政府防堵社交工程的方式，企業可參考學習

為了杜絕政府部門同仁被組織型駭客以社交工程（Social Engineering）手法騙取重要機密資料，行政院國家資通安全會報技術服務中心在過去2年，已經建立一套「社交工程追蹤反應系統」，預計在今年導入某些特定部門。技術服務中心主任劉培文表示，在日前由FIRST舉辦的國際安全會議中，這套機制獲得最佳實務競賽獎，作法可供臺灣企業參考。

臺灣政府部門經常遭受到組織型駭客的特定攻擊（Target Attack），其中，透過社交工程手法騙取政府部門同仁的信任，點選特定郵件或網址連結，取得個人帳號、密碼，或被植入木馬程式，都是政府部門常見的資安威脅。為了有效降低社交工程手法對政府部門同仁的資安威脅，行政院資通安全會報透過持續不斷的教育訓練，並設計一套演練平臺追蹤教育訓練的成效。

劉培文表示，這一套系統是模擬駭客的各種社交攻擊手法，寄發誘騙信件，他說：「過去2年演練成效來看，打開社交工程攻擊信件比例已從33％降為21％，點擊連結或打開附件比例從18％降為13％。」

劉培文指出，該社交工程追蹤反應系統是以Java開發，具有網頁管理介面。在發動演練時，除了要先定義社交工程信件的模板（Template），上傳受測試人員的E-mail名單，確定攻擊信件發送時程後，他認為，「關鍵在於想一個吸引人的社交工程信件標題」，在攻擊郵件大量寄出後，後續追蹤相關行為記錄，並產生報表即可。文⊙黃彥棻