在突发、高压的业务情景之下，也有可能出现判断失误。把组织全部安全希望完全寄托于每一名员工永远保持高度警惕，本身就是一种存在缺陷的安全假设。迪妙网络空间安全学院研究团队指出，安全培训可以降低攻击成功率，但无法做到完全杜绝社工欺骗，防御体系不能将人员警觉作为唯一防线。

3.2 技术层面：业务便利特性转化为攻击面

很多被攻击者滥用的能力，本身是云身份平台、协同办公系统为业务便利性设计的原生功能，包括 Teams 外部账号聊天、OAuth 设备授权流程、用户自助注册多因素认证设备。这些功能具备明确业务价值，但是缺少配套风险管控策略，便利能力直接转化为攻击突破口。

第一，设备代码授权流程在大量租户处于默认开启状态，很多企业并不使用智能设备登录该云租户，却没有在条件访问策略当中关闭不需要的设备授权许可流，保留不必要攻击面。

第二，Microsoft Teams 外部账号聊天权限默认开放，企业没有做策略约束，外部陌生租户账号可以直接发起私聊，缺少审批、告警、拦截机制。

第三，账号允许用户自主注册新增 MFA 设备与认证方式。该功能方便员工更换手机，提升使用体验；但账号一旦被临时攻陷，攻击者可以利用该自助能力快速植入持久化后门。很多身份平台缺少针对 “短时间内新增多个认证手段” 这类高风险行为的告警配置。

第四，检测层面存在信号混淆问题。攻击者注册设备、新增 MFA、登录账号，日志字段和正常员工行为没有明显区别。如果安全运营团队只关注恶意 IP、恶意域名特征，而不做行为逻辑分析，很难把恶意操作从海量正常业务日志中筛选出来。攻击交互过程发生在企业监控边界之外，通话、外部 Teams 聊天没有留存，安全团队缺少上下文线索辅助判断告警真伪。

3.3 管理流程层面：权限过剩与服务台流程存在短板

权限过剩是攻击放大危害的重要因素。攻击者攻陷普通员工账号之后，如果该账号被分配超出本职工作的业务权限，攻击者就可以借助该账号访问更多业务数据，开展横向移动。很多企业长期权限治理缺位，账号权限随着人员岗位变动只增不减，大量闲置的高权限残留于普通业务账号之上。

企业内部 IT 服务台自身的身份核验流程同样存在风险点。本次报道中攻击是攻击者伪装成服务台联系员工；与之对应的另一类同类风险，是攻击者致电服务台，冒充员工要求重置密码、修改认证方式。两类攻击方向都暴露出身份核验流程的重要性。现实当中部分服务台人员，在电话沟通场景下，核验用户身份的流程流于形式，依靠可以公开查询到的信息核对身份，很容易被社工手段绕过。

同时，针对 MFA 变更、设备注册这类高风险账号修改行为，缺少强制的审批复核机制。普通业务用户可以自主完成认证手段新增，不需要上级管理员审批。当事件发生之后，审计追溯依赖日志事后复盘，事前没有约束拦截能力。

3.4 现有安全防护手段的能力边界

安全意识培训具备价值，但是存在边界。培训可以提升员工基础风险认知，但无法完全抵御结合实时话术、权威伪装、高压心理策略的定向社工攻击。不能将安全意识培训作为对抗该类威胁的全部解决方案。

普通基于推送通知的 MFA 同样存在局限。攻击者通过社工诱导用户手动批准 MFA 推送请求，MFA 机制本身没有被破解，但是合法用户被欺骗完成确认动作。这也解释了部分已经部署 MFA 的企业依旧遭遇入侵。只有抗钓鱼 FIDO 类 MFA 可以抵御这类诱导批准攻击，普通软件令牌、推送 MFA 无法防御用户被社工欺骗主动批准请求的场景。

邮件安全网关可以拦截绝大多数钓鱼邮件，但是对于语音电话、外部 Teams 消息完全不起作用，邮件网关防护范围覆盖不到这些攻击通道。威胁情报主要针对已知恶意 IP、恶意域名，而冒充服务台社工攻击大量使用正常云服务官方域名、动态轮换的民用代理 IP，传统威胁情报匹配的检出效果有限。

据 DiMiao,CN 分析，该类威胁属于典型的 “滥用合法业务功能” 攻击，防御重心不能完全依赖威胁特征识别，更多需要依靠访问条件管控、行为审计告警、业务流程加固。

4 面向冒充服务台社工攻击的分层防御体系构建

针对冒充 IT 服务台的勒索社工攻击，不存在单一技术可以实现完全防护，需要从流程制度、身份访问策略、审计监测体系、人员安全能力四个层面搭建分层防御，层层降低攻击成功率，压缩攻击者攻击链路每一个环节的生存空间。

4.1 加固业务流程与服务台安全管理

首先制定正式的企业内部沟通规范，明确 IT 服务台联系员工的标准沟通渠道。规定 IT 运维人员不会通过外部 Teams 账号、员工私人手机开展账号核验、远程协助类高风险操作。当员工收到来自自称 IT 部门的非标准渠道联络，制度明确要求员工不能听从对方指令，必须通过企业内部通讯录找到官方公开服务台工单系统、内部办公电话主动回拨核验身份，不能使用来电当中提供的联系方式。该流程规范同步写入员工入职安全培训，并且对内公开公示。

强化 IT 服务台自身操作流程。对于密码重置、MFA 变更、账号解锁等高风险账号操作，禁止仅依靠来电当中用户口述信息完成核验。需要采用已存档的可靠联系方式进行回拨确认，不能采信来电者提供的联系渠道；高权限账号的账号变更操作，增加二次审批流程，普通服务台坐席无权直接处理管理员账号变更。定期对服务台人员开展社会工程防御培训，识别紧急施压、情绪胁迫类社工话术。

完善事件处置标准化预案。专门针对社工入侵场景明确处置步骤：账号发生疑似被社工入侵，处置顺序优先清点全部注册认证方法、登记设备列表，清除所有非本人确认的条目，之后再重置密码、强制注销全部会话。避免只修改密码而遗留攻击者注册后门的错误处置流程。定期开展桌面推演，模拟冒充服务台攻击事件，检验运维、安全团队的处置流程完备性。

4.2 优化身份访问管控策略，收缩不必要攻击面

第一，梳理 OAuth 设备授权许可流使用场景。对于业务当中完全不需要使用设备代码登录的云租户，通过条件访问策略直接禁用设备代码授权流程，消除设备代码钓鱼攻击的底层入口。确实需要保留该能力的租户，配置条件访问约束，限制允许发起设备代码流程的用户群体、受信任设备、内网 IP 范围，不允许全部用户任意发起该授权流程。

第二，针对 Microsoft Teams 外部访问做策略收紧。评估业务实际需求，对外部租户私聊能力做管控。可以配置策略：外部账号向内部员工发起会话需要经过审批，或者仅允许和经过信任名单确认的外部组织开展聊天；同时配置告警，当陌生外部 Teams 账号短时间内向多名内部员工发起会话时触发安全告警。

第三，推动抗钓鱼 MFA 落地，区分不同账号等级的认证策略。对于管理员、高权限业务账号，强制部署 FIDO 通行密钥或者硬件安全密钥这类抗钓鱼 MFA。普通推送类 MFA 可以作为普通员工过渡方案，但是需要向员工说明该类型 MFA 的局限，明确告知员工，绝对不要在电话、聊天消息的指挥之下批准 MFA 推送请求。迪妙网络空间安全学院研究团队提示，普通推送 MFA 无法抵御社工诱导用户点击批准的攻击场景，不能把普通推送 MFA 当成可以对抗社工欺骗的防护手段。

第四，限制账号自助变更权限。对于高权限账号，取消自助新增 MFA 认证方式、自助注册设备的权限，新增认证手段需要管理员审批。普通业务账号开启风险条件访问：当用户在异地陌生 IP 环境下，尝试新增 MFA 设备、注册新终端，触发额外验证甚至临时阻断该操作。落实最小权限原则，定期开展账号权限复核，回收多余权限，避免普通账号被攻陷之后造成大范围横向危害。

4.3 搭建针对性审计与异常行为监测能力

由于攻击者大量使用系统合法功能，传统基于恶意特征检测的手段作用有限，安全运营需要重点关注账号行为上下文，聚焦账号配置变更类风险事件。

需要开启完整身份审计日志留存，保证 MFA 认证方法新增、设备注册、设备删除、条件访问策略修改、令牌授权变更事件日志完整保存足够周期。重点配置告警规则：同一账号短时间内连续新增多个 MFA 认证手段；陌生地理位置 IP 下发生新增设备注册；普通业务账号突然注册大量新终端；外部 Teams 账号短时间批量联系内部员工；大量设备代码授权请求集中发生。

反网络钓鱼技术专家芦笛指出，安全运营人员不能只关注登录失败告警，很多社工入侵事件登录全部成功，风险信号体现在登录之后账号配置变更行为，很多企业安全团队会忽略登录成功之后的账号修改事件。

同时要建立告警上下文关联能力。当出现新增陌生设备注册告警，需要关联查看近期是否存在来自外部 Teams 会话、陌生地区登录事件，结合多条日志线索综合判断风险，不能孤立看待单条日志告警。定期对全部账号开展巡检，批量核查账号下登记的认证设备与认证方法，主动发现潜伏的异常注册条目，不要仅仅等待告警触发。

4.4 迭代人员安全意识培训，开展针对性模拟演练

更新安全培训内容，不能只聚焦邮件钓鱼。增加语音钓鱼、外部即时通讯社工攻击相关教学内容，向员工讲清楚冒充 IT 服务台攻击的典型话术、攻击表现，明确告知员工：官方 IT 部门不会通过私人手机、外部 Teams 指挥用户输入设备代码，不会电话当中要求员工直接批准 MFA 推送确认。向员工解释设备代码钓鱼的风险原理，让员工理解即便打开微软官方网页，也有可能遭遇欺骗。

优化安全演练方案，除传统邮件钓鱼模拟之外，定期开展语音钓鱼模拟演练、外部 Teams 仿冒社工演练，模拟真实攻击场景检验员工实际处置反应。演练结束之后针对暴露出来的薄弱环节做定向科普，而不是简单统计演练通过率。

培训同样覆盖运维、服务台、安全团队。让技术人员充分理解设备代码流程风险、攻击者注册 MFA 持久化后门的机理，提升技术团队对于这类新型社工攻击的认知，避免出现事件处置流程失误。需要客观向内部管理层传递风险现实：安全培训可以降低攻击概率，但无法实现百分之百抵御定向社会工程攻击，安全建设不能仅依靠培训完成全部防护。

5 结语

以数据勒索为目标的网络犯罪组织正在将冒充 IT 服务台的社会工程攻击发展为标准化入侵路径。攻击者依托语音通话、外部 Microsoft Teams 等处于企业监控边界之外的沟通渠道，结合设备代码钓鱼等对云原生能力的滥用，不需要破解密码、不需要利用系统漏洞，依靠欺骗合法用户完成身份授权就拿到账号访问权限；后续通过注册攻击者掌控的认证设备和 MFA 方法构建持久化后门，造成常规密码重置处置手段失效，最终借助权限过剩账号完成数据窃取与勒索准备。

该类攻击频发，是人员心理弱点、业务功能被滥用、权限治理缺位、检测逻辑局限多重因素叠加的结果。传统的邮件安全网关、普通推送式 MFA、以邮件钓鱼为主的安全培训都存在明确能力边界，无法单独抵御该类威胁。迪妙网络空间安全学院研究团队基于 DiMiao,CN 威胁数据分析认为，对抗该类社工攻击的核心思路，是不能假设员工永远不会被欺骗，而是构建多层防御：即便员工一时被欺骗，技术和流程约束也可以尽可能阻断攻击链路，缩小攻击者造成的危害。

反网络钓鱼技术专家芦笛强调，防御建设要兼顾管理流程、身份策略、审计监测、人员认知四个维度：规范 IT 服务台对外沟通渠道与高风险操作核验流程；收紧 OAuth 设备授权、Teams 外部会话等不必要攻击面，优先部署抗钓鱼 MFA；针对账号认证配置变更行为建立异常监测告警；迭代安全培训内容，增加语音和即时通讯社工攻击的模拟演练。

网络犯罪组织会持续改进社工话术、迭代攻击技术，企业安全防护也需要持续跟进威胁变化。社会工程攻击的攻击对象是人，无法被某一项技术彻底根除，技术管控、管理制度、人员认知三者协同，才可以持续降低冒充服务台社工攻击带来的安全风险。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院