用途
借口电话（pretext call，即语音钓鱼 vishing）是一种社会工程手法：攻击者通过电话冒充可信的权威人物，操纵目标泄露敏感信息、执行操作或授予访问权限。在红队行动中，借口电话用于测试安全控制中的人为因素，衡量员工对验证流程的遵守程度以及安全意识培训的有效性。该技术映射到 MITRE ATT&CK 的 T1566.004（钓鱼：语音）和 T1598（为获取信息而钓鱼）。
适用时机
- 开展涉及社会工程借口电话的安全评估时
- 遵循相关安全事件的事件响应流程时
- 执行计划内的安全测试或审计活动时
- 通过动手测试验证安全控制时
前置条件
- 明确社会工程范围与边界的书面授权
- 经批准的目标员工名单（通常由客户提供）
- 针对目标及组织的 OSINT 调研
- 来电显示伪装能力（经授权用于测试）
- 通话录音设备（按法律要求取得同意）
- 经客户批准的借口场景
MITRE ATT&CK 映射
| 技术编号 | 名称 | 战术 |
|---|---|---|
| T1566.004 | 钓鱼：语音 | 初始访问 |
| T1598 | 为获取信息而钓鱼 | 侦察 |
| T1598.003 | 为获取信息而钓鱼：语音鱼叉式钓鱼 | 侦察 |
| T1589 | 收集受害者身份信息 | 侦察 |
| T1591 | 收集受害者组织信息 | 侦察 |
阶段一：OSINT 与目标调研
# LinkedIn 员工枚举
theHarvester -d targetcorp.com -b linkedin -l 200
# 公司组织架构与员工角色
# 查看 LinkedIn、企业网站“关于我们”/“团队”页面
# 技术栈识别
# 查看招聘信息中的技术引用（VPN 供应商、邮件、帮助台工具）
# 电话系统识别
# 拨打总机，记录 IVR 选项、部门名称、分机号规律
需收集的关键情报：
- 内部帮助台电话号码与流程
- IT 部门名称与人员
- VPN/远程访问供应商（Cisco AnyConnect、Fortinet、Pulse Secure）
- 企业邮箱格式（first.last、flast 等）
- 近期事件（并购、办公室搬迁、系统升级）
- 员工姓名、职位、部门
阶段二：借口设计
常见借口场景：
IT 帮助台冒充（最有效）： “你好，我是 IT 服务台的 [姓名]。我们本周正在把所有人迁移到新的 VPN 客户端，我看到你的账户还没更新。我需要核实你当前的凭据以确保迁移顺利。你能确认一下用户名和当前密码吗？”
供应商/承包商： “你好，我是 [已知供应商] 的 [姓名]。我们正在为 [产品] 做紧急补丁部署，需要远程访问你的系统。你能帮我通过 TeamViewer 连接一下吗？”
高管助理（权威）： “我是代表 [CFO 姓名] 打电话的 [姓名]。他/她需要为今天即将完成的一笔交易紧急处理一笔电汇。我会把细节邮件发给你，但需要在一小时内完成。”
楼宇/设施： “你好，我是设施管理部的 [姓名]。我们这周末要更新门禁系统。我需要确认你的员工 ID 和当前门禁卡号，以免你的权限被中断。”
借口检查清单：
- 该借口对该组织是否可信？
- 是否制造了适当的紧迫感而不带威胁性？
- 是否与 OSINT 发现一致（真实部门名称、真实系统）？
- 请求信息是否有合理理由？
- 如果目标反驳，是否有后备方案？
- 客户是否批准了这一具体借口？
阶段三：通话执行
通话结构：
- 开场（10 秒）：说明姓名、部门、来电原因
- 建立融洽关系（30 秒）：引用真实内容（近期事件、共同背景）
- 建立权威（20 秒）：引用经理姓名、工单号、紧迫性
- 信息请求（30 秒）：自然地索取目标信息
- 处理异议：若被质疑，冷静地用准备好的回答应对
- 结束（10 秒）：致谢，不留下怀疑
异议应对：
| 异议 | 回应 |
|---|---|
| “我能回头打给你吗？” | “当然，拨打帮助台总机找 [姓名]。但这件事需要在今天下班前完成。” |
| “我需要核实一下” | “完全理解，我很欣赏你的谨慎。你可以向 [经理姓名] 核实。” |
| “有人告诉我绝不能给密码” | “你说得对，通常我们不会问。这是特殊情况，因为 [原因]。我可以让我的经理打给你。” |
| “你的员工 ID 是多少？” | 转移话题：“是 [编造的 ID]。听着，我今天还要打 50 多个人。我们能先把这事办了吗？” |
| “我还是发邮件给 IT 吧” | “可以，但系统迁移今晚就进行。如果到时还没完成……” |
阶段四：数据收集与指标
每次通话需跟踪以下内容：
| 指标 | 说明 |
|---|---|
| 目标姓名 | 被呼叫的员工 |
| 部门 | 目标所在部门 |
| 日期/时间 | 通话时间 |
| 时长 | 通话长度 |
| 所用借口 | 哪个场景 |
| 获取的信息 | 泄露了什么 |
| 是否泄露凭据 | 是/否（及类型） |
| 是否尝试验证 | 目标是否尝试核实来电者 |
| 是否报告安全部门 | 目标是否报告了该通话 |
| 社会工程评分 | 1-5 易感性评级 |
阶段五：报告
成功指标：
| 指标 | 目标值 | 结果 |
|---|---|---|
| 凭据泄露率 | <10% | XX% |
| 敏感信息泄露率 | <20% | XX% |
| 验证率 | >80% | XX% |
| 安全报告率 | >50% | XX% |
伦理与法律考量
- 开展 vishing 测试前务必取得书面授权
- 绝不使用威胁性语言或制造真实恐惧
- 记录通话录音的同意与法律要求
- 保护已泄露的凭据——立即报告给客户
- 若客户批准，在行动结束后向目标进行说明
- 绝不公开指认失败的具体员工
- 遵守所在司法管辖区的电信法律
参考资料
- Verizon DBIR 2025：74% 的泄露涉及人为因素
- MITRE ATT&CK T1598：https://attack.mitre.org/techniques/T1598/
- Social Engineering Penetration Testing by Gavin Watson (Syngress)
- The Art of Deception by Kevin Mitnick (Wiley)
- NIST SP 800-50: Building an Information Technology Security Awareness and Training Program