社会工程学是关于建立理论通过自然的、社会的和制度上的途径并特别强调根据现实的双向计划和设计经验来一步一步地解决各种社会问题。总体上来说，社会工程学就是使人们顺从你的意愿、满足你的欲望的一门艺术与学问。

社会工程学定位在计算机信息安全工作链路的一个最脆弱的环节上。

我们经常讲：最安全的计算机就是已经拔去了插头（网络接口）的那一台（“物理隔离”）。真实情况中，你可以去说服某人（使用者）把这台非正常工作状态下的、容易受到攻击的有漏洞的机器连上网络并启动提供日常的服务。也可以看出，“人”这个环节在整个安全体系中是非常重要的，也是最薄弱的一环。无论是在物理上还是在虚拟的电子信息上，任何一个可以访问系统某个部分（某种服务）的人都有可能构成潜在的安全风险与威胁。

在这样的情况下社会工程学就是导致不安全的根本之一了。

常见的社会工程学攻击：

　　伪造一封来自好友的电子邮件：这是一种常见的利用社会工程学策略从大堆的网络人群中攫取信息的方式。在这种情况下，攻击者只要黑进一个电子邮件帐户并发送含有间谍软件的电子邮件到联系人列表中的其他地址簿。人们通常相信来自熟人的邮件附件或者是链接，这便让攻击者轻松得手。

钓鱼攻击：这是运用社会工程学策略获取受害者的机密信息的常见手段。大多数的钓鱼攻击都是伪装成银行、学校、软件公司或政府安全机构等可信服务提供者。通常网络骗子冒充成你所信任的服务提供商来发送邮件，要求你通过给定的链接尽快完成账户资料更新或者升级你的现有软件。大多数网络钓鱼要求你立刻去做一些事，否则将承担一些危险的后果。点击邮件中嵌入的链接将把你带去一个专为窃取你的登录凭证而设计的冒牌网站。

诱饵计划：在此类型的社会工程学阴谋中，攻击者利用了人们对于例如最新电影或者热门MV的超高关注，从而对这些人进行信息挖掘。这在例如Bit torrent等P2P分享网络中很常见。另一个流行方法便是以1.5折的低价贱卖热门商品。这样的策略很容易被用于假冒eBay这样的合法拍卖网站，用户也很容易上钩。邮件中提供的商品通常是不存在的，而攻击者可以利用你的eBay账户获得你的银行信息。

　　主动提供技术支持：在某些情况下，攻击者冒充来自于微软等公司的技术支持团队，回应你的一个解决技术问题的请求。尽管你从没寻求过这样的帮助，但你会因为自己正在微软产品并存在技术问题而尝试点击邮件中的链接享用这样的“免费服务”。一旦你回复了这样的邮件，便与想要进一步了解你的计算机系统细节的攻击者建立了一个互动。在某些情况下攻击者会要求你登录到“他们公司系统”或者只是简单寻求访问你的系统的权限。有时他们发出一些伪造命令在你的系统中运行。而这些命令仅仅为了给攻击者访问你计算机系统的更大权限。

如何免受社会工程学攻击？

当心来路不明的服务供应商等人的电子邮件、即时简讯以及电话。在提供任何个人信息之前验证其可靠性和权威性。

缓慢并认真地浏览电子邮件和短信中的细节。不要让攻击者消息中的急迫性阻碍了你的判断。

永远不要点击来自未知发送者的电子邮件中的嵌入链接。如果有必要就使用搜索引擎寻找目标网站或手动输入网站URL。

永远不要在未知发送者的电子邮件中下载附件。如果有必要，可以在保护视图中打开附件，这个在许多操作系统中是默认启用的。

拒绝来自陌生人的在线电脑技术帮助，无论他们声称自己是多么正当的。

使用强大的防火墙来保护你的电脑空间，及时更新杀毒软件同时提高垃圾邮件过滤器的门槛。

下载软件及操作系统补丁，预防零日漏洞。及时跟随软件供应商发布的补丁同时尽可能快地安装补丁版本。

关注网站的URL。有时网上的骗子对URL做了细微的改动，将流量诱导进了自己的诈骗网站。

不要幻想不劳而获。如果你从来没有买过彩票，那你永远都不会成为那个中大奖的幸运儿。

不幸成了社会工程攻击的受害者，该怎么办？

由于社会工程攻击的温柔属性，大多数受害者都不知道他们已经被攻击了，而可能要耗费几个月的时候才能发现这个安全漏洞。一旦你怀疑自己是社会工程攻击的受害者时，你首先要做的就是重设一个密码。　　

为你的所有账户创建一个新的强密码，并且要确保你的新密码与你的家人无关，因为攻击者可能知道很多关于你和你的家人的信息。其次，联系你的银行，仔细检查你的财务报表。最后，可以考虑报告有关职能机构，以避免潜在发生的身份盗窃及冒名邮件诈骗。