Eksempler på social engineering: 15 angreb og hvordan man stopper dem

Social engineering er, med det amerikanske agentur for cybersikkerhed og infrastruktursikkerhed (CISA)s ord, et angreb, hvor "en angriber bruger menneskelig interaktion (sociale færdigheder) til at indhente eller kompromittere oplysninger om en organisation eller dens computersystemer"Det virker, fordi det er rettet mod mennesker, ikke software. Verizons rapport om undersøgelser af databrud fra 2026 fandt ud af, at Den menneskelige faktor var til stede i 62% af bruddene, en stigning fra 60 % året før.

Her er 15 eksempler på social engineering i 3 sæt af 5. Hvert sæt har et rødt flag, man skal være opmærksom på, og en stophandling, man skal foretage. Sæt 1 dækker phishing-familien, sæt 2 dækker påskud og efterligning, og sæt 3 dækker fysiske angreb og lokkemad. Hvert sæt slutter med et Vores valg, det eksempel vi ville træne først, med en begrundelse på én linje.

Alle eksemplerne på virksomheder, personer og beskeder nedenfor er opdigtede.

Sæt 1: Phishing-familien

1. E-mail-phishing. En besked, der ser ud som om den kommer fra en bank, en leverandør eller dit eget IT-team, beder dig om at klikke på et link og logge ind. CISA siger, at phishing-angreb bruger e-mail eller ondsindede websteder til at indhente personlige oplysninger ved at udgive sig for at være en troværdig organisation. Rødt flag: en afsenderadresse, der imiterer en rigtig virksomhed, en generisk hilsen som f.eks. "Kære kunde", eller et link, hvis adresse ikke matcher teksten, når du holder musen over det. Stop: Klik ikke. Gå til webstedet ved at skrive adressen selv, eller anmeld beskeden.
2. Spear phishing. Det samme trick, rettet mod én person. Afsenderen bruger dit navn, din chefs navn og et projekt, du rent faktisk arbejder på, som kan stykkes sammen ud fra offentlige oplysninger. Rødt flag: en anmodning, der er mærkeligt specifik, men alligevel ukarakteristisk, såsom "send mig Atlas-kontrakten i dag". Stop: spørge afsenderen på en anden kanal, f.eks. et opkald til et nummer, du allerede har.
3. Smishing. Phishing via sms. CISA beskriver smishing som social manipulation, der udnytter SMS-beskeder med links, numre eller adresser, der åbner en browser eller ringer op, når de trykkes på dem. Rødt flag: en tekst med "pakke på hold" eller "konto låst" med et kort link. Stop: slet den og åbn den rigtige app eller hjemmeside selv.
4. Vishing. Phishing via stemmen. CISA siger vishing bruger taleopkald, og at opkalds-ID kan forfalskes, så et opkald, der viser et velkendt navn, beviser ingenting. Rødt flag: en opkalder, der skaber pres og beder om en kode eller adgangskode. Stop: læg på og ring tilbage på det nummer, der er trykt på en kontoudtog eller virksomhedens hjemmeside.
5. QR-kode phishing. En QR-kode skjuler adressen, den fører til. FBI har advaret om uopfordrede pakker, der indeholder en QR-kode der beder modtageren om personlige og økonomiske oplysninger eller installerer software, der stjæler data. Rødt flag: en kode, du ikke forventede, uden afsenderoplysninger. Stop: Scan ikke QR-koder fra ukendt oprindelse.

Vores valg: eksempel 4, vishing. Verizon fandt ud af, at i phishing-simuleringer var den gennemsnitlige klikrate i mobilcentrerede vektorer såsom tale- og tekstbeskeder var 40 % højere end via e-mail. Folk har lært at have mistillid til e-mail hurtigere end de har lært at have mistillid til et telefonopkald.

Sæt 2: Påskud og efterligning

Verizon definerer pretexting som en angribertaktik, hvor Et tillidsfuldt forhold opbygges gennem opdigtede scenarier at narre brugeren til en handling, der kompromitterer organisationen, ofte via tale, men også via e-mail eller sms. Det nåede 6% af alle brud i 2026-rapporten, mod 16% for phishing.

6. Bedrageri med administrerende direktør og kompromittering af forretnings-e-mails. FBI's klagecenter for internetkriminalitet (IC3) definerer Business e-mail kompromittering (BEC) som et svindelnummer, der er rettet mod virksomheder og arbejder gennem kompromitterede e-mailkonti og anden kommunikation for at forårsage uautoriserede overførsler af midler. I 2025 registrerede IC3 24,768 BEC-klager og rapporterede tab på omkring 3.05 milliarder dollars. Rødt flag: en presserende anmodning fra en ledende medarbejder om at betale eller købe gavekort, med en "sig det ikke til nogen". Stop: bekræfte enhver betalingsanmodning telefonisk eller personligt.
7. Falsk IT-support. Nogen påstår at være fra helpdesk og har brug for din adgangskode eller fjernadgang "for at løse et problem". IC3 modtog 47,794 klager over teknisk support i 2025, med rapporterede tab på over 2.1 milliarder dollars. Rødt flag: IT kontakter dig først og beder om en adgangskode eller en engangskode. Stop: Ægte IT-teams behøver ikke din adgangskode. Læg på og opret en sag via den sædvanlige rute.
8. Ændring af leverandørfaktura. En e-mail, tilsyneladende fra en fast leverandør, siger, at bankoplysningerne er ændret. IC3's BEC-definition dækker svindel, der er rettet mod virksomheder, der arbejder med leverandører og regelmæssigt foretager bankoverførsler. Rødt flag: nye bankoplysninger med en betalingsfrist. Stop: Ring til leverandøren på et nummer, der allerede er registreret, før du ændrer noget.
9. Falsk rekrutterer. En "rekrutterer" henvender sig til en medarbejder med en rolle, der ligner en forfremmelse, og beder derefter om personlige dokumenter eller en testopgave, der skal downloades. IC3 modtaget 24,688 klager over ansættelsessvindel i 2025. Rødt flag: et tilbud, du ikke har ansøgt om, med hurtige trin. Stop: Tjek rekruttereren via virksomhedens egen karriereside, og installer aldrig software til en jobsamtale.
10. Deepfake-stemme. En klonet stemme, der lyder som om din direktør beder om en hurtig betaling. IC3 siger Stemmekloning kan bruges til at anmode om bankbetaling og at virksomheder rapporterede tab på over 30 millioner dollars i 2025 på grund af BEC-svindel, der involverede AI. Rødt flag: en talebesked eller et opkald, der får dig til at handle, før du kan tjekke. Stop: blive enige om et kodeord eller en tilbagekaldsregel for betalinger, så en overbevisende stemme ikke er nok.

Vores valg: eksempel 6, CEO-svindel og BEC. Det er det dyreste eksempel her, endda foran teknisk support-svindel i IC3's 2025-tal, og stop-handlingen er billig: ét telefonopkald til et kendt nummer, før pengene bevæger sig.

Sæt 3: Fysiske angreb og lokkemad

Disse angreb kræver ikke et tastatur. De er vigtige, fordi en fremmed i bygningen kan nå det, som en firewall beskytter.

11. Tailgating. Nogen følger efter dig gennem en sikker dør, "fordi de har hænderne fulde". Rødt flag: en person uden navneskilt, der er afslappet og venlig. Stop: Bed dem høfligt om at bruge deres eget navneskilt, eller gå med dem til receptionen.
12. Lokkemad med USB-drev. En USB-stick mærket "Lønvurdering 2027" efterlades på parkeringspladsen eller i lobbyen. Rødt flag: ethvert flytbart drev, du ikke har købt. Stop: Tilslut aldrig en funden enhed. Aflever den til IT-afdelingen, som kan inspicere den sikkert.
13. Skuldersurfing. Nogen læser din skærm eller ser dig skrive en pinkode i et tog eller ved en hot desk. Rødt flag: en person, der står for tæt på eller holder en telefon vinklet mod din skærm. Stop: Brug et privatlivsfilter, lås din skærm, når du træder væk, og sid med ryggen mod væggen.
14. Dykning i containere. Trykte e-mails, organisationsdiagrammer og mødenotater smidt i en almindelig skraldespand giver en angriber navne, telefonnumre og projekttitler til det næste opkald. Rødt flag: papir med navne eller numre i en åben kasse. Stop: Brug en makulator eller en aflåst beholder, og hold en vane med at have et ryddet skrivebord.
15. Falsk levering. En kurér i en mærkejakke beder om at blive lukket ind forbi receptionen eller om at efterlade en pakke i serverrummet. Rødt flag: en levering som ingen har bestilt, eller en som ikke kan tages til receptionen. Stop: Tag den med i receptionen, og tjek uventede pakker med den person, der er navngivet på etiketten.

Vores valg: eksempel 11, tailgating. Det kræver ingen færdigheder og koster ingenting, og det er gode manerer, der får det til at fungere. Giv personalet et høfligt manuskript, så det føles normalt og ikke uhøfligt at udfordre nogen.

Sådan stopper du alle 15

De 15 eksempler har én ting til fælles: de presser dig til at handle hurtigt og til at handle alene. Tre vaner bryder det.

1. Bekræft via en anden kanal. Hvis en anmodning involverer penge, en adgangskode, en kode eller adgang, skal du bekræfte den på en anden måde ved hjælp af de kontaktoplysninger, du allerede har. CISA anbefaler, at hvis du er usikker på, om en anmodning er reel, bekræft det ved at kontakte virksomheden direkte, og ikke med kontaktoplysningerne angivet i beskeden.
2. Anmeld det. CISAs råd ved mistanke om phishing er at anmeld beskeden og derefter slette det. Gør det til en vane at rapportere med ét klik og uden at bebrejde nogen, så den første person, der opdager noget, advarer alle andre.
3. Sænk farten. CISA-lister presserende eller følelsesmæssigt appellerende sprog blandt de almindelige tegn på phishing. CISA bemærker også, at perfekt grammatik ikke længere er et bevis på sikkerhed, da nogle e-mails nu har perfekt stavning takket være AI. Når en besked kræver hastighed, er det signalet til at sætte den på pause.

Træning er måden, hvorpå vaner holder. Med den menneskelige faktor til stede i 62% af brud, pr. Verizons rapport for 2026, et hold, der har øvet sig i at finde disse 15 eksempler, er en reel del af dit forsvar. For et bredere program, se vores guide til cybersikkerhedsbevidsthedstræning.

Måder at afholde en social engineering-session med AhaSlides

Kør de 15 eksempler live, i et rum eller på et videoopkald, med svarene på skærmen, mens folk svarer.

1. Vælg svar: "Ægte eller phishing?" Vis en opdigtet besked for hvert eksempel, og spørg, om den er ægte. Afslør det røde flag, og diskuter.
2. Ordsky: "Det svindelnummer, du får mest". Det største ord viser, hvad man skal øve sig på først.
3. Vurderingsskala: "Hvor sikker er du på at spotte en forfalskning?" Bed om en vurdering fra 1 til 5 før og efter sessionen, og sammenlign gennemsnittene.
4. Åben: "En mistænkelig besked jeg har modtaget". Indsaml virkelige eksempler, hvor navnene er fjernet, og brug det bedste som scenarie for næste runde.

Skabelonen til phishing- og social engineering-kurset giver dig færdige slides, du kan tilpasse, og skabelonen til Insider-trusselsbevidsthed er en god opfølgning for hele teamet.

Ofte stillede spørgsmål

Hvad er eksempler på social manipulation?

Phishing, pretexting, baiting og tailgating er de vigtigste. Dette indlæg nævner 15, fra e-mail phishing og vishing til falsk IT-support, USB-baiting og falske leverancer.

Hvad er den mest almindelige type social engineering?

Phishing. Verizons rapport fra 2026 angiver phishing til 16% af alle brud, mod 6% for påskud, og IC3 modtog 191,561 klager over phishing og spoofing i 2025.

Hvordan forhindrer man social engineering?

Bekræft anmodninger via en anden kanal, og rapporter mistænkelige. Tilføj kort, regelmæssig træning, da angrebene ændrer sig hurtigere end noget enkeltstående kursus.

Hvad er påskud?

En opdigtet historie, der bruges til at få information eller adgang. Angriberen opbygger tillid gennem et troværdigt scenarie, såsom et opkald til helpdesk, og beder derefter om en adgangskode, en betaling eller en dør, der skal holdes åben.

Hvor skal man begynde

Vælg et sæt og kør det på dit næste teammøde. Hvis du kun har tid til ét eksempel, så lav det til at være en slags "vishing", og spørg derefter alle, hvad de ville gøre ved det næste uventede opkald.