5.2.4　社交媒体

社交媒体为威胁行为者开辟了另一个狩猎场。要想了解当今人们的大量信息，最简单的方法就是查看他们的社交媒体账户。

黑客发现，社交媒体是挖掘特定目标数据的最佳场所，因为人们很可能会在这样的平台上分享信息。如今特别重要的是与用户工作的公司相关的数据。可以从社交媒体账户获得的其他关键信息包括家庭成员、亲戚、朋友以及住所或通讯录的详细信息。除此之外，攻击者还学会了一种利用社交媒体实施更邪恶的预攻击的新方法。

五角大楼遭遇黑客袭击的事件表明，黑客已经变得多么老练。据说，五角大楼官员点击了一个机器人账户发布的关于度假套餐的帖子。五角大楼官员已经接受过网络安全专家的培训，不会点击或打开通过邮件发送的附件。但此次这位官员点击的是一个链接，据说这导致其电脑被入侵。

网络安全专家将其归类为鱼叉式网络钓鱼威胁。它没有使用电子邮件，而是使用了社交媒体帖子。黑客正在寻找这种不可预测的，有时甚至是不可察觉的预攻击（pre-attack）。据称攻击者通过这次攻击能够获取关于这名官员的大量敏感信息。

黑客利用社交媒体用户的另一种方式是查看他们的账户帖子，以获取可用于密码的信息或用作重置某些账户的秘密问题的答案信息。这些信息包括用户的出生日期、父母的姓氏、在其中长大的街道名称、昵称、学校名称以及其他类型的随机信息。

众所周知，由于懒惰或对面临的威胁缺乏认识，用户常使用弱密码。因此，一些用户可能使用他们的出生日期作为其工作电子邮件密码。工作电子邮件很容易被猜到，因为它们使用个人的官方姓名，并以组织的域名结尾。有了来自社交媒体账户的官方姓名和可行的密码，攻击者就能够规划如何进入网络并执行攻击了。

社交媒体中隐约可见的另一个危险是身份盗窃。创建一个带有他人身份的假账户出奇地容易。所需要的只是访问一些照片和身份被盗受害者的最新详细信息。这都是黑客们的伎俩。他们会追踪有关组织用户及其老板的信息，然后创建带有老板姓名和详细信息的账户。这将允许他们获得助力或向不经意的用户下达命令，即使是通过社交媒体这样的平台也是如此。

自信的黑客甚至可以使用高级员工的身份向IT部门请求网络信息和统计数据。黑客会继续获取有关网络安全的信息，这将使他们能够在不久的将来找到成功侵入网络的方法。

如图5-9所示，社交媒体账户拥有的信息可能比需要共享的信息多得多。

图5-9　Facebook可以成为威胁行为者的信息库