הנדסה חברתית היא, במילותיה של סוכנות הסייבר והתשתיות האמריקאית (CISA), מתקפה שבה "תוקף משתמש באינטראקציה אנושית (מיומנויות חברתיות) כדי להשיג או לסכן מידע על ארגון או על מערכות המחשב שלו"זה עובד כי זה מכוון לאנשים, לא לתוכנה. דו"ח חקירות פרצות נתונים של ורייזון לשנת 2026 מצא את... גורם אנושי היה נוכח ב-62% מהפריצות, עלייה לעומת 60% בשנה הקודמת.
הנה 15 דוגמאות להנדסה חברתית ב-3 סטים של 5. כל אחת מגיעה עם דגל אדום לחפש ופעולת עצירה שיש לנקוט. סט 1 מכסה את משפחת הפישינג, סט 2 מכסה תירוצים והתחזות, וסט 3 מכסה התקפות פיזיות ופיתיונות. כל סט מסתיים ב... הבחירה שלנו, הדוגמה שנאמן ראשונה, עם נימוק בת שורה אחת.
כל החברות, האנשים וההודעות לדוגמה שלהלן הן המצאה.
סט 1: משפחת הפישינג
- פישינג בדוא"ל. הודעה שנראית כאילו הגיעה מבנק, מספק או מצוות ה-IT שלך מבקשת ממך ללחוץ על קישור ולהיכנס. CISA טוען כי התקפות פישינג משתמשות בדוא"ל או באתרים זדוניים כדי לבקש מידע אישי על ידי התחזות לארגון אמין. דגל אדום: כתובת שולח המחקה עסק אמיתי, ברכה כללית כגון "לקוח יקר", או קישור שכתובתו אינה תואמת את הטקסט כשמעבירים את העכבר מעליו. עצור: אל תלחץ. עבור לאתר על ידי הקלדת הכתובת בעצמך, או דווח על ההודעה.
- פישינג ספיר. אותו טריק, מכוון לאדם אחד. השולח משתמש בשמך, בשם המנהל שלך ובפרויקט שאתה באמת עובד עליו, שניתן לחבר אותו יחד ממידע ציבורי. דגל אדום: בקשה ספציפית באופן מוזר אך לא אופיינית, כמו "שלח לי את חוזה האטלס היום". עצור: לשאול את השולח בערוץ אחר, כגון שיחה למספר שכבר יש לך.
- Smishing. פישינג באמצעות הודעת טקסט. CISA מתאר מחייך כהנדסה חברתית שמנצלת הודעות SMS, עם קישורים, מספרים או כתובות שפותחים דפדפן או מחייגים שיחה בעת לחיצה עליהם. דגל אדום: טקסט "חבילה בהמתנה" או "חשבון נעול" עם קישור קצר. עצור: מחק אותו ופתח את האפליקציה או האתר האמיתיים בעצמך.
- וישינג. פישינג באמצעות קול. CISA אומר מאחל משתמש בשיחות קוליות וניתן לזייף את מזהה המתקשר, כך ששיחה שמציגה שם מוכר לא מוכיחה כלום. דגל אדום: מתקשר שיוצר לחץ ומבקש קוד או סיסמה. עצור: לנתק ולהתקשר בחזרה למספר המודפס בדף החשבון או באתר האינטרנט של החברה.
- פישינג באמצעות קוד QR. קוד QR מסתיר את הכתובת שאליה הוא מוביל. ה-FBI הזהיר מפני חבילות לא רצויות המכילות קוד QR שמבקש מהנמען מידע אישי ופיננסי או מתקין תוכנה לגניבת נתונים. דגל אדום: קוד שלא ציפית לו, ללא פרטי שולח. עצור: אין לסרוק קודי QR ממקורות לא ידועים.
הבחירה שלנו: דוגמה 4, וישינג. ורייזון מצאה שבסימולציות פישינג, שיעור הקליקים החציוני ב- וקטורים ממוקדי מובייל כמו הודעות קוליות וטקסט היו גבוהים ב-40% מאשר באמצעות דוא"ל. אנשים למדו לא לבטוח בדוא"ל מהר יותר מאשר למדו לא לבטוח בשיחת טלפון.
קבוצה 2: תירוצים והתחזות
ורייזון מגדירה תירוצים כטקטיקת תוקף שבה מערכת יחסים אמינה נבנית באמצעות תרחישים מבוימים כדי להערים על המשתמש לבצע פעולה שפוגעת בארגון, לעתים קרובות באמצעות קול אך גם באמצעות דואר אלקטרוני או הודעת טקסט. היא הגיעה ל-6% מכלל הפרצות בדוח 2026, לעומת 16% עבור פישינג.
- הונאת מנכ"ל ופגיעה בדוא"ל עסקי. מרכז התלונות על פשעי אינטרנט (IC3) של ה-FBI מגדיר פגיעה באימייל עסקי (BEC) כתרמית שמכוונה לעסקים ופועלת דרך חשבונות דוא"ל פרוצים ותקשורת אחרת כדי לגרום להעברות כספים לא מורשות. בשנת 2025, IC3 רשמה 24,768 תלונות על BEC והפסדים מדווחים של כ-3.05 מיליארד דולר. דגל אדום: בקשה דחופה ממנהל בכיר לתשלום או לרכישת כרטיסי מתנה, עם כתוב "אל תגלו לאף אחד". עצור: לאשר כל בקשת תשלום בטלפון או באופן אישי.
- תמיכת IT מזויפת. מישהו טוען שהוא ממרכז התמיכה וצריך את הסיסמה או הגישה מרחוק שלך "כדי לתקן בעיה". IC3 התקבל. 47,794 תלונות על תמיכה טכנית בשנת 2025, עם הפסדים מדווחים של מעל 2.1 מיליארד דולר. דגל אדום: מחלקת ה-IT תפנה אליך תחילה ותבקש סיסמה או קוד חד פעמי. עצור: צוותי IT אמיתיים לא צריכים את הסיסמה שלך. נתקו את השיחה והגישו פנייה בדרך הרגילה.
- שינוי חשבונית ספק. אימייל, ככל הנראה מספק קבוע, מציין שפרטי הבנק שלו השתנו. הגדרת ה-BEC של IC3 כוללת הונאות המכוונות עסקים שעובדים עם ספקים ומבצעים העברות בנקאיות באופן קבוע. דגל אדום: פרטי בנק חדשים עם מועד אחרון לתשלום. עצור: התקשרו לספק למספר שכבר רשום ברשימתכם לפני שאתם משנים משהו.
- מגייס מזויף. "מגייס" ניגש לאיש צוות עם תפקיד שנראה כמו קידום, ואז מבקש מסמכים אישיים, או משימת בדיקה הדורשת הורדה. IC3 התקבל. 24,688 תלונות על הונאות תעסוקה בשנת 2025. דגל אדום: הצעה שלא הגשת מועמדות אליה, עם צעדים מהירים. עצור: בדקו את המגייס דרך דף הקריירה של החברה עצמה, ולעולם אל תתקינו תוכנה לראיון.
- קול דיפ פייק. קול משוכפל שנשמע כאילו הבמאי שלך מבקש תשלום דחוף. IC3 אומר ניתן להשתמש בשיבוט קולי כדי לבקש תשלום בנקאי וכי עסקים דיווחו על הפסדים של למעלה מ-30 מיליון דולר בשנת 2025 עקב הונאות BEC הכרוכות בבינה מלאכותית. דגל אדום: הודעה קולית או שיחה שדוחפת אותך לפעול לפני שאתה מספיק לבדוק. עצור: להסכים על מילת קוד או כלל התקשרות חוזרת לתשלומים, כך שקול משכנע אינו מספיק.
הבחירה שלנו: דוגמה 6, הונאת מנכ"לים ו-BEC. זוהי הדוגמה היקרה ביותר כאן, אפילו לפני הונאות תמיכה טכנית בנתוני IC3 לשנת 2025, ופעולת העצירה זולה: שיחת טלפון אחת למספר ידוע לפני שכל כסף מועבר.
סט 3: התקפות פיזיות ופיתיונות
התקפות אלה אינן דורשות מקלדת. הן חשובות משום שזר בבניין יכול להגיע למה שחומת אש מגינה עליו.
- טיילגייטינג. מישהו עוקב אחריך דרך דלת מאובטחת "כי ידיו עסוקות". דגל אדום: אדם ללא תג, רגוע וידידותי. עצור: לבקש מהם בנימוס להיכנס עם התג בעצמם, או ללוות אותם לקבלה.
- פיתיון עם כונני USB. דיסק און קי שכותרתו "סקירת שכר 2027" מושאר בחניון או בלובי. דגל אדום: כל כונן נשלף שלא קניתם. עצור: לעולם אל תחברו מכשיר שנמצא. מסרו אותו לצוות ה-IT, שיוכל לבדוק אותו בבטחה.
- גלישת כתפיים. מישהו קורא את המסך שלך או צופה בך מקליד קוד סודי ברכבת או ליד שולחן עבודה חם. דגל אדום: אדם שעומד קרוב מדי או מכוון טלפון אל המסך שלך. עצור: השתמש במסנן פרטיות, נעל את המסך כשאתה מתרחק ושב עם הגב לקיר.
- צלילה באמצעות פחי אשפה. מיילים מודפסים, תרשימי ארגון וסיכומי פגישות שנזרקים לפח אשפה רגיל נותנים לתוקף שמות, מספרי טלפון ותארים של פרויקטים לשיחה הבאה. דגל אדום: נייר עם שמות או מספרים בפח פתוח. עצור: השתמשו במגרסה או בפח נעול, ושמרו על הרגל של שולחן עבודה פנוי.
- משלוח מזויף. שליח בז'קט ממותג מבקש שיכניסו אותו מעבר לקבלה, או להשאיר חבילה בחדר השרתים. דגל אדום: משלוח שאף אחד לא הזמין, או משלוח שלא יכול להגיע לקבלה. עצור: קח את זה בדלפק הקבלה, ובדוק חבילות בלתי צפויות עם האדם ששמו מופיע על התווית.
הבחירה שלנו: דוגמה 11, טיילגייטינג. זה לא דורש מיומנות ולא עולה כסף, ונימוסים טובים הם מה שגורם לזה לעבוד. תנו לצוות תסריט מנומס, כך שאתגר מישהו ירגיש נורמלי ולא גס רוח.
איך לעצור את כל 15
ל-15 הדוגמאות יש דבר אחד במשותף: הן דוחפות אותך לפעול מהר ולפעול לבד. שלושה הרגלים שוברים את זה.
- אימות דרך ערוץ שני. אם בקשה כרוכה בכסף, סיסמה, קוד או גישה, אשר אותה בדרך אחרת, באמצעות פרטי קשר שכבר יש לך. CISA ממליצה שאם אינך בטוח אם בקשה אמיתית, לאמת זאת על ידי פנייה ישירה לחברה, ולא עם פרטי הקשר שסופקו בהודעה.
- דווח על זה. העצה של CISA לחשד לפישינג היא דווח על ההודעה ולאחר מכן למחוק אותו. הפוך את הדיווח להרגל של לחיצה אחת, ללא אשמה, כך שהאדם הראשון שמזהה משהו יזהיר את כולם.
- האט. רשימות CISA שפה דחופה או מושכת רגשית בין הסימנים הנפוצים של פישינג. CISA מציינת גם שדקדוק מושלם כבר אינו הוכחה לבטיחות, מכיוון שחלק מהאימיילים כוללים כעת איות מושלם הודות לבינה מלאכותית. כאשר הודעה דורשת מהירות, זהו האות להשהות.
אימון הוא הדרך בה הרגלים נצמדים. כאשר הגורם האנושי נוכח ב-62% מההפרות, לכל דו"ח 2026 של ורייזון, צוות שתרגל את זיהוי 15 הדוגמאות הללו הוא חלק ממשי מההגנה שלך. לתוכנית רחבה יותר, עיין במדריך שלנו ל אימון למודעות לאבטחת סייבר.
דרכים לארח מפגש הנדסה חברתית עם AhaSlides
הפעילו את 15 הדוגמאות בשידור חי, בחדר או בשיחת וידאו, כאשר התשובות מוצגות על המסך בזמן שאנשים מגיבים.
- בחר תשובה: "אמיתי או דיוג?" הציגו מסר מומצא לכל דוגמה ושאלו האם הוא אמיתי. חשפו את הדגל האדום ודנו.
- ענן מילים: "ההונאה שאתם מקבלים הכי הרבה". המילה הגדולה ביותר מראה מה לתרגל קודם.
- סולם דירוג: "עד כמה אתה בטוח בזיהוי זיוף?" בקשו דירוג מ-1 עד 5 לפני ואחרי הפגישה, והשוו את הממוצעים.
- פתוח: "הודעה חשודה שקיבלתי". אספו דוגמאות אמיתיות, ללא שמות, והשתמשו בטוב ביותר כתרחיש של הסיבוב הבא.
תבנית הקורס פישינג והנדסה חברתית מספקת לכם שקופיות מוכנות להתאמה, ותבנית המודעות לאיומים של Insider היא המשך טוב לכל הצוות.
שאלות נפוצות
מהן דוגמאות להנדסה חברתית?
פישינג, תירוצים, הטעיה ו"טיילגייטינג" הם העיקריים שבהם. פוסט זה מפרט 15, החל מפישינג בדוא"ל ו"וישינג" ועד לתמיכה מזויפת ב-IT, הטעיה באמצעות USB ומשלוחים מזויפים.
מהו סוג ההנדסה החברתית הנפוץ ביותר?
פישינג. הדו"ח של ורייזון לשנת 2026 מציב פישינג כ-16% מכלל הפרצות, לעומת 6% עבור תירוצים, ו-IC3 קיבלה 191,561 תלונות על פישינג וזיוף בשנת 2025.
איך מונעים הנדסה חברתית?
אימות בקשות דרך ערוץ שני ודיווח על בקשות חשודות. הוספת אימון קצר וקבוע, מכיוון שההתקפות משתנות מהר יותר מכל קורס חד פעמי.
מהי תירוץ?
סיפור בדוי המשמש להשגת מידע או גישה. התוקף בונה אמון באמצעות תרחיש אמין, כגון שיחת טלפון למוקד תמיכה, ולאחר מכן מבקש סיסמה, תשלום או דלת פתוחה.
איפה להתחיל
בחרו קבוצה אחת והפעילו אותה בפגישת הצוות הבאה שלכם. אם יש לכם זמן רק לדוגמה אחת, הפכו אותה לוויזינג, ואז שאלו את כולם מה הם היו עושים בשיחה הבלתי צפויה הבאה.
