跳到主要内容
VexaroSecurity
社会工程测试

社会工程与钓鱼演练

人是最常被攻击的目标，大多数入侵都始于有人被说服去点击、回拨或交出验证码。我们开展经授权的钓鱼、鱼叉式钓鱼、语音钓鱼与短信钓鱼活动，衡量这种人为风险，同时检验您的检测与上报机制是否真正起作用。这是一次学习演练，旨在增强韧性，而不是抓人犯错。

范围

人这一攻击面

社会工程通过攻击者真正会使用的渠道，把人作为目标。我们像真实对手一样借助 OSINT，设计贴近实战、经授权的场景，覆盖电子邮件、电话与短信。我们既衡量员工上当的难易程度，也衡量您检测与响应流程的有效性。

通常范围
  • 钓鱼：广撒网、贴近实战的邮件活动，衡量点击率与提交率
  • 鱼叉式钓鱼：针对指定角色、以 OSINT 为依据的定向诱饵
  • 语音钓鱼：语音借口呼叫（例如服务台与 MFA 重置场景）
  • 短信钓鱼：基于短信的借口与恶意链接投递
  • payload 与落地页的逼真度（凭据捕获、附件、MFA 提示）
  • 检测与上报：控制措施与人员是否做出了响应？
我们如何工作

贴近实战、经授权、对照 ATT&CK 映射

每一次活动都获得明确授权，并在约定的行动规则内进行。我们用 OSINT 设计可信的借口，并将技术对照 MITRE ATT&CK 的初始访问与侦察战术映射。目标在于学习：我们就规律与流程出具报告，用于提升安全意识与响应能力，绝不针对任何个人。

  1. 1

    范围界定与授权

    我们就目标、渠道、目标群体与行动规则达成一致，并取得明确的书面授权、签署 NDA。

  2. 2

    OSINT 与借口设计

    我们搜集开源情报，并为每个渠道设计可信、纳入范围的场景。

  3. 3

    活动实施

    我们在约定的时间窗与规则内开展钓鱼、语音钓鱼与短信钓鱼活动。

  4. 4

    响应衡量

    我们衡量易感性，以及检测、拦截与用户上报是否真正起了作用。

  5. 5

    报告与安全意识

    我们交付汇总结果与建议，其立意在于提升安全意识与改进流程。

交付物

您将获得

一幅关于人为风险与响应情况的清晰汇总图景，附有改进培训与检测的数据与建议。报告的写法着眼于增强韧性，而不是追究责任。

您将获得
  • 关于人为风险与响应态势的执行摘要
  • 汇总的活动指标：各渠道的点击率、提交率与上报率
  • 检测与上报结果：控制措施与人员是否做出了响应？
  • 对照 MITRE ATT&CK 映射的技术（初始访问、侦察）
  • 面向安全意识培训与控制措施、按优先级排序的建议
  • 汇总式、非惩罚性的报告（不针对个人追责）
方法论与标准

立足于 MITRE ATT&CK 与经授权的测试

MITRE ATT&CK（v19）钓鱼 / 鱼叉式钓鱼语音钓鱼与短信钓鱼OSINT行动规则非惩罚性报告

活动对照 MITRE ATT&CK（初始访问与侦察战术）映射，且仅在明确的书面授权与约定的行动规则下进行。社会工程是一次学习演练：结果以汇总形式呈现，用于提升安全意识、控制措施与响应能力，而非针对个人。场景借助 OSINT 设计，力求贴近实战，同时严格保持在约定范围之内。

测试您「人」这一攻击面.

告诉我们哪些团队与渠道纳入范围、您希望了解什么。我们将设计经授权、贴近实战的活动，在约定规则内开展，并以增强韧性的方式出具报告，全程在 NDA 下进行。首次咨询免费。