Příklady sociálního inženýrství: 15 útoků a jak je zastavit

Sociální inženýrství je, slovy americké Agentury pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA), útok, při kterém „Útočník využívá lidskou interakci (sociální dovednosti) k získání nebo ohrožení informací o organizaci nebo jejích počítačových systémech“Funguje to, protože cílí na lidi, ne na software. Zpráva společnosti Verizon o vyšetřování úniků dat z roku 2026 zjistila, že lidský prvek byl přítomen v 62 % narušení, což je nárůst oproti 60 % v předchozím roce.

Zde je 15 příkladů sociálního inženýrství ve 3 sadách po 5. Každý z nich obsahuje varovný signál, na který je třeba hledat informace, a kroky, které je třeba podniknout. Sada 1 se zabývá phishingovými útoky, sada 2 se zabývá záminkami a vydáváním se za jinou osobu a sada 3 se zabývá fyzickými útoky a návnadami. Každá sada končí Náš výběr, příklad, který bychom trénovali jako první, s jednořádkovým zdůvodněním.

Všechny níže uvedené příklady firem, lidí a zpráv jsou vymyšlené.

Sada 1: Phishingová rodina

1. Phishing e-mailů. Zpráva, která vypadá, jako by pocházela od banky, dodavatele nebo vašeho vlastního IT týmu, vás vyzývá ke kliknutí na odkaz a přihlášení. CISA uvádí, že phishingové útoky používají e-mail nebo škodlivé webové stránky k… vyžadovat osobní údaje vydáváním se za důvěryhodnou organizaci. Červená vlajka: adresa odesílatele napodobující skutečnou firmu, obecný pozdrav jako „Vážený zákazníku“ nebo odkaz, jehož adresa neodpovídá textu, když na něj najedete myší. Stop: Neklikejte. Přejděte na web zadáním adresy sami nebo nahlaste zprávu.
2. Spear phishing. Stejný trik, zaměřený na jednu osobu. Odesílatel použije vaše jméno, jméno vašeho manažera a projekt, na kterém skutečně pracujete, což lze poskládat z veřejně dostupných informací. Červená vlajka: požadavek, který je podivně specifický, ale zároveň netypický, například „zašlete mi ještě dnes smlouvu s Atlasem“. Stop: zeptejte se odesílatele na jiném kanálu, například zavolejte na číslo, které již máte.
3. smiling. Phishing prostřednictvím textových zpráv. CISA popisuje smishing jako sociální inženýrství, které zneužívá SMS zprávy s odkazy, čísly nebo adresami, které po klepnutí otevřou prohlížeč nebo vytočí hovor. Červená vlajka: textovou zprávu s krátkým odkazem o „blokování zásilky“ nebo „uzamčení účtu“. Stop: smažte ji a otevřete si skutečnou aplikaci nebo web sami.
4. Vishing. Phishing hlasem. CISA uvádí mizející používá hlasové hovory a toto ID volajícího může být zfalšované, takže hovor, který zobrazuje známé jméno, nic nedokazuje. Červená vlajka: volající, který vyvíjí nátlak a žádá o kód nebo heslo. Stop: zavěste a zavolejte zpět na číslo uvedené na výpisu nebo na webových stránkách společnosti.
5. Phishing s QR kódy. QR kód skrývá adresu, na kterou vede. FBI varovala před... nevyžádané balíky obsahující QR kód který po příjemci žádá o osobní a finanční informace nebo instaluje software k krádeži dat. Červená vlajka: kód, který jste nečekali, bez informací o odesílateli. Stop: Neskenujte QR kódy z neznámých zdrojů.

Náš výběr: příklad 4, Vishing. Společnost Verizon zjistila, že v phishingových simulacích byla střední míra prokliků v mobilně orientované vektory, jako jsou hlasové a textové zprávy, byly o 40 % vyšší než prostřednictvím e-mailu. Lidé se naučili nedůvěřovat e-mailu rychleji než telefonnímu hovoru.

Sada 2: Záminky a vydávání se za jinou osobu

Verizon definuje záminku jako útočnou taktiku, při které Důvěryhodný vztah se buduje pomocí vymyšlených scénářů obelstít uživatele a přimět ho k akci, která ohrozí organizaci, často hlasem, ale také e-mailem nebo textovou zprávou. V roce 2026 dosáhl 6 % všech narušení bezpečnosti oproti 16 % u phishingu.

6. Podvod ze strany generálního ředitele a kompromitace firemních e-mailů. Centrum pro stížnosti na internetovou kriminalitu (IC3) FBI definuje kompromitace firemních e-mailů (BEC) jako podvod, který cílí na firmy a funguje prostřednictvím napadených e-mailových účtů a další komunikace, aby způsobil neoprávněné převody finančních prostředků. V roce 2025 IC3 zaznamenala 24 768 stížností na BEC a nahlásila ztráty ve výši přibližně 3.05 miliardy dolarů. Červená vlajka: naléhavá žádost od vedoucího pracovníka o zaplacení nebo zakoupení dárkových poukazů s poznámkou „nikomu to neříkejte“. Stop: potvrďte jakoukoli žádost o platbu telefonicky nebo osobně.
7. Falešná IT podpora. Někdo tvrdí, že je z helpdesku a potřebuje vaše heslo nebo vzdálený přístup „k vyřešení problému“. IC3 obdržela 47 794 stížností na technickou podporu v roce 2025, s hlášenými ztrátami přesahujícími 2.1 miliardy dolarů. Červená vlajka: IT oddělení vás nejprve kontaktuje a požádá o heslo nebo jednorázový kód. Stop: Skutečné IT týmy vaše heslo nepotřebují. Zavěste a odešlete požadavek obvyklou cestou.
8. Změna faktury dodavatele. E-mail, zřejmě od běžného dodavatele, uvádí, že se jeho bankovní údaje změnily. Definice BEC od IC3 zahrnuje podvody zaměřené na firmy spolupracující s dodavateli a pravidelně provádějící bankovní převody. Červená vlajka: nové bankovní údaje s termínem splatnosti. Stop: Než cokoli změníte, zavolejte dodavateli na číslo, které má již v evidenci.
9. Falešný náborář. „Náborář“ osloví zaměstnance s pozicí, která vypadá jako povýšení, a poté ho požádá o osobní dokumenty nebo o testovací úkol, který je třeba stáhnout. IC3 obdržel 24 688 stížností na podvody v oblasti zaměstnání v roce 2025. Červená vlajka: nabídku, o kterou jste se neucházeli, s rychlými kroky. Stop: Ověřte si náboráře prostřednictvím kariérní stránky dané společnosti a nikdy si neinstalujte software pro pohovor.
10. Hluboký falešný hlas. Naklonovaný hlas, který zní, jako by váš ředitel žádal o urgentní platbu. IC3 říká Klonování hlasu lze použít k vyžádání bankovní platby a že podniky v roce 2025 vykázaly ztráty přesahující 30 milionů dolarů v důsledku podvodů BEC zahrnujících umělou inteligenci. Červená vlajka: hlasová zpráva nebo hovor, který vás donutí jednat dříve, než si to můžete ověřit. Stop: dohodněte se na kódovém slově nebo pravidle pro zpětné volání pro platby, takže přesvědčivý hlas nestačí.

Náš výběr: příklad 6, podvod generálního ředitele a BEC. Je to zde nejnákladnější příklad, v údajích IC3 z roku 2025 dokonce předčil podvody s technickou podporou, a zastavení je levné: jeden telefonát na známé číslo, než se peníze přesunou.

Sada 3: Fyzické útoky a návnady

Tyto útoky nepotřebují klávesnici. Jsou důležité, protože cizinec v budově se může dostat k tomu, co chrání firewall.

11. Tailgating. Někdo vás následuje zabezpečenými dveřmi, „protože má plné ruce práce“. Červená vlajka: člověk bez odznaku, který je uvolněný a přátelský. Stop: Zdvořile je požádejte, aby si přinesli průkazku, nebo je doprovodte na recepci.
12. Návnady pomocí USB disků. USB flash disk s označením „Platový přehled 2027“ se nechává na parkovišti nebo ve vstupní hale. Červená vlajka: jakýkoli vyměnitelný disk, který jste si nekoupili. Stop: Nikdy nezapojujte nalezené zařízení. Předejte ho IT oddělení, které ho může bezpečně zkontrolovat.
13. Surfování přes rameno. Někdo vám čte obrazovku nebo vás sleduje, jak zadáváte PIN ve vlaku nebo u přeplněného stolu. Červená vlajka: osoba stojící příliš blízko nebo namířená telefonem na vaši obrazovku. Stop: Používejte filtr soukromí, zamkněte obrazovku, když odejdete, a seďte zády ke zdi.
14. Potápění v popelnici. Vytištěné e-maily, organizační schémata a poznámky ze schůzek vhozené do běžného koše poskytnou útočníkovi jména, telefonní čísla a názvy projektů pro příští hovor. Červená vlajka: papír se jmény nebo čísly v otevřeném koši. Stop: Používejte skartovačku nebo uzamykatelný koš a dodržujte zvyk uklízet stůl.
15. Falešná dodávka. Kurýr ve značkové bundě se ptá, zda ho pustí dál než recepci, nebo zda mu může nechat balík v serverovně. Červená vlajka: doručení, které si nikdo neobjednal, nebo takové, které nelze doručit na recepci. Stop: Vezměte si to na recepci a neočekávané balíky zkontrolujte u osoby uvedené na štítku.

Náš výběr: příklad 11, jízda na zadním sedadle. Nevyžaduje to žádné dovednosti, nic to nestojí a díky dobrým mravům to funguje. Dejte zaměstnancům zdvořilý scénář, aby se vyzvání někoho k řešení situace cítilo normální a ne hrubé.

Jak zastavit všech 15

Těchto 15 příkladů má jednu věc společnou: nutí vás jednat rychle a samostatně. Tři návyky to narušují.

1. Ověřte přes druhý kanál. Pokud se požadavek týká peněz, hesla, kódu nebo přístupu, potvrďte jej jiným způsobem s použitím kontaktních údajů, které již máte. CISA doporučuje, abyste si v případě nejistoty, zda je požadavek skutečný, ověřte si to kontaktováním přímo společnosti, a nikoli s kontaktními údaji uvedenými ve zprávě.
2. Nahlásit to. CISA doporučuje v případě podezření na phishing nahlásit zprávu a poté to smažte. Udělejte si zvyk hlásit na jedno kliknutí a bez obviňování, aby první osoba, která si něčeho všimne, varovala všechny ostatní.
3. Zpomal. Seznamy CISA naléhavý nebo emocionálně atraktivní jazyk mezi běžné známky phishingu. CISA také poznamenává, že dokonalá gramatika již není důkazem bezpečnosti, protože některé e-maily mají nyní díky umělé inteligenci dokonalý pravopis. Když zpráva vyžaduje rychlost, je to signál k pozastavení.

Trénink je způsob, jak si návyky udržovat. Vzhledem k tomu, že lidský prvek je přítomen v 62 % případů porušení, Zpráva společnosti Verizon za rok 2026, tým, který si procvičil rozpoznávání těchto 15 příkladů, je skutečnou součástí vaší obhajoby. Širší program naleznete v našem průvodci školení o kybernetické bezpečnosti.

Způsoby, jak uspořádat seanci sociálního inženýrství s AhaSlides

Spusťte 15 příkladů živě, v místnosti nebo během videohovoru, s odpověďmi na obrazovce, jakmile lidé budou odpovídat.

1. Vyberte odpověď: „Skutečné, nebo podvodné?“ Ukažte ke každému příkladu vymyšlenou zprávu a zeptejte se, zda je pravdivá. Odhalte varovný signál a diskutujte.
2. Slovní mrak: „Podvod, který se vám stane nejčastěji“. Největší slovo ukazuje, co si procvičit jako první.
3. Hodnotící stupnice: „Jak si jste jisti, že dokážete odhalit padělek?“ Požádejte o hodnocení od 1 do 5 před a po sezení a porovnejte průměry.
4. Otevřený: „Dostal(a) jsem podezřelou zprávu“. Shromážděte skutečné příklady, vynechte jména a ten nejlepší použijte jako scénář pro další kolo.

Šablona kurzu Phishing a sociální inženýrství vám nabízí připravené snímky k úpravě a šablona pro povědomí o hrozbách z vnitřních zdrojů je dobrým návazným materiálem pro celý tým.

Často kladené otázky

Jaké jsou příklady sociálního inženýrství?

Hlavními příčinami jsou phishing, záminkové textové zprávy, návnady a falešné doručování. Tento příspěvek uvádí 15 případů, od phishingu a vishingu s využitím e-mailů až po falešnou IT podporu, návnady přes USB a falešné doručení.

Jaký je nejběžnější typ sociálního inženýrství?

Phishing. Zpráva společnosti Verizon z roku 2026 uvádí, že phishing tvoří 16 % všech narušení bezpečnosti, oproti 6 % u textových zpráv s výmluvami, a společnost IC3 v roce 2025 obdržela 191 561 stížností na phishing a spoofing.

Jak se vyhnete sociálnímu inženýrství?

Ověřujte požadavky prostřednictvím druhého kanálu a podezřelé hlaste. Zařaďte krátká, pravidelná školení, protože útoky se mění rychleji než jednorázový kurz.

Co je to předstírání?

Vymyšlený příběh používaný k získání informací nebo přístupu. Útočník si buduje důvěru věrohodným scénářem, jako je například hovor na linku podpory, a poté požádá o heslo, platbu nebo podržení dveří.

Kde začít

Vyberte si jednu sadu a proveďte ji na příští týmové schůzce. Pokud máte čas jen na jeden příklad, udělejte ho zajímavým a pak se všech zeptejte, co by udělali při dalším nečekaném hovoru.