根據 CrowdStrike 的最新報告，社交工程仍是現代網路攻擊的核心手法。攻擊者日益轉向語音釣魚，因為這種方式能繞過傳統安全控管，且由於社交工程是在電話中進行，幾乎不會留下鑑識證據。

研究人員表示：「語音釣魚（vishing）已成為一種快速發展、以身分為基礎的初始存取途徑。CrowdStrike OverWatch 偵測到，2026 年上半年的語音釣魚入侵事件，相較於 2025 年下半年增加了一倍。人與人之間的互動，讓語音釣魚成為特別具吸引力的社交工程手法，使攻擊者能夠冒充 IT 人員，誘導使用者授予存取權限。CORDIAL SPIDER 和 SNARKY SPIDER 曾利用語音釣魚攻陷單一登入（SSO）帳戶，並迅速從 SaaS 應用程式竊取資料；其中，SNARKY SPIDER 從接管帳戶到竊取資料，所需時間不到五分鐘。透過入侵身分，這些攻擊者便能迅速存取敏感資料，不必進行橫向移動或提升權限。」

由於對話是即時進行，這類攻擊也更容易讓人感受到緊迫性。

研究人員表示：「與目標使用者直接進行人與人的互動，相較於例如釣魚電子郵件，能以更具說服力的方式實施社交工程。威脅行為者經常冒充 IT 人員，以解決微不足道的技術支援問題為通話藉口，操弄目標使用者授予存取權限。」

研究人員也觀察到，過去六個月內，裝置程式碼釣魚攻擊增加了 15 倍。

CrowdStrike 說明：「裝置程式碼釣魚是一種攻擊技術，攻擊者濫用 OAuth 2.0 裝置授權流程，誘騙受害者在合法的驗證入口網站中輸入由攻擊者控制的裝置程式碼，實際上是將雲端服務與應用程式的存取權杖授予攻擊者。不同於傳統釣魚，這種攻擊能繞過 MFA，因為受害者是以合法方式完成驗證；攻擊者只需劫持驗證後產生的權杖即可。」

KnowBe4 協助您的員工每天做出更明智的安全決策。全球有超過 70,000 家組織信賴 KnowBe4 Platform，以強化自身的安全文化並降低人員風險。

CrowdStrike 的完整報導請見：https://www.crowdstrike.com/en-us/blog/crowdstrike-2026-threat-hunting-report/