Primjeri socijalnog inženjeringa: 15 napada i kako ih zaustaviti

Socijalni inženjering je, prema riječima Američke agencije za kibernetičku sigurnost i sigurnost infrastrukture (CISA), napad u kojem Napadač koristi ljudsku interakciju (društvene vještine) kako bi dobio ili kompromitirao informacije o organizaciji ili njezinim računalnim sustavima.Djeluje jer cilja na ljude, a ne na softver. Verizonovo izvješće o istragama kršenja podataka iz 2026. godine otkrilo je da ljudski element bio je prisutan u 62% kršenja, što je porast u odnosu na 60% godinu prije.

Evo 15 primjera socijalnog inženjeringa u 3 seta od po 5. Svaki dolazi s crvenom zastavom na koju treba obratiti pozornost i radnjom zaustavljanja koju treba poduzeti. Set 1 pokriva obitelj phishinga, set 2 pokriva izgovore i lažno predstavljanje, a set 3 pokriva fizičke napade i mamljenje. Svaki set završava s Naš izbor, primjer koji bismo prvo trenirali, s obrazloženjem u jednom retku.

Sve tvrtke, ljudi i poruke u nastavku su izmišljene.

Skup 1: Obitelj phishinga

1. Krađa identiteta putem e-pošte. Poruka koja izgleda kao da dolazi od banke, dobavljača ili vašeg vlastitog IT tima traži od vas da kliknete na poveznicu i prijavite se. CISA kaže da phishing napadi koriste e-poštu ili zlonamjerne web stranice za prikupljati osobne podatke predstavljajući se kao pouzdana organizacija. Crvena zastava: adresa pošiljatelja koja oponaša stvarnu tvrtku, generički pozdrav poput "Poštovani kupče" ili poveznica čija se adresa ne podudara s tekstom kada zadržite pokazivač iznad nje. Stop: Nemojte kliknuti. Idite na stranicu tako da sami upišete adresu ili prijavite poruku.
2. Krađa identiteta putem koplja. Isti trik, usmjeren na jednu osobu. Pošiljatelj koristi vaše ime, ime vašeg menadžera i projekt na kojem stvarno radite, a koji se može sastaviti iz javnih informacija. Crvena zastava: zahtjev koji je neobično specifičan, a opet nekarakterističan, poput "pošaljite mi Atlas ugovor danas". Stop: pitajte pošiljatelja na drugom kanalu, poput poziva na broj koji već imate.
3. nasmijan. Krađa identiteta putem tekstualnih poruka. CISA opisuje razbijanje kao društveni inženjering koji iskorištava SMS poruke, s poveznicama, brojevima ili adresama koje otvaraju preglednik ili pozivaju kada se dodirnu. Crvena zastava: tekstualna poruka "paket na čekanju" ili "račun zaključan" s kratkom poveznicom. Stop: izbrišite ga i sami otvorite pravu aplikaciju ili stranicu.
4. Vishing. Krađa identiteta glasom. CISA kaže vishing koristi glasovne pozive i taj ID pozivatelja može biti lažiran, tako da poziv koji prikazuje poznato ime ne dokazuje ništa. Crvena zastava: pozivatelj koji vrši pritisak i traži kod ili lozinku. Stop: spustite slušalicu i nazovite natrag na broj otisnut na izvodu ili web stranici tvrtke.
5. Krađa identiteta putem QR koda. QR kod skriva adresu do koje vodi. FBI je upozorio na neželjeni paketi koji sadrže QR kod koji od primatelja traži osobne i financijske podatke ili instalira softver za krađu podataka. Crvena zastava: kod koji niste očekivali, bez podataka o pošiljatelju. Stop: Nemojte skenirati QR kodove nepoznatog porijekla.

Naš izbor: primjer 4, Vishing. Verizon je otkrio da je u simulacijama phishinga medijalna stopa klikova u vektori usmjereni na mobilne uređaje poput glasovnih i tekstualnih poruka bili su 40% veći nego putem e-pošte. Ljudi su brže naučili ne vjerovati e-pošti nego telefonskom pozivu.

Skup 2: Izgovor i lažno predstavljanje

Verizon definira izgovor kao napadačku taktiku u kojoj Pouzdani odnos se gradi kroz izmišljene scenarije prevariti korisnika na radnju koja kompromitira organizaciju, često putem glasa, ali i e-pošte ili tekstualnih poruka. U izvješću za 2026. dosegao je 6% svih povreda, u usporedbi sa 16% za phishing.

6. Prijevara izvršnog direktora i kompromitiranje poslovne e-pošte. FBI-jev Centar za pritužbe na internetski kriminal (IC3) definira kompromitiranje poslovne e-pošte (BEC) kao prijevara koja cilja tvrtke i djeluje putem kompromitiranih računa e-pošte i drugih komunikacija kako bi uzrokovala neovlaštene prijenose sredstava. U 2025. godini IC3 je zabilježio 24,768 pritužbi BEC-a i prijavljenih gubitaka od oko 3.05 milijardi dolara. Crvena zastava: hitan zahtjev višeg rukovoditelja za plaćanje ili kupnju poklon kartica, s napomenom "nemojte nikome reći". Stop: potvrdite svaki zahtjev za plaćanje telefonom ili osobno.
7. Lažna IT podrška. Netko tvrdi da je iz službe za korisnike i treba vašu lozinku ili udaljeni pristup "kako bi riješio problem". IC3 je primio 47,794 pritužbi na tehničku podršku u 2025. godini, s prijavljenim gubicima većim od 2.1 milijarde dolara. Crvena zastava: IT odjel vas prvo kontaktira i traži lozinku ili jednokratni kod. Stop: Pravi IT timovi ne trebaju vašu lozinku. Prekinite vezu i podnesite zahtjev uobičajenim putem.
8. Promjena fakture dobavljača. U e-poruci, očito od redovnog dobavljača, navodi se da su se bankovni podaci promijenili. IC3-jeva definicija BEC-a pokriva prijevare usmjerene na tvrtke koje surađuju s dobavljačima i redovito obavljaju bankovne transfere. Crvena zastava: novi bankovni podaci s rokom plaćanja. Stop: Nazovite dobavljača na broj koji već ima u evidenciji prije nego što bilo što promijenite.
9. Lažni regruter. "Regruter" prilazi članu osoblja s ulogom koja izgleda kao promaknuće, a zatim traži osobne dokumente ili testni zadatak koji treba preuzeti. IC3 je primio 24,688 pritužbi na prijevare pri zapošljavanju u 2025. godini. Crvena zastava: ponuda za koju se niste prijavili, s brzim koracima. Stop: Provjerite regrutera putem vlastite stranice s karijerama tvrtke i nikada ne instalirajte softver za razgovor za posao.
10. Duboko lažni glas. Klonirani glas koji zvuči kao da vaš direktor traži hitnu isplatu. IC3 kaže kloniranje glasa može se koristiti za zahtjev za bankovno plaćanje i da su tvrtke prijavile gubitke od preko 30 milijuna dolara u 2025. zbog BEC prijevara koje uključuju umjetnu inteligenciju. Crvena zastava: glasovna poruka ili poziv koji vas potiče da djelujete prije nego što možete provjeriti. Stop: dogovorite kodnu riječ ili pravilo povratnog poziva za plaćanja, tako da uvjerljiv glas nije dovoljan.

Naš izbor: primjer 6, prijevara izvršnog direktora i BEC. To je najskuplji primjer ovdje, čak ispred prevara tehničke podrške prema podacima IC3-a za 2025. godinu, a mjera zaustavljanja je jeftina: jedan telefonski poziv na poznati broj prije nego što se novac pokrene.

Skup 3: Fizički napadi i mamljenje

Ovi napadi ne zahtijevaju tipkovnicu. Važni su jer stranac u zgradi može doći do onoga što štiti vatrozid.

11. Praćenje vozila. Netko te prati kroz sigurna vrata "jer su mu ruke pune". Crvena zastava: osoba bez značke koja je opuštena i prijateljski nastrojena. Stop: pristojno ih zamolite da sami unesu značku ili ih otpratite do recepcije.
12. Mamljenje pomoću USB pogona. USB stick s oznakom "Pregled plaća 2027." ostavlja se na parkiralištu ili u predvorju. Crvena zastava: bilo koji izmjenjivi pogon koji niste kupili. Stop: Nikada ne priključujte pronađeni uređaj. Predajte ga IT timu koji ga može sigurno pregledati.
13. Surfanje po ramenu. Netko čita vaš ekran ili vas gleda kako tipkate PIN u vlaku ili za prenatrpanim stolom. Crvena zastava: osoba koja stoji preblizu ili usmjerava telefon prema vašem ekranu. Stop: Koristite filter za privatnost, zaključajte ekran kada se udaljite i sjedite okrenuti leđima prema zidu.
14. Ronjenje po kontejnerima. Ispisani e-mailovi, organizacijski dijagrami i bilješke sa sastanaka bačeni u običnu kantu za smeće daju napadaču imena, telefonske brojeve i nazive projekata za sljedeći poziv. Crvena zastava: papir s imenima ili brojevima u otvorenoj kutiji. Stop: Koristite usitnjivač ili zaključanu kantu za smeće i održavajte naviku čišćenja stola.
15. Lažna dostava. Kurir u markiranoj jakni traži da ga puste unutra nakon recepcije ili da ostavi paket u serverskoj sobi. Crvena zastava: dostava koju nitko nije naručio ili ona koja ne može stići na recepciju. Stop: Uzmite ga na recepciji, a neočekivane pakete provjerite s osobom navedenom na naljepnici.

Naš izbor: primjer 11, parkiranje bez prethodne najave. Ne zahtijeva nikakve vještine i ništa ne košta, a dobri maniri su ono što ga čini uspješnim. Dajte osoblju pristojan scenarij, kako bi se izazivanje nekoga osjećalo normalno, a ne nepristojno.

Kako zaustaviti svih 15

Petnaest primjera imaju jednu zajedničku stvar: potiču vas da djelujete brzo i samostalno. Tri navike to prekidaju.

1. Provjerite putem drugog kanala. Ako zahtjev uključuje novac, lozinku, kod ili pristup, potvrdite ga na drugi način, koristeći kontakt podatke koje već imate. CISA savjetuje da ako niste sigurni je li zahtjev stvaran, provjerite to izravnim kontaktiranjem tvrtke, a ne s kontaktnim podacima navedenim u poruci.
2. Prijavi to. CISA-in savjet za sumnju na phishing je da prijavi poruku a zatim ga izbrišite. Učinite prijavljivanje navikom jednim klikom bez okrivljavanja, tako da prva osoba koja nešto uoči upozori sve ostale.
3. Uspori. CISA popisi hitan ili emocionalno privlačan jezik među uobičajenim znakovima phishinga. CISA također napominje da savršena gramatika više nije dokaz sigurnosti, budući da neke e-poruke sada imaju savršen pravopis zahvaljujući umjetnoj inteligenciji. Kada poruka zahtijeva brzinu, to je signal za pauziranje.

Trening je način da se navike zadrže. S ljudskim elementom prisutnim u 62% kršenja, po Verizonovo izvješće za 2026., tim koji je vježbao uočavanje ovih 15 primjera pravi je dio vaše obrane. Za širi program pogledajte naš vodič za obuka za podizanje svijesti o kibernetičkoj sigurnosti.

Načini održavanja sesije socijalnog inženjeringa s AhaSlides

Pokrenite 15 primjera uživo, u sobi ili putem videopoziva, s odgovorima na ekranu dok ljudi odgovaraju.

1. Odaberite odgovor: "Pravo ili lažno?" Pokažite izmišljenu poruku za svaki primjer i pitajte je li istinita. Otkrijte crvenu zastavicu i raspravite.
2. Oblak riječi: "Prijevara koju najčešće dobivate". Najvažnija riječ pokazuje što prvo treba vježbati.
3. Ljestvica ocjenjivanja: "Koliko ste sigurni u uočavanju lažnjaka?" Zatražite ocjenu od 1 do 5 prije i poslije sesije te usporedite prosjeke.
4. Otvoreno: "Primio/la sam sumnjivu poruku". Prikupite stvarne primjere, bez imena, i upotrijebite najbolji kao scenarij sljedećeg kruga.

Predložak tečaja o phishingu i socijalnom inženjerstvu daje vam gotove slajdove za prilagodbu, a predložak za podizanje svijesti o insajderskim prijetnjama dobar je nastavak za cijeli tim.

Često postavljana pitanja

Koji su primjeri socijalnog inženjeringa?

Phishing, izgovorno slanje poruka, mamac i prevarantsko prikrivanje glavni su primjeri. Ovaj post navodi ih 15, od phishinga putem e-pošte i vishinga do lažne IT podrške, mamaca putem USB-a i lažnih dostava.

Koji je najčešći tip socijalnog inženjeringa?

Phishing. Verizonovo izvješće iz 2026. navodi da phishing čini 16% svih povreda, u odnosu na 6% za izgovore, a IC3 je 2025. primio 191 561 pritužbi na phishing i lažiranje podataka.

Kako spriječiti socijalni inženjering?

Provjerite zahtjeve putem drugog kanala i prijavite sumnjive. Dodajte kratke, redovite obuke, jer se napadi mijenjaju brže od bilo kojeg jednokratnog tečaja.

Što je pretvaranje?

Izmišljena priča koja se koristi za dobivanje informacija ili pristupa. Napadač gradi povjerenje kroz uvjerljiv scenarij, poput poziva službi za korisnike, a zatim traži lozinku, plaćanje ili držanje vrata otvorenima.

Gdje započeti

Odaberite jedan skup i pokrenite ga na sljedećem sastanku tima. Ako imate vremena samo za jedan primjer, neka bude Vishing, a zatim pitajte sve što bi učinili na sljedećem neočekivanom pozivu.