社會工程攻擊

社會工程攻擊（Social Engineering Exploits）是指攻擊者透過心理操縱、欺騙或誘使手段，使目標人員主動揭露機密資訊、授權存取權限或執行有害指令的攻擊方式。其核心在於「人」而非「系統」。常見手法包括網路釣魚（Phishing）、預先文字攻擊（Pretexting）、尾隨（Tailging）、假冒身份（Impersonation）及惡意工程（Malicious Engineering）。根據NIST（美國國家標準暨技術研究院）的定義，這類攻擊利用人類行為的認知偏差，如信任、恐懼、權威感或緊急感。在ISO/IEC 27701個人資料保護管理體系中，社會工程攻擊被列為個人資料外洩（Data Breach）的常見攻擊向量，因此是個資保護設計（Privacy by Design）必須納入風險評估的項目。與傳統技術攻擊不同，其成功率往往極高，因為它繞過了防火牆與加密機制，直接攻擊防線最薄弱的環節——人。

企業應將社會工程攻擊納入ISO 31000風險管理框架的風險識別與評估階段。實務導入步驟如下：第一步，進行「攻擊面分析」，盤點員工在處理個人資料、客戶服務及供應商驗證時的接觸點；第二步，設計多層次防護機制，包括技術層面（如Email防詐模組、多因素驗證MFA）與管理層面（如資訊安全意識培訓、假釣魚演練）；第三步，建立應變與恢復流程，確保攻擊發生時能快速偵測、遏止並符合GDPR第33條的72小時通報義務。以台灣某大型電信業者為例，透過年度假釣魚演練，將員工點擊率從15%降至2%以下，並將資安事件處理時間縮短40%，有效降低潛在的GDPR罰款風險（最高可達全球年營業額4%）。

台灣企業在防範社會工程攻擊時面臨三大挑戰：其一，傳統資安觀念偏重技術防護（如防火牆、防毒軟體），對人員行為風險的關注不足；其二，中小企業（SME）因資源有限，難以建立系統性的員工培訓機制；其三，台灣企業文化中對「權威」的尊重，使員工在面對假冒高階主管的指令時難以拒絕。克服方法包括：1. 導入ISO 27701認證框架，將人員行為風險納入正式的風險矩陣管理；2. 建立「無責舉報文化」，鼓勵員工在遭遇疑似攻擊時立即回報而非掩蓋錯誤；3. 透過量化指標（如：員工資安意識評分、模擬攻擊成功率）追蹤改善成效。建議企業在導入後12個月內完成至少四次不同情境的模擬演練，以確保防護機制有效運作。