Példák a szociális manipulációra: 15 támadás és hogyan állíthatjuk meg őket

Az Egyesült Államok Kiberbiztonsági és Infrastruktúra-Biztonsági Ügynöksége (CISA) szerint a szociális manipuláció egy olyan támadás, ahol „egy támadó emberi interakciót (szociális készségeket) használ fel arra, hogy információkat szerezzen vagy kompromittáljon egy szervezetről vagy annak számítógépes rendszereiről.”Azért működik, mert embereket céloz meg, nem szoftvereket. A Verizon 2026-os adatvédelmi incidensekről szóló jelentése megállapította, hogy a Az incidensek 62%-ában emberi tényező is jelen volt, ami az egy évvel korábbi 60%-hoz képest növekedést jelent.

Íme 15 példa a pszichológiai manipulációra, 3 darab 5-ös készletben. Mindegyikhez tartozik egy figyelmeztető jelzés és egy teendő. Az 1. készlet az adathalászat családját, a 2. készlet az ürügyekkel és a személyes adatokkal való visszaéléssel, a 3. készlet pedig a fizikai támadásokkal és a csalival zárul. Minden készlet egy A mi választásunk, a példa, amelyet először betanítanánk, egysoros indoklással.

Az alábbi példaként szereplő összes vállalat, személy és üzenet kitalált.

1. csoport: Az adathalász család

1. E-mailes adathalászat. Egy olyan üzenet, ami úgy néz ki, mintha egy banktól, beszállítótól vagy a saját informatikai csapatodtól származna, arra kér, hogy kattints egy linkre és jelentkezz be. A CISA szerint az adathalász támadások e-maileket vagy rosszindulatú webhelyeket használnak a bejelentkezéshez. személyes adatokat kérni megbízható szervezetnek adva ki magát. Piros zászló: egy valódi vállalkozás címét utánzó feladói cím, egy általános üdvözlés, például a „Kedves Ügyfelünk!”, vagy egy olyan link, amelynek címe nem egyezik meg a szöveggel, amikor fölé viszi az egeret. Állj meg: Ne kattints. Menj az oldalra a cím begépelésével, vagy jelentsd az üzenetet.
2. Lándzsás adathalászat. Ugyanaz a trükk, egyetlen személynek címezve. A feladó a neved, a vezetőd neve és egy projekt nevét használja, amin valójában dolgozol, és ezeket nyilvános információkból lehet összerakni. Piros zászló: egy furcsán konkrét, mégis jellemtelen kérés, például: „küldd el nekem még ma az Atlas szerződést”. Állj meg: kérdezd meg a feladót egy másik csatornán, például egy már meglévő számon.
3. Csillogó. Adathalászat SMS-ben. A CISA leírása elmosolyodva olyan társadalmi manipulációként funkcionál, amely SMS-üzeneteket használ ki linkekkel, számokkal vagy címekkel, amelyek megérintésre böngészőt nyitnak meg vagy hívást kezdeményeznek. Piros zászló: egy „csomag várakozik” vagy „számla zárolva” üzenet rövid linkkel. Állj meg: Töröld le, és nyisd meg az eredeti alkalmazást vagy weboldalt.
4. Vishing. Hangalapú adathalászat. A CISA szerint vishing hanghívásokat használ, és a hívóazonosító hamisítható, így egy ismerős nevet tartalmazó hívás semmit sem bizonyít. Piros zászló: egy hívó, aki nyomást gyakorol, és kódot vagy jelszót kér. Állj meg: tegye le a telefont, és hívja vissza a számlakivonaton vagy a cég weboldalán található számon.
5. QR-kód adathalászat. A QR-kód elrejti a címet, amelyre vezet. Az FBI figyelmeztetett... kéretlen csomagok, amelyek QR-kódot tartalmaznak amely személyes és pénzügyi adatokat kér a címzetttől, vagy adatlopó szoftvert telepít. Piros zászló: egy nem várt kód, feladó adatai nélkül. Állj meg: Ne olvasson be ismeretlen eredetű QR-kódokat.

A mi választásunk: 4. példa, vishing. A Verizon megállapította, hogy az adathalász szimulációkban a kattintások átlagos aránya a következőben: a mobilközpontú vektorok, például a hang- és szöveges üzenetküldés 40%-kal magasabb volt mint e-mailben. Az emberek gyorsabban megtanultak bizalmatlanok lenni az e-mailekkel szemben, mint egy telefonhívással szemben.

2. csoport: Ügyintézés és személyes adatokkal való visszaélés

A Verizon az ürügyes üzenetküldést támadó taktikaként definiálja, amelyben egy bizalmi kapcsolat kitalált forgatókönyvek révén épül fel hogy a felhasználót olyan cselekvésre rávegyék, amely veszélyezteti a szervezetet, gyakran hang útján, de e-mailben vagy szöveges üzenetben is. A 2026-os jelentésben az összes incidens 6%-át tette ki, szemben az adathalászat 16%-ával.

6. Vezérigazgatói csalás és üzleti e-mailek feltörése. Az FBI internetes bűnözéssel foglalkozó panaszközpontja (IC3) meghatározza üzleti e-mail kompromisszum (BEC) ...egy vállalkozásokat célzó átverésként, amely feltört e-mail fiókokon és más kommunikációs eszközökön keresztül jogosulatlan pénzátutalásokat idéz elő. 2025-ben az IC3 24 768 BEC-panaszt regisztrált, és körülbelül 3.05 milliárd dolláros jelentett veszteséget. Piros zászló: Egy felsővezető sürgős kérése ajándékkártyák fizetésére vagy vásárlására, „senkinek ne mondd el” megjegyzéssel. Állj meg: telefonon vagy személyesen erősítse meg a fizetési kérelmeket.
7. Hamis informatikai támogatás. Valaki azt állítja, hogy az ügyfélszolgálattól dolgozik, és szüksége van a jelszavadra vagy a távoli hozzáférésedre "egy probléma megoldásához". IC3 érkezett 47 794 technikai támogatási panasz 2025-ben, a bejelentett veszteségek meghaladták a 2.1 milliárd dollárt. Piros zászló: Az informatikai részleg először felveszi Önnel a kapcsolatot, és jelszót vagy egyszer használatos kódot kér. Állj meg: Az igazi IT-csapatoknak nincs szükségük a jelszavadra. Tedd le a telefont, és a szokásos módon intézd a hibajegyet.
8. Szállítói számla módosítása. Egy e-mail, amely látszólag egy szokásos beszállítótól származik, azt állítja, hogy megváltoztak a bankszámlaadataik. Az IC3 BEC definíciója lefedi azokat a csalásokat, amelyek a következőket célozzák meg: beszállítókkal együttműködő és rendszeresen banki átutalásokat végrehajtó vállalkozások. Piros zászló: új bankszámlaadatok fizetési határidővel. Állj meg: Mielőtt bármit is megváltoztatnál, hívd fel a szállítót egy már regisztrált számon.
9. Hamis toborzó. Egy „toborzó” odamegy egy olyan munkatárshoz, akinek egy előléptetésnek tűnő pozíciója van, majd személyes dokumentumokat vagy egy letöltést igénylő tesztfeladatot kér. Az IC3 megkapta. 24 688 foglalkoztatási csalással kapcsolatos panasz 2025-ben. Piros zászló: egy olyan ajánlat, amire nem jelentkeztél, gyors lépésekkel. Állj meg: A cég saját karrieroldalán keresztül ellenőrizd a toborzó állásajánlatát, és soha ne telepíts szoftvert interjúra.
10. Mélyhamis hang. Egy klónozott hang, ami úgy hangzik, mintha az igazgatód sürgős fizetést kérne. Az IC3 üzenete A hangklónozás segítségével banki átutalás kérhető és hogy a vállalkozások több mint 30 millió dolláros veszteséget jelentettek 2025-ben a mesterséges intelligenciát érintő BEC-csalások miatt. Piros zászló: egy hangüzenet vagy hívás, ami cselekvésre ösztönöz, mielőtt ellenőrizhetnéd. Állj meg: megállapodnak egy kódszóban vagy visszahívási szabályban a fizetésekhez, így a meggyőző hang nem elég.

A mi választásunk: 6. példa, vezérigazgatói csalás és a BEC. Ez a legköltségesebb példa, az IC3 2025-ös adatai szerint még a technikai támogatási csalásokat is megelőzi, és a megállító intézkedés olcsó: egyetlen telefonhívás egy ismert számra, mielőtt bármilyen pénzmozgás történne.

3. csoport: Fizikai támadások és csalogatás

Ezekhez a támadásokhoz nincs szükség billentyűzetre. Fontosak, mert egy idegen az épületben elérheti azt, amit egy tűzfal véd.

11. Ugrálás. Valaki követ téged egy biztonságos ajtón keresztül, "mert tele van a keze". Piros zászló: egy jelvény nélküli személy, aki nyugodt és barátságos. Állj meg: udvariasan kérd meg őket, hogy ők maguk is belépjenek, vagy kísérd el őket a recepcióra.
12. USB-meghajtókkal való csalizás. Egy „Fizetésfelülvizsgálat 2027” feliratú USB-meghajtót kell hagyni a parkolóban vagy a hallban. Piros zászló: minden olyan cserélhető meghajtót, amit nem vásároltál. Állj meg: Soha ne csatlakoztass talált eszközt a konnektorba. Add át az informatikusoknak, akik biztonságosan megvizsgálhatják.
13. Vállon szörfözés. Valaki olvassa a képernyődet, vagy nézi, ahogy PIN-kódot írsz be a vonaton vagy egy hot desk-nél. Piros zászló: egy túl közel álló személy, vagy egy telefont a képernyő felé fordít. Állj meg: Használj adatvédelmi szűrőt, zárd le a képernyőt, amikor ellépsz, és ülj háttal a falnak.
14. Konténeres merülés. A kinyomtatott e-mailek, szervezeti ábrák és megbeszélésjegyzetek egy átlagos kukába dobva megadják a támadónak a következő hívásra a nevét, telefonszámát és projektcímét. Piros zászló: nevekkel vagy számokkal ellátott papír egy nyitott dobozban. Állj meg: Használj iratmegsemmisítőt vagy zárható kukát, és ügyelj arra, hogy ne maradj üres az asztalod.
15. Hamis kézbesítés. Egy márkás kabátot viselő futár kéri, hogy engedjék be a recepción túlra, vagy hagyjanak egy csomagot a szerverszobában. Piros zászló: egy olyan szállítmány, amit senki sem rendelt, vagy ami nem mehet a recepcióra. Állj meg: Vedd át a recepción, és a váratlan csomagokat egyeztesd a címkén megnevezett személlyel.

A mi választásunk: 11. példa, farokfutás. Nem igényel szakértelmet, és semmibe sem kerül, a jó modor pedig az, ami működik benne. Adj udvarias forgatókönyvet a személyzetnek, hogy valakinek a kifogásolása normálisnak és ne udvariatlannak tűnjön.

Hogyan lehet megállítani mind a 15-öt

A 15 példának egy közös vonása van: gyors és önálló cselekvésre ösztönöznek. Három szokás oldja meg ezt.

1. Ellenőrizd egy második csatornán keresztül. Ha egy kérés pénzt, jelszót, kódot vagy hozzáférést érint, erősítse meg azt egy másik úton, a már meglévő elérhetőségei felhasználásával. A CISA azt tanácsolja, hogy ha nem biztos benne, hogy egy kérés valódi, ellenőrizze közvetlenül a céggel való kapcsolatfelvétellel, és nem az üzenetben megadott elérhetőségekkel.
2. Jelentsd. A CISA tanácsa adathalászat gyanúja esetén a következő: jelentse az üzenetet ...és töröld. A bejelentést tedd egy kattintásos, hibáztatás nélküli szokássá, így az első, aki észrevesz valamit, figyelmezteti a többieket.
3. Lassíts. CISA listák sürgető vagy érzelmileg vonzó nyelvezet az adathalászat leggyakoribb jelei közé tartozik. A CISA azt is megjegyzi, hogy a tökéletes nyelvtan már nem garantálja a biztonságot, mivel egyes e-mailek a mesterséges intelligencia jóvoltából ma már tökéletesen helyesen íródnak. Amikor egy üzenet sebességet igényel, az a jel a szünetre.

A szokások rögzítésének egyik módja a képzés. Az emberi tényező a biztonsági rések 62%-ában van jelen... A Verizon 2026-os jelentéseegy csapat, amelyik gyakorolta e 15 példa felismerését, valódi részét képezheti a védekezésnek. Egy szélesebb körű programért tekintse meg útmutatónkat a kiberbiztonsági tudatosító tréning.

Hogyan tartsunk pszichológiai manipulációval foglalkozó foglalkozást? AhaSlides

Futtasd le a 15 példát élőben, egy szobában vagy videohíváson keresztül, a válaszokat pedig lásd a képernyőn, miközben az emberek válaszolnak.

1. Válasszon választ: „Valódi vagy adathalászat?” Mutass egy kitalált üzenetet minden példához, és kérdezd meg, hogy valódi-e. Mutasd fel a vészjelzést, és beszéljétek meg.
2. Szófelhő: „A leggyakrabban elszenvedett átverés”. A legnagyobb szó mutatja meg, mit kell először gyakorolni.
3. Értékelési skála: „Mennyire biztos abban, hogy kiszúr egy hamisítványt?” Kérj 1-től 5-ig terjedő értékelést a foglalkozás előtt és után, és hasonlítsd össze az átlagokat.
4. Nyitott kérdés: „Gyanús üzenetet kaptam”. Gyűjtsön név nélkül valós példákat, és a legjobbat használja a következő kör forgatókönyveként.

Az Adathalászat és a pszichológiai manipuláció kurzus sablonja előre elkészített diákat kínál az adaptáláshoz, a Belső fenyegetéstudatosság sablon pedig jó folytatás az egész csapat számára.

Gyakran Ismételt Kérdések

Milyen példái vannak a társadalmi manipulációnak?

Adathalászat, ürügyekkel való támadás, csalizás és a titkolózás a főbb esetek. Ez a bejegyzés 15-öt sorol fel, az e-mailes adathalászattól és csalástól kezdve az ál-IT támogatáson, USB-csalikon és hamis kézbesítéseken át.

Mi a leggyakoribb társadalmi manipuláció típusa?

Adathalászat. A Verizon 2026-os jelentése szerint az adathalászat az összes incidens 16%-át teszi ki, szemben az ürügyekkel történő betörések 6%-ával, és az IC3 2025-ben 191 561 adathalászati ​​és hamisítási panaszt kapott.

Hogyan előzhető meg a társadalmi manipuláció?

Ellenőrizd a kéréseket egy második csatornán keresztül, és jelentsd a gyanúsakat. Tarts rövid, rendszeres képzéseket, mert a támadások gyorsabban változnak, mint bármelyik egyszeri tanfolyam.

Mi az az ürügy?

Egy kitalált történet, amellyel információkat vagy hozzáférést szereznek. A támadó egy hihető forgatókönyvvel, például egy ügyfélszolgálati hívás révén épít bizalmat, majd jelszót, fizetést vagy egy nyitva tartott ajtót kér.

Hol kezdjem

Válassz ki egy példát, és mutasd be a következő csapatmegbeszélésen. Ha csak egyetlen példára van időd, légy szemléletes, majd kérdezd meg mindenkitől, mit tennének a következő váratlan hívás esetén.