一、社交工程是什麼？

社交工程（Social Engineering）指的是利用人性弱點來取得系統或資料存取權的攻擊手法。
與技術攻擊不同，社交工程不靠漏洞，而是靠心理操控。

常見攻擊手法：

二、為何需要社交工程防禦訓練？

根據 Verizon DBIR 報告（2024）：

• 82% 的資料外洩事件與人為錯誤或社交工程有關；
• 45% 的勒索軟體攻擊源自釣魚郵件；
• 只有約 15% 的使用者能準確辨識惡意信件。

結論：
社交工程不是少數人的問題，而是所有使用者的共同風險。
因此訓練應該是制度化、模擬化、數據化的。

三、防範訓練架構設計（Training Framework）

3.1 三層訓練架構

[Level 1] 資安意識教育（Awareness）
[Level 2] 模擬釣魚演練（Simulation）
[Level 3] 行為分析與回饋（Behavior Feedback）

yaml
複製程式碼

四、Level 1：資安意識教育（Awareness）

內容設計建議：

• 每季一次短講（15 分鐘以內）：主題如「如何辨識假信件」
• 提供「惡意郵件範例集」與「安全用語辨識手冊」
• 強化「慢一步、想一想」的反應習慣

可用素材範例：

五、Level 2：模擬釣魚演練（Simulation）

實務工具推薦：

Gophish 操作概念：

docker run -d -p 3333:3333 -p 8080:80 gophish/gophish
登入管理介面（預設 port 3333）；

建立「電子郵件範本」與「目標清單」；

觀察使用者開信、點擊率；

自動寄送「訓練回饋信」教學正確反應。

教育導向設計原則：
不以懲罰為目的，而是「學習型測試」；

每次演練後應立即提供「安全行為回饋報告」。

六、Level 3：行為分析與回饋（Behavior Feedback）
目標：
追蹤學員（員工或使用者）在演練後的安全行為改善程度。

監測項目：
指標	說明	評估方法
點擊率下降比例	釣魚信點擊率下降幅度	每季比較
回報率提升	主動回報可疑郵件次數	統計郵件數據
反應時間	從開信到回報的平均時間	模擬平台紀錄

可視化儀表板延伸（可結合 Day 22）：
在 Streamlit 或 Grafana 新增「安全行為追蹤」面板；

動態顯示訓練後點擊率與回報率曲線。

七、防範心理學重點（Security Psychology）
避免羞辱式訓練：若員工因誤點連結被公開批評，將產生反效果。

設計正向回饋機制：表揚主動回報者。

以情境為主導：模擬真實但無害的環境，如假銀行信、假公司公告。

週期性再訓練：人類記憶會衰退，建議每 3–6 個月再演練一次。

八、技術輔助與自動化
若結合防詐系統（Day 15–23），可新增以下功能：

Phishing Simulation 模組：自動寄送假信測試反應。

User Risk Scoring：根據使用者行為建立「安全風險分數」。

通知整合：若使用者點擊釣魚信，系統自動通知教育模組派發課程。

範例（偵測點擊行為）：
python
複製程式碼
def handle_click_event(user_email):
    record_click(user_email)
    if get_user_click_count(user_email) > 2:
        assign_training(user_email, "Phishing Awareness Level 1")
九、教育回饋報告範例
員工姓名	點擊率	回報率	近期測試等級	建議行動
王小明	20%	80%	Level 2	進階訓練
陳佳恩	0%	100%	Level 3	表揚通報
林彥廷	70%	10%	Level 1	加強基礎訓練

報告可自動生成並寄送主管與員工本人。

十、後續（Day 26 預告）
Day 26 將進入「勒索軟體攻擊趨勢與案例分析（Ransomware Trends & Cases）」，
探討當代最具破壞性的攻擊型態之一，
從攻擊流程、金流運作、組織防禦策略三個面向全面解析。