Παραδείγματα κοινωνικής μηχανικής: 15 επιθέσεις και πώς να τις σταματήσετε

Η κοινωνική μηχανική είναι, σύμφωνα με την Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA), μια επίθεση όπου «Ένας εισβολέας χρησιμοποιεί ανθρώπινη αλληλεπίδραση (κοινωνικές δεξιότητες) για να αποκτήσει ή να θέσει σε κίνδυνο πληροφορίες σχετικά με έναν οργανισμό ή τα συστήματα υπολογιστών του»Λειτουργεί επειδή στοχεύει σε ανθρώπους, όχι σε λογισμικό. Η Έκθεση Ερευνών Παραβίασης Δεδομένων της Verizon για το 2026 διαπίστωσε ότι ανθρώπινο στοιχείο υπήρχε στο 62% των παραβιάσεων, αυξημένο σε σχέση με το 60% του προηγούμενου έτους.

Ακολουθούν 15 παραδείγματα κοινωνικής μηχανικής σε 3 σετ των 5. Κάθε ένα συνοδεύεται από μια κόκκινη σημαία που πρέπει να αναζητήσετε και μια ενέργεια διακοπής που πρέπει να λάβετε. Το Σετ 1 καλύπτει την οικογένεια του ηλεκτρονικού "ψαρέματος" (phishing), το σετ 2 καλύπτει την προσποίηση και την πλαστοπροσωπία και το σετ 3 καλύπτει τις φυσικές επιθέσεις και το δόλωμα. Κάθε σετ τελειώνει με ένα Η επιλογή μας, το παράδειγμα που θα εκπαιδεύαμε πρώτα, με μια μονογραμμική αιτιολόγηση.

Όλα τα παραδείγματα εταιρειών, ατόμων και μηνυμάτων που αναφέρονται παρακάτω είναι κατασκευασμένα.

Σετ 1: Η οικογένεια του ηλεκτρονικού "ψαρέματος" (phishing)

1. Ηλεκτρονικό ψάρεμα (phishing). Ένα μήνυμα που μοιάζει να προέρχεται από μια τράπεζα, έναν προμηθευτή ή τη δική σας ομάδα IT σας ζητά να κάνετε κλικ σε έναν σύνδεσμο και να συνδεθείτε. Η CISA αναφέρει ότι οι επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing) χρησιμοποιούν email ή κακόβουλους ιστότοπους για να... ζητούν προσωπικά στοιχεία παρουσιάζοντας τον εαυτό τους ως αξιόπιστο οργανισμό. Κόκκινη σημαία: μια διεύθυνση αποστολέα που μιμείται μια πραγματική επιχείρηση, έναν γενικό χαιρετισμό όπως "Αγαπητέ Πελάτη" ή έναν σύνδεσμο του οποίου η διεύθυνση δεν ταιριάζει με το κείμενο όταν τοποθετείτε τον δείκτη του ποντικιού πάνω του. Να σταματήσει: Μην κάνετε κλικ. Μεταβείτε στον ιστότοπο πληκτρολογώντας μόνοι σας τη διεύθυνση ή αναφέρετε το μήνυμα.
2. Ηλεκτρονικό ψάρεμα (spear phishing). Το ίδιο κόλπο, που απευθύνεται σε ένα άτομο. Ο αποστολέας χρησιμοποιεί το όνομά σας, το όνομα του διευθυντή σας και ένα έργο στο οποίο εργάζεστε πραγματικά, το οποίο μπορεί να συναρμολογηθεί από δημόσιες πληροφορίες. Κόκκινη σημαία: ένα αίτημα που είναι παράξενα συγκεκριμένο αλλά ασυνήθιστο, όπως «στείλτε μου το συμβόλαιο της Atlas σήμερα». Να σταματήσει: ρωτήστε τον αποστολέα σε διαφορετικό κανάλι, όπως μια κλήση σε έναν αριθμό που ήδη έχετε.
3. Χαμογελώντας. Ηλεκτρονικό "ψάρεμα" (phishing) μέσω μηνύματος κειμένου. Η CISA περιγράφει σμίξιμο ως κοινωνική μηχανική που εκμεταλλεύεται μηνύματα SMS, με συνδέσμους, αριθμούς ή διευθύνσεις που ανοίγουν ένα πρόγραμμα περιήγησης ή πραγματοποιούν μια κλήση όταν πατηθούν. Κόκκινη σημαία: ένα κείμενο με την ένδειξη «δέμα σε αναμονή» ή «λογαριασμός κλειδωμένος» με έναν σύντομο σύνδεσμο. Να σταματήσει: διαγράψτε το και ανοίξτε μόνοι σας την πραγματική εφαρμογή ή ιστότοπο.
4. Vishing. Ηλεκτρονικό ψάρεμα (phishing) μέσω φωνής. Η CISA λέει: vishing χρησιμοποιεί φωνητικές κλήσεις και το αναγνωριστικό καλούντος μπορεί να πλαστογραφηθεί, επομένως μια κλήση που εμφανίζει ένα οικείο όνομα δεν αποδεικνύει τίποτα. Κόκκινη σημαία: ένας καλών που ασκεί πίεση και ζητά κωδικό ή συνθηματικό. Να σταματήσει: Κλείστε το τηλέφωνο και καλέστε πίσω στον αριθμό που αναγράφεται σε μια δήλωση ή στον ιστότοπο της εταιρείας.
5. Ηλεκτρονικό ψάρεμα (phishing) με κωδικό QR. Ένας κωδικός QR κρύβει τη διεύθυνση στην οποία οδηγεί. Το FBI έχει προειδοποιήσει για ανεπιθύμητα πακέτα που περιέχουν κωδικό QR που ζητά από τον παραλήπτη προσωπικές και οικονομικές πληροφορίες ή εγκαθιστά λογισμικό κλοπής δεδομένων. Κόκκινη σημαία: έναν κωδικό που δεν περιμένατε, χωρίς στοιχεία αποστολέα. Να σταματήσει: Μην σαρώνετε κωδικούς QR από άγνωστη προέλευση.

Η επιλογή μας: παράδειγμα 4, Vishing. Η Verizon διαπίστωσε ότι σε προσομοιώσεις ηλεκτρονικού "ψαρέματος" (phishing), το μέσο ποσοστό κλικ σε διανύσματα που επικεντρώνονται σε κινητά, όπως τα φωνητικά μηνύματα και τα μηνύματα κειμένου, ήταν 40% υψηλότερα παρά μέσω email. Οι άνθρωποι έχουν μάθει να μην εμπιστεύονται το email πιο γρήγορα από ό,τι έχουν μάθει να μην εμπιστεύονται ένα τηλεφώνημα.

Σετ 2: Προσποίηση και πλαστοπροσωπία

Η Verizon ορίζει την προσποίηση ως τακτική εισβολέα κατά την οποία Μια σχέση εμπιστοσύνης χτίζεται μέσα από επινοημένα σενάρια να εξαπατήσουν τον χρήστη ώστε να κάνει μια ενέργεια που θέτει σε κίνδυνο τον οργανισμό, συχνά μέσω φωνής αλλά και μέσω email ή SMS. Έφτασε το 6% όλων των παραβιάσεων στην έκθεση του 2026, έναντι 16% για ηλεκτρονικό ψάρεμα (phishing).

6. Απάτη Διευθύνοντος Συμβούλου και παραβίαση εταιρικού email. Το Κέντρο Παραπόνων για το Διαδικτυακό Έγκλημα (IC3) του FBI ορίζει συμβιβασμός επαγγελματικού ηλεκτρονικού ταχυδρομείου (BEC) ως απάτη που στοχεύει επιχειρήσεις και λειτουργεί μέσω παραβιασμένων λογαριασμών email και άλλων επικοινωνιών για να προκαλέσει μη εξουσιοδοτημένες μεταφορές χρημάτων. Το 2025, το IC3 κατέγραψε 24,768 καταγγελίες BEC και περίπου 3.05 δισεκατομμύρια δολάρια σε αναφερόμενες ζημίες. Κόκκινη σημαία: ένα επείγον αίτημα από έναν ανώτερο ηγέτη για πληρωμή ή αγορά δωροκάρτας, με μια φράση «μην το πείτε σε κανέναν». Να σταματήσει: επιβεβαιώστε οποιοδήποτε αίτημα πληρωμής τηλεφωνικά ή αυτοπροσώπως.
7. Ψεύτικη υποστήριξη IT. Κάποιος ισχυρίζεται ότι είναι από την υπηρεσία βοήθειας και χρειάζεται τον κωδικό πρόσβασής σας ή την απομακρυσμένη πρόσβαση "για να διορθώσει ένα πρόβλημα". Το IC3 έλαβε 47,794 παράπονα για τεχνική υποστήριξη το 2025, με αναφερόμενες ζημίες άνω των 2.1 δισεκατομμυρίων δολαρίων. Κόκκινη σημαία: Το τμήμα IT επικοινωνεί πρώτα μαζί σας και σας ζητά έναν κωδικό πρόσβασης ή έναν κωδικό μίας χρήσης. Να σταματήσει: Οι πραγματικές ομάδες IT δεν χρειάζονται τον κωδικό πρόσβασής σας. Κλείστε το τηλέφωνο και ζητήστε ένα αίτημα μέσω της συνήθους οδού.
8. Αλλαγή τιμολογίου προμηθευτή. Ένα email, προφανώς από έναν τακτικό προμηθευτή, αναφέρει ότι τα στοιχεία του τραπεζικού του λογαριασμού έχουν αλλάξει. Ο ορισμός BEC του IC3 καλύπτει απάτες που στοχεύουν επιχειρήσεις που συνεργάζονται με προμηθευτές και πραγματοποιούν τακτικά τραπεζικά εμβάσματα. Κόκκινη σημαία: νέα στοιχεία τράπεζας με προθεσμία πληρωμής. Να σταματήσει: καλέστε τον προμηθευτή σε έναν αριθμό που έχετε ήδη καταχωρίσει πριν αλλάξετε οτιδήποτε.
9. Ψεύτικος στρατολόγος. Ένας «υπεύθυνος προσλήψεων» προσεγγίζει ένα μέλος του προσωπικού με έναν ρόλο που μοιάζει με προαγωγή και στη συνέχεια ζητά προσωπικά έγγραφα ή μια δοκιμαστική εργασία που χρειάζεται λήψη. Το IC3 ελήφθη. 24,688 καταγγελίες για απάτη στην απασχόληση το 2025. Κόκκινη σημαία: μια προσφορά για την οποία δεν υποβάλατε αίτηση, με γρήγορα βήματα. Να σταματήσει: Ελέγξτε τον υπεύθυνο προσλήψεων μέσω της σελίδας σταδιοδρομίας της εταιρείας και μην εγκαθιστάτε ποτέ λογισμικό για μια συνέντευξη.
10. Βαθιά ψεύτικη φωνή. Μια κλωνοποιημένη φωνή που ακούγεται σαν ο σκηνοθέτης σας να ζητάει μια επείγουσα πληρωμή. Το IC3 λέει Η κλωνοποίηση φωνής μπορεί να χρησιμοποιηθεί για να ζητήσετε τραπεζική πληρωμή και ότι οι επιχειρήσεις ανέφεραν ζημίες άνω των 30 εκατομμυρίων δολαρίων το 2025 σε απάτες BEC που αφορούσαν την Τεχνητή Νοημοσύνη. Κόκκινη σημαία: ένα φωνητικό μήνυμα ή μια κλήση που σας ωθεί να δράσετε πριν προλάβετε να ελέγξετε. Να σταματήσει: συμφωνήστε σε μια κωδική λέξη ή έναν κανόνα επανάκλησης για τις πληρωμές, επομένως μια πειστική φωνή δεν είναι αρκετή.

Η επιλογή μας: παράδειγμα 6, απάτη CEO και BEC. Είναι το πιο δαπανηρό παράδειγμα εδώ, μπροστά ακόμη και από τις απάτες τεχνικής υποστήριξης στα στοιχεία του IC3 για το 2025, και η ενέργεια διακοπής είναι φθηνή: ένα τηλεφώνημα σε έναν γνωστό αριθμό προτού μετακινηθούν χρήματα.

Σετ 3: Φυσικές επιθέσεις και δόλωμα

Αυτές οι επιθέσεις δεν χρειάζονται πληκτρολόγιο. Έχουν σημασία επειδή ένας ξένος στο κτίριο μπορεί να φτάσει σε αυτό που προστατεύει ένα τείχος προστασίας.

11. Παρακολουθώντας. Κάποιος σε ακολουθεί μέσα από μια ασφαλή πόρτα «επειδή είναι γεμάτα τα χέρια του». Κόκκινη σημαία: ένα άτομο χωρίς σήμα που είναι χαλαρό και φιλικό. Να σταματήσει: ζητήστε τους ευγενικά να κάνουν την εμφάνισή τους ή συνοδέψτε τους στη ρεσεψιόν.
12. Δόλωμα με μονάδες USB. Ένα USB stick με την ένδειξη «Salary review 2027» αφήνεται στο πάρκινγκ ή στο λόμπι. Κόκκινη σημαία: οποιαδήποτε αφαιρούμενη μονάδα δίσκου που δεν αγοράσατε. Να σταματήσει: Μην συνδέετε ποτέ μια συσκευή που βρέθηκε στην πρίζα. Παραδώστε την στο τμήμα IT, το οποίο μπορεί να την επιθεωρήσει με ασφάλεια.
13. Σέρφινγκ με ώμους. Κάποιος διαβάζει την οθόνη σας ή σας παρακολουθεί να πληκτρολογείτε ένα PIN σε ένα τρένο ή σε ένα ζεστό γραφείο. Κόκκινη σημαία: ένα άτομο που στέκεται πολύ κοντά σας ή στρέφει το τηλέφωνο προς την οθόνη σας. Να σταματήσει: Χρησιμοποιήστε ένα φίλτρο απορρήτου, κλειδώστε την οθόνη σας όταν απομακρύνεστε και κάθεστε με την πλάτη σας στον τοίχο.
14. Κατάδυση σε κάδους απορριμμάτων. Τα εκτυπωμένα email, τα οργανογράμματα και οι σημειώσεις συσκέψεων που πετιούνται σε έναν συνηθισμένο κάδο απορριμμάτων δίνουν στον εισβολέα ονόματα, αριθμούς τηλεφώνου και τίτλους έργων για την επόμενη κλήση. Κόκκινη σημαία: χαρτί με ονόματα ή αριθμούς σε ανοιχτό κάδο. Να σταματήσει: Χρησιμοποιήστε έναν καταστροφέα εγγράφων ή έναν κλειδωμένο κάδο απορριμμάτων και διατηρήστε μια συνήθεια να κάθεστε σε ένα καθαρό γραφείο.
15. Ψεύτικη παράδοση. Ένας κούριερ με επώνυμο μπουφάν ζητά να τον αφήσουν να περάσει από τη ρεσεψιόν ή να αφήσει ένα δέμα στην αίθουσα του διακομιστή. Κόκκινη σημαία: μια παράδοση που δεν παρήγγειλε κανείς ή μια που δεν μπορεί να πάει στη ρεσεψιόν. Να σταματήσει: Πάρτε το στη ρεσεψιόν και ελέγξτε τα μη αναμενόμενα δέματα με το άτομο που αναφέρεται στην ετικέτα.

Η επιλογή μας: παράδειγμα 11, tailgating. Δεν απαιτεί καμία δεξιότητα και δεν κοστίζει τίποτα, και οι καλοί τρόποι είναι αυτοί που το κάνουν να λειτουργεί. Δώστε στο προσωπικό ένα ευγενικό σενάριο, ώστε κάποιος που προκαλεί να νιώθει φυσιολογικός και όχι αγενής.

Πώς να σταματήσετε και τα 15

Τα 15 παραδείγματα έχουν ένα κοινό χαρακτηριστικό: σε ωθούν να ενεργείς γρήγορα και μόνος. Τρεις συνήθειες το σπάνε αυτό.

1. Επαληθεύστε μέσω ενός δεύτερου καναλιού. Εάν ένα αίτημα περιλαμβάνει χρήματα, κωδικό πρόσβασης, κωδικό πρόσβασης ή πρόσβαση, επιβεβαιώστε το με άλλη οδό, χρησιμοποιώντας τα στοιχεία επικοινωνίας που ήδη έχετε. Η CISA συμβουλεύει ότι εάν δεν είστε σίγουροι για το αν ένα αίτημα είναι πραγματικό, επαληθεύστε το επικοινωνώντας απευθείας με την εταιρείακαι όχι με τα στοιχεία επικοινωνίας που παρέχονται στο μήνυμα.
2. Αναφέρετέ το. Η συμβουλή της CISA για ύποπτο ηλεκτρονικό ψάρεμα (phishing) είναι να αναφέρετε το μήνυμα και μετά διαγράψτε το. Κάντε την αναφορά μια συνήθεια με ένα κλικ, χωρίς να κατηγορείτε, έτσι ώστε το πρώτο άτομο που θα εντοπίσει κάτι να προειδοποιεί όλους τους άλλους.
3. Κόψτε ταχύτητα. Λίστες CISA επείγουσα ή συναισθηματικά ελκυστική γλώσσα μεταξύ των συνηθισμένων ενδείξεων ηλεκτρονικού "ψαρέματος" (phishing). Η CISA σημειώνει επίσης ότι η τέλεια γραμματική δεν αποτελεί πλέον απόδειξη ασφάλειας, καθώς ορισμένα email έχουν πλέον τέλεια ορθογραφία χάρη στην τεχνητή νοημοσύνη. Όταν ένα μήνυμα απαιτεί ταχύτητα, αυτό είναι το σήμα για παύση.

Η εκπαίδευση είναι ο τρόπος με τον οποίο διατηρούνται οι συνήθειες. Με το ανθρώπινο στοιχείο να υπάρχει στο 62% των παραβιάσεων, ανά Έκθεση της Verizon για το 2026, μια ομάδα που έχει εξασκηθεί στον εντοπισμό αυτών των 15 παραδειγμάτων αποτελεί πραγματικό μέρος της άμυνάς σας. Για ένα ευρύτερο πρόγραμμα, ανατρέξτε στον οδηγό μας για εκπαίδευση ευαισθητοποίησης για την ασφάλεια στον κυβερνοχώρο.

Τρόποι διοργάνωσης μιας συνεδρίας κοινωνικής μηχανικής με AhaSlides

Εκτελέστε τα 15 παραδείγματα ζωντανά, σε ένα δωμάτιο ή σε μια βιντεοκλήση, με τις απαντήσεις στην οθόνη καθώς οι άνθρωποι απαντούν.

1. Επιλέξτε απάντηση: "Αληθινό ή ψεύτικο;" Δείξτε ένα επινοημένο μήνυμα για κάθε παράδειγμα και ρωτήστε αν είναι γνήσιο. Αποκαλύψτε την προειδοποιητική σημαία και συζητήστε.
2. Σύννεφο Λέξεων: "Η απάτη που δέχεσαι περισσότερο". Η μεγαλύτερη λέξη δείχνει τι πρέπει να εξασκηθεί πρώτα.
3. Κλίμακα αξιολόγησης: "Πόσο σίγουροι είστε ότι θα εντοπίσετε ένα ψεύτικο;" Ζητήστε μια βαθμολογία από το 1 έως το 5 πριν και μετά τη συνεδρία και συγκρίνετε τους μέσους όρους.
4. Ανοιχτού Τύπου: "Ένα ύποπτο μήνυμα που έλαβα". Συλλέξτε πραγματικά παραδείγματα, χωρίς ονόματα, και χρησιμοποιήστε το καλύτερο ως σενάριο του επόμενου γύρου.

Το πρότυπο μαθήματος για το ηλεκτρονικό ψάρεμα (phishing) και την κοινωνική μηχανική σάς παρέχει έτοιμες διαφάνειες για προσαρμογή, ενώ το πρότυπο ευαισθητοποίησης για τις απειλές από εσωτερικούς χρήστες αποτελεί μια καλή συνέχεια για όλη την ομάδα.

Συχνές ερωτήσεις

Ποια είναι τα παραδείγματα κοινωνικής μηχανικής;

Το ηλεκτρονικό ψάρεμα (phishing), η προσποίηση, το δόλωμα και η απάτη είναι τα κυριότερα. Αυτή η ανάρτηση απαριθμεί 15, από ηλεκτρονικό ψάρεμα (phishing) μέσω email και vishing έως ψεύτικη υποστήριξη IT, δόλωμα μέσω USB και ψεύτικες παραδόσεις.

Ποιος είναι ο πιο συνηθισμένος τύπος κοινωνικής μηχανικής;

Ηλεκτρονικό ψάρεμα (phishing). Η έκθεση της Verizon για το 2026 κατατάσσει το ηλεκτρονικό ψάρεμα (phishing) στο 16% όλων των παραβιάσεων, έναντι 6% για προσχήματα, και η IC3 έλαβε 191,561 καταγγελίες για ηλεκτρονικό ψάρεμα (phishing) και πλαστογράφηση το 2025.

Πώς αποτρέπετε την κοινωνική μηχανική;

Επαληθεύστε τα αιτήματα μέσω ενός δεύτερου καναλιού και αναφέρετε τα ύποπτα. Προσθέστε σύντομη, τακτική εκπαίδευση, επειδή οι επιθέσεις αλλάζουν πιο γρήγορα από οποιαδήποτε μεμονωμένη σειρά μαθημάτων.

Τι είναι η προσποίηση;

Μια επινοημένη ιστορία που χρησιμοποιείται για την απόκτηση πληροφοριών ή πρόσβασης. Ο εισβολέας χτίζει εμπιστοσύνη μέσω ενός πιστευτού σεναρίου, όπως μια κλήση στην υπηρεσία υποστήριξης, και στη συνέχεια ζητά έναν κωδικό πρόσβασης, μια πληρωμή ή μια πόρτα να παραμείνει ανοιχτή.

Από πού να αρχίσω

Διαλέξτε ένα σετ και εφαρμόστε το στην επόμενη συνάντηση της ομάδας σας. Αν έχετε χρόνο μόνο για ένα παράδειγμα, κάντε το να φαίνεται ενδιαφέρον και στη συνέχεια ρωτήστε όλους τι θα έκαναν στην επόμενη απροσδόκητη κλήση.