评估恶意已连接应用的真实业务影响

测试团队将中奖码藏入饼干房「幸运饼干」，以 50 美元亚马逊礼品卡为饵，诱导员工访问仿冒登录页并通过 Evilginx 窃取会话，证明二维码/纸质链接等非传统钓鱼媒介可绕过邮件安全培训。

NetSPI 开源 ForceHound：以 Python 采集器将 Salesforce 的 Profile、权限集与共享规则构建为 BloodHound CE 身份图，使 CRM 也能像 AD 一样进行攻击路径审计；UNC6040 恶意 Connected App 攻击更凸显其必要性。

社会工程测试实战故事合集：测试人员利用客户子公司暴露的开放 SMTP 中继，伪装成企业官方域名发送钓鱼邮件；结合语音钓鱼（vishing）案例，文章分享了提升员工识别能力与组织防御机制的实用建议。

社会工程仍是攻击者入侵企业 IT 环境的首要手段。文章围绕钓鱼/语音钓鱼测试与物理渗透测试各列出关键问题，帮助安全团队在启动测试前明确防护对象、敏感区域与现有控制，让测试价值最大化。

NetSPI 推出升级版社会工程学测试服务：采用更贴近真实威胁行为者的钓鱼与语音钓鱼（vishing）攻击手法与新工具，帮助企业获得人因防线真实性评估，并提升测试速度与效率。

值网络安全宣传月 20 周年之际，NetSPI 分享防御社会工程学攻击的四大策略，强调技术与人员教育并重，并发布钓鱼防范主题的 Monster Mash 恶搞视频助力安全意识传播。