Google 社会工程学攻击排查指南

💡 核心摘要：社会工程学内容会诱使用户执行危险操作，例如透露密码、电话号码、信用卡信息，致电假冒技术支持，或下载垃圾软件。它可能来自网站自身页面，也可能来自广告、图片、第三方组件、弹窗、背后弹出式窗口或重定向。Google 检测到后，Chrome 可能显示“您要访问的是诈骗网站”警告。站点所有者应先检查 Search Console 安全问题报告，确认是否存在可疑所有者和示例 URL，再移除欺骗性内容、检查第三方资源，并提交安全审核请求。

一、什么是社会工程学攻击

社会工程学攻击不是单纯的技术漏洞，而是通过欺骗让用户自己执行危险操作。

Google 官方定义中，社会工程学内容会诱使访问者透露机密信息或下载软件。它通常伪装成可信实体，例如浏览器、操作系统、银行、政府机构、支付服务、网站自身或知名品牌。

典型目标包括：

诱导用户输入账号和密码
诱导用户提交电话号码、身份证号或信用卡信息
诱导用户致电假冒技术支持
诱导用户下载垃圾软件或恶意软件
诱导用户相信设备、浏览器或软件已经过期

这类问题一旦被 Google 检测到，可能触发安全浏览警告，直接影响用户访问和搜索点击。

二、钓鱼式攻击的典型特征

钓鱼式攻击通常会模仿可信实体的外观和行为，诱导用户提交个人信息。

常见表现包括：

假冒银行、支付平台、政府服务或邮箱登录页
假冒 Google、浏览器或操作系统登录提示
使用相似域名、相似 Logo 和相似页面布局
要求用户输入密码、验证码、银行卡或身份信息
制造账号异常、付款失败、验证超时等紧迫感

钓鱼页面看起来可能与真实网站非常相似。用户需要检查地址栏、域名和 HTTPS 状态，但站点所有者更应该从源头避免自己的网站托管或传播这类页面。

三、欺骗性内容的典型特征

欺骗性内容不一定直接仿冒登录页。它可能通过看似可信的提示，诱导用户做出只会对可信实体做的行为。

常见形式包括：

声称浏览器需要更新
声称设备感染病毒
声称系统存在严重安全风险
声称必须安装播放器或组件才能继续
声称需要致电技术支持解决问题
把广告或弹窗伪装成系统提示
把下载按钮伪装成页面核心操作

如果页面试图让用户基于错误理解下载软件、联系支持或提供敏感信息，就可能属于社会工程学风险。

四、标识不明的第三方服务也可能违规

Google 官方特别提到，第三方代表第一方运营网站或服务时，如果没有清楚说明双方关系，可能被视为社会工程学行为。

例如，慈善机构官网把捐赠流程交给第三方平台处理。用户进入捐赠页面后，如果页面没有明确说明该第三方平台代表慈善机构处理募捐，用户可能无法判断当前页面由谁运营。

这类问题的核心不是第三方服务本身不合法，而是用户无法清楚知道：

当前页面属于哪个网站
谁在运营当前服务
第三方和第一方是什么关系
用户提交的信息会交给谁

任何收集账号、付款、捐赠、身份信息或敏感资料的第三方页面，都要把关系说清楚。

五、判断页面是否从事社会工程学行为

Google 官方给出两个核心判断条件。

如果网页符合任一情况，就可能被视为从事社会工程学行为：

效仿可信实体的行为或外观
诱使用户做出只会对可信实体做出的行为

这两个条件覆盖了大多数风险。页面是否“真的骗到了用户”不是唯一标准，只要它通过伪装和诱导让用户产生错误信任，就可能构成风险。

因此，安全审核时不要只看页面技术实现，还要看页面视觉、文案、按钮、弹窗、广告和跳转路径是否可能误导用户。

六、内嵌内容中的社会工程学攻击

社会工程学内容可能出现在本身无害的网站中，尤其是广告或第三方嵌入内容。

Google 官方明确说明，内嵌式社会工程学内容违反托管页面的政策。

常见来源包括：

广告网络轮播的欺骗性广告
弹出式窗口
背后弹出式窗口
第三方脚本
嵌入图片或 iframe
外部下载组件
可被劫持的重定向

这意味着，即使你没有主动制作欺骗性内容，只要你的页面向用户展示了欺骗性广告或把用户重定向到社会工程学页面，你的网站仍可能被标记。

七、“我没有参与”不是免责理由

很多站点所有者会认为：欺骗性内容来自广告网络或黑客，不是自己发布的，所以不应该影响网站。

但从用户角度看，风险发生在你的网站访问过程中。用户并不会区分欺骗性弹窗来自你的代码、广告商还是被黑脚本。

Google 官方也明确提到，黑客可能通过嵌入资源，例如图片、第三方组件或广告，植入欺骗性社会工程学内容。

因此，站点所有者需要对页面展示给用户的完整体验负责，包括第三方资源、广告和重定向链路。

八、被黑网站如何传播社会工程学内容

黑客可能窃取正常网站控制权，用它托管或传播社会工程学内容。

常见方式包括：

新增假冒登录页
新增信用卡或身份信息收集页
修改现有页面加入欺骗性脚本
通过重定向把用户带到钓鱼站
在移动端或特定地区才显示欺骗内容
根据访问者来源隐藏攻击，避免被站长看到

这种按条件显示的攻击尤其难排查。攻击者可能识别网站所有者所在网络，并暂停攻击行为，让你在办公室访问时看不到问题。

所以排查时要使用不同网络、设备、地区、用户代理和 Search Console 示例 URL。

九、欺骗性广告的常见样式

Google 官方示例中，欺骗性广告经常伪装成页面本身的一部分，而不像广告。

常见样式包括：

伪装成播放器更新
伪装成必需组件安装器
伪装成页面播放按钮
伪装成系统扫描结果
伪装成浏览器更新提示
伪装成安全软件警告

如果网站有广告位，要特别检查移动端和桌面端广告差异。某些广告只在移动设备、特定国家、特定网络或刷新多次后出现。

广告合规不能只靠首次加载检查，需要多次刷新和多环境抽查。

十、第三方服务必须清楚标识身份

Google 官方给出第三方服务指南：第三方网站应在每个页面明确包含第三方品牌，确保用户知道运营者是谁。

如果页面同时使用第一方品牌信息，也应明确说明第一方和第三方之间的关系，并提供详情链接。

例如可以用这样的表达：

此服务由 Example.com 代表 Example.charities.com 进行托管。了解详情。

更通用的原则是：用户单独打开任何一个页面，也应该能知道该页面属于哪个网站，以及第一方和第三方之间的关系。

这对支付、捐赠、认证、预约、客服、登录、文件上传和个人信息收集页面尤其重要。

十一、优先使用行业标准第三方服务

Google 官方建议，如果需要第三方为网站提供基本支持服务，最佳实践是聘用符合行业标准的第三方。

例如身份验证场景中，使用 OAuth 这类成熟机制通常比自建不透明的身份验证流程更稳妥。

选择第三方服务时要评估：

是否有清晰品牌和联系方式
是否有安全和隐私文档
是否支持标准认证或授权协议
是否能清楚展示第一方和第三方关系
是否能提供日志、审计和告警
是否能在出问题时快速下线或回滚

第三方服务越接近用户身份、支付和敏感信息，越需要严格审查。

十二、发现警告后的第一步：检查 Search Console

如果网站被标记为含有社会工程学内容，第一步是在 Search Console 中检查。

要做两件事：

验证你对网站的所有权
确认没有新增任何可疑所有者

可疑所有者非常重要。如果攻击者把自己添加成 Search Console 所有者，他们可能持续观察你的修复动作，甚至影响你对问题的判断。

接着查看安全问题报告，确认网站是否被列为包含欺骗性内容，并查看报告中的示例 URL。

十三、访问示例 URL 时要换环境

Google 官方提醒，如果安全问题报告列出示例 URL，访问其中部分 URL 时，不要使用网站服务器所在网络内的计算机。

原因是攻击者可能会识别网站所有者或服务器相关网络，并暂停攻击行为。

实际排查时可以：

使用非公司网络
使用移动网络
使用不同设备
使用无登录状态浏览器
分别检查移动端和桌面端
多次刷新页面
记录重定向链和截图

如果问题只在某些环境出现，要保留证据，便于定位广告网络、脚本、重定向或条件注入来源。

十四、移除欺骗性内容

确认问题后，应移除所有社会工程学内容，而不是只处理报告中的示例 URL。

需要检查：

页面正文和弹窗
登录表单和支付表单
下载按钮和下载页面
广告素材和广告位
第三方脚本和 iframe
重定向规则
移动端专属页面
新增陌生目录和文件

如果是被黑导致，要修复根因，例如账号泄露、插件漏洞、上传漏洞、开放重定向、XSS、第三方脚本被替换或服务器权限问题。

十五、检查所有第三方资源

Google 官方要求检查网页中包含的第三方资源，确保没有欺骗性广告、图片或其他嵌入式内容。

重点包括：

广告网络和广告标签
支付和捐赠服务
身份验证服务
客服聊天组件
统计和营销脚本
外部 iframe
下载分发服务
弹窗和通知服务

广告网络会轮播广告，因此需要多次刷新页面。移动设备和桌面设备可能展示不同广告，因此两个环境都要检查。

如果第三方供应商不能提供清晰来源、审核机制和快速下线能力，就需要重新评估是否继续使用。

十六、使用网址检查工具看不同视图

Google 官方提到，可以使用网址检查工具在移动版视图和桌面版视图中查看网站。

这对社会工程学排查很有价值，因为欺骗性内容可能只在某些设备或渲染环境中出现。

建议结合：

Search Console 网址检查工具
浏览器开发者工具
移动设备实机检查
不同国家或地区网络
广告平台预览工具
服务器和 CDN 日志
重定向链分析

目标是还原用户实际看到的内容，而不是只看源代码或桌面端首次加载结果。

十七、提交安全审核请求

从网站中移除所有社会工程学内容后，可以在 Search Console 安全问题报告中提交安全审核请求。

提交前要确认：

所有示例 URL 已修复
同类页面已全面排查
第三方资源已检查或移除
可疑所有者已删除
被黑入口已修复
移动端和桌面端都不再展示欺骗内容
广告轮播多次检查没有复现

审核请求应说明问题来源、修复动作和防复发措施。审核过程可能需要几天时间。

如果你确信某个页面被错误分类，也可以按官方渠道报告问题，但前提是已经认真排查过页面和第三方资源。

十八、建立社会工程学风险监控流程

社会工程学风险适合纳入固定巡检。

每月检查 Search Console 安全问题报告
确认 Search Console 所有者和权限没有异常
用 site: 搜索登录、验证、下载、更新等高风险词
定期抽查广告位，覆盖移动端和桌面端
审查第三方服务页面是否清楚标识运营关系
监控开放重定向、弹窗、背后弹出和异常跳转
检查下载页、支付页、捐赠页、认证页和客服页
建立第三方脚本和广告供应商清单
出现警告后先保留证据，再清理内容和修复根因
修复后提交安全审核请求并持续观察

这套流程能把社会工程学从“发生后被动救火”转化为“持续监控用户是否被误导”。

📌 核心收获

• ✓ 社会工程学攻击诱导用户执行危险操作：泄露敏感信息、致电假冒支持或下载有害软件都是典型风险。
• ✓ 钓鱼和欺骗性内容都可能触发安全警告：伪装成可信实体或诱导用户信任是核心判断条件。
• ✓ 第三方服务标识不清也可能违规：用户必须知道当前页面由谁运营，以及第一方和第三方是什么关系。
• ✓ 内嵌广告和第三方资源也会影响托管页面：不是自己写的欺骗内容，也可能让网站被标记。
• ✓ 排查要覆盖移动端、桌面端和多次刷新：广告和欺骗内容可能按设备、地区或访问者条件展示。
• ✓ Search Console 是修复入口：检查安全问题报告、可疑所有者、示例 URL，并提交审核请求。
• ✓ 修复必须处理根因：仅删除单个示例 URL 不够，还要检查广告、脚本、重定向、第三方服务和被黑入口。

🚀 立刻行动

1. 打开 Search Console 安全问题报告，检查是否有欺骗性内容提示。
2. 审查 Search Console 所有者列表，确认没有可疑所有者。
3. 检查登录、支付、捐赠、下载、客服和认证页面是否存在误导性文案或界面。
4. 检查第三方服务页面是否清楚展示第三方品牌和与第一方的关系。
5. 多次刷新广告位，并分别检查移动端和桌面端是否出现欺骗性广告。
6. 排查弹窗、背后弹出式窗口、开放重定向和第三方脚本。
7. 如果发现问题，先保留样本 URL、截图、重定向链和日志，再清理内容。
8. 修复所有同类问题后，在 Search Console 中提交安全审核请求。

来源：社会工程学（钓鱼式攻击和欺骗性网站） | 本文为知识提炼与重新表达