网站域名安全③域名被盗路径之社工攻击

网站域名安全③域名被盗路径之社工攻击

上一篇② 注册商漏洞讲了账号这道门，这一篇讲门没破、但里面的人被忽悠开门——社工攻击。

攻人比攻系统便宜

域名被盗路径之社工攻击。黑客早就算明白：撬一个训练有素的安全工程师，远不如骗一个刚入职的客服小妹便宜。社工不靠漏洞，靠信息不对称和情绪施压，让「内部人」亲手把门打开。域名行业里，这招成功率出奇地高。

三种常见套路

冒充客服：骗子扮成你的合作方，说「域名要到期了快确认」，逼你慌乱中点链接；伪造工单：发一封看似官方的邮件，带个钓鱼入口；借熟人：从 LinkedIn 摸清谁管域名，再伪装同事要权限。三者的共性是「制造紧急感+伪装权威」（与④ 钓鱼陷阱同源）。

身份只走独立渠道

破社工的唯一铁律：任何涉及域名的变更，身份只走你主动拨打的官方电话或独立邮箱复核，绝不靠对方给的链接或来电确认。客服要改绑？挂掉，自己查官网号码回拨。熟人要权限？走书面工单。把「不轻信来电/来邮」写进 SOP，社工就少了九成入口（见⑫ 企业安全清单）。

把话术写成脚本

防社工最怕临场发挥。建议把「身份只走独立渠道复核」写成一句标准话术贴在客服屏：任何改绑、改密、解锁请求，先挂断、再回拨官方号。新人照念都不会错。话术上墙比培训 PPT 管用，它把判断压成了肌肉记忆，骗子再急也钻不进流程缝。

演练比培训重要

话术上墙只是第一步，真遇上事新人会不会用才是关键。建议每季度做一次红蓝演练：让某人扮骗子打电话给客服，看对方是否守住「回拨复核」的底线。演练暴露的漏洞，比看十遍 PPT 都真实。把演练结果纳入考核，防社工才从「知道」变成「做得到」，员工才不会在紧急时刻凭本能开门。

把责权写进岗位

防社工不能只靠个人自觉，要写进岗位职责：谁负责接听域名相关来电、谁有权发起变更，白纸黑字定好。模糊的「大家都管」等于没人管，骗子最爱钻这种缝。明确到人的责权，配合标准话术，即便老员工离职、新人接手，防线也不塌。制度比人可靠，正是这个道理。

人防清单

• □ 域名变更只走主动拨打的官方渠道。
• □ 不点「紧急」邮件里的任何链接。
• □ 熟人权限需求走书面工单复核。
• □ 全员做社工识别培训，定期演练。

下一篇④ 钓鱼陷阱把社工里最常见的载体——钓鱼，单拎出来拆。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。