Socialinės inžinerijos pavyzdžiai: 15 atakų ir kaip jas sustabdyti

Socialinė inžinerija, JAV kibernetinio saugumo ir infrastruktūros saugumo agentūros (CISA) žodžiais tariant, yra ataka, kai „Užpuolikas naudoja žmonių sąveiką (socialinius įgūdžius), kad gautų arba pažeistų informaciją apie organizaciją ar jos kompiuterines sistemas“Tai veikia, nes taikosi į žmones, o ne į programinę įrangą. „Verizon“ 2026 m. duomenų saugumo pažeidimų tyrimų ataskaitoje nustatyta, kad... 62 % pažeidimų buvo žmogiškasis veiksnys, palyginti su 60 % ankstesniais metais.

Pateikiame 15 socialinės inžinerijos pavyzdžių, suskirstytų į 3 rinkinius po 5 pavyzdžius. Kiekvienas iš jų turi raudoną vėliavėlę, į kurią reikia atkreipti dėmesį, ir veiksmų planą, kurio reikia imtis. 1 rinkinys apima sukčiavimo apsimetant atakas, 2 rinkinys – pretekstų gavimą ir apsimetinėjimą kitu asmeniu, o 3 rinkinys – fizinius išpuolius ir masalų siuntimą. Kiekvienas rinkinys baigiasi... Mūsų pasirinkimas, pavyzdys, kurį apmokytume pirmiausia, su vienos eilutės priežastimi.

Visos toliau pateiktos įmonių, žmonių ir žinučių pavyzdžių yra išgalvotos.

1 rinkinys: Sukčiavimo apsimetantieji

1. Sukčiavimas el. paštu. Žinutėje, kuri atrodo lyg būtų atsiųsta iš banko, tiekėjo ar jūsų IT komandos, prašoma spustelėti nuorodą ir prisijungti. CISA teigia, kad sukčiavimo atakos naudoja el. paštą arba kenkėjiškas svetaines, kad galėtų prašyti asmeninės informacijos apsimetant patikima organizacija. Raudona vėliava: siuntėjo adresas, imituojantis tikrą įmonę, bendro pobūdžio pasisveikinimas, pvz., „Gerbiamas kliente“, arba nuoroda, kurios adresas neatitinka teksto, kai užvedate ant jos pelės žymeklį. Sustabdyti: Nespustelėkite. Eikite į svetainę patys įvesdami adresą arba praneškite apie pranešimą.
2. Sukčiavimas ietimi. Tas pats triukas, skirtas vienam asmeniui. Siuntėjas naudoja jūsų vardą, jūsų vadovo vardą ir projektą, prie kurio iš tikrųjų dirbate, o visa tai galima sugrupuoti iš viešos informacijos. Raudona vėliava: keistai konkretus, tačiau nebūdingas prašymas, pavyzdžiui, „atsiųskite man „Atlas“ sutartį šiandien“. Sustabdyti: paklauskite siuntėjo kitu kanalu, pavyzdžiui, paskambinę numeriu, kurį jau turite.
3. Šlykštus. Sukčiavimas tekstinėmis žinutėmis. CISA aprašo šypsodamasis kaip socialinė inžinerija, kai išnaudojamos SMS žinutės su nuorodomis, numeriais ar adresais, kurie paspaudus atidaro naršyklę arba surenka skambutį. Raudona vėliava: SMS žinutė „siuntinys sulaikytas“ arba „sąskaita užrakinta“ su trumpa nuoroda. Sustabdyti: ištrinkite jį ir patys atidarykite tikrąją programėlę ar svetainę.
4. Vishing. Sukčiavimas balsu. CISA praneša vizavimas naudoja balso skambučius ir skambinančiojo ID gali būti suklastotas, todėl skambutis, kuriame rodomas pažįstamas vardas, nieko neįrodo. Raudona vėliava: skambinantysis, kuris daro spaudimą ir prašo kodo ar slaptažodžio. Sustabdyti: padėkite ragelį ir perskambinkite numeriu, nurodytu sąskaitos išraše arba įmonės svetainėje.
5. QR kodo sukčiavimas. QR kodas slepia adresą, į kurį jis veda. FTB perspėjo apie... nepageidaujami paketai su QR kodu kuris prašo gavėjo asmeninės ir finansinės informacijos arba įdiegia duomenis vagiančią programinę įrangą. Raudona vėliava: kodas, kurio nesitikėjote, be siuntėjo informacijos. Sustabdyti: Neskaitykite QR kodų iš nežinomos kilmės.

Mūsų pasirinkimas: 4 pavyzdys, vizhing. „Verizon“ nustatė, kad sukčiavimo apsimetant modeliais metu vidutinis paspaudimų dažnis mobiliesiems įrenginiams skirtų vektorių, tokių kaip balso ir teksto pranešimai, buvo 40 % daugiau nei el. paštu. Žmonės išmoko nepasitikėti el. paštu greičiau nei telefono skambučiu.

2 rinkinys: pretekstas ir apsimetinėjimas kitu asmeniu

„Verizon“ preteksto siuntimą apibrėžia kaip užpuoliko taktiką, kuria Patikimi santykiai kuriami išgalvotų scenarijų pagalba siekiant apgauti vartotoją ir priversti jį atlikti veiksmą, kuris kenkia organizacijai, dažnai balsu, bet taip pat el. paštu ar tekstinėmis žinutėmis. 2026 m. ataskaitoje tai sudarė 6 % visų pažeidimų, palyginti su 16 % sukčiavimo atvejų.

6. Generalinio direktoriaus sukčiavimas ir verslo el. pašto nutekėjimas. FTB interneto nusikaltimų skundų centras (IC3) apibrėžia verslo el. pašto kompromisas (BEC) kaip sukčiavimo schema, kuria siekiama nukreipti dėmesį į įmones ir kuri, naudodamasi pažeistomis el. pašto paskyromis bei kitais ryšio kanalais, vykdo neteisėtus lėšų pervedimus. 2025 m. IC3 užregistravo 24 768 skundus dėl BEC ir pranešė apie 3.05 mlrd. USD nuostolių. Raudona vėliava: skubus vyresniojo vadovo prašymas sumokėti arba nupirkti dovanų kortelių su pastaba „niekam nesakykite“. Sustabdyti: patvirtinti bet kokį mokėjimo prašymą telefonu arba asmeniškai.
7. Netikra IT pagalba. Kažkas teigia esąs iš pagalbos tarnybos ir jam reikia jūsų slaptažodžio arba nuotolinės prieigos, kad „išspręstų problemą“. Gautas IC3 kodas. 47 794 skundai dėl techninės pagalbos 2025 m., o nuostoliai, apie kuriuos pranešta, viršija 2.1 mlrd. USD. Raudona vėliava: Pirmiausia su jumis susisieks IT skyrius ir paprašys slaptažodžio arba vienkartinio kodo. Sustabdyti: Tikroms IT komandoms jūsų slaptažodžio nereikia. Padėkite ragelį ir pateikite užklausą įprastu būdu.
8. Tiekėjo sąskaitos faktūros pakeitimas. El. laiške, matyt, iš įprasto tiekėjo, teigiama, kad pasikeitė jo banko duomenys. IC3 BEC apibrėžimas apima sukčiavimo atvejus, kuriais siekiama... įmonės, dirbančios su tiekėjais ir reguliariai atliekančios pavedimus. Raudona vėliava: nauji banko duomenys su mokėjimo terminu. Sustabdyti: Prieš ką nors keisdami, paskambinkite tiekėjui numeriu, kuris jau yra jūsų byloje.
9. Netikras verbuotojas. „Įdarbintojas“ kreipiasi į darbuotoją, kurio pareigos atrodo kaip paaukštinimas, tada paprašo asmeninių dokumentų arba testo užduoties, kurią reikia atsisiųsti. IC3 gavo 24 688 skundai dėl sukčiavimo įdarbinimo srityje 2025 m.. Raudona vėliava: pasiūlymas, į kurį nesikreipėte, sparčiais žingsniais. Sustabdyti: Patikrinkite įdarbintojo informaciją įmonės karjeros puslapyje ir niekada neįdiekite programinės įrangos pokalbiui.
10. Gilus dirbtinis balsas. Klonuotas balsas, skambantis taip, lyg jūsų direktorius prašytų skubaus mokėjimo. IC3 sako: Balso klonavimas gali būti naudojamas norint paprašyti mokėjimo pavedimu ir kad įmonės pranešė apie daugiau nei 30 mln. USD nuostolius 2025 m. dėl BEC sukčiavimo, susijusio su dirbtiniu intelektu. Raudona vėliava: balso žinutė arba skambutis, raginantis jus veikti prieš jums spėjant patikrinti. Sustabdyti: susitarti dėl kodinio žodžio arba atšaukimo taisyklės mokėjimams, todėl įtikinamo balso nepakanka.

Mūsų pasirinkimas: 6 pavyzdys, generalinio direktoriaus sukčiavimas ir BEC. Tai brangiausias pavyzdys, IC3 2025 m. duomenyse lenkiantis net techninės pagalbos sukčiavimo atvejus, o stabdymo veiksmas yra pigus: vienas telefono skambutis žinomu numeriu prieš pervedant pinigus.

3 rinkinys: Fiziniai išpuoliai ir masalas

Šioms atakoms nereikia klaviatūros. Jos svarbios, nes pastate esantis nepažįstamasis gali pasiekti tai, ką apsaugo užkarda.

11. Stabdymas uodegoje. Kažkas seka tave pro saugias duris, „nes jų rankos užimtos“. Raudona vėliava: žmogus be ženklelio, kuris yra atsipalaidavęs ir draugiškas. Sustabdyti: mandagiai paprašykite jų patiems prisiregistruoti arba palydėkite juos iki registratūros.
12. Masalas su USB atmintinėmis. Automobilių stovėjimo aikštelėje arba vestibiulyje paliekama USB atmintinė su užrašu „Atlyginimų peržiūra 2027“. Raudona vėliava: bet kokį išimamą diską, kurio nepirkote. Sustabdyti: Niekada nejunkite rasto įrenginio į elektros tinklą. Perduokite jį IT skyriui, kuris gali jį saugiai apžiūrėti.
13. Pečių banglenčių sportas. Kažkas skaito jūsų ekraną arba stebi, kaip traukinyje ar prie karštojo stalo įvedate PIN kodą. Raudona vėliava: asmuo stovi per arti ekrano arba laiko telefoną nukreipęs į jį. Sustabdyti: naudokite privatumo filtrą, užrakinkite ekraną, kai atsitraukiate, ir atsisėskite nugara į sieną.
14. Nardymas šiukšliadėžėse. Į paprastą šiukšliadėžę išmesti atspausdinti el. laiškai, organizacinės schemos ir susitikimų užrašai suteikia užpuolikui vardus, telefono numerius ir projektų pavadinimus kitam skambučiui. Raudona vėliava: popierius su vardais ar skaičiais atvirame šiukšliadėžėje. Sustabdyti: naudokite smulkintuvą arba užrakintą šiukšliadėžę ir laikykitės švaraus stalo įpročio.
15. Netikras pristatymas. Kurjeris su firminiu švarku paprašo įleisti jį pro registratūrą arba palikti siuntinį serverių kambaryje. Raudona vėliava: pristatymas, kurio niekas neužsakė, arba pristatymas, kurio negalima pristatyti į registratūrą. Sustabdyti: Pasiimkite jį registratūroje ir netikėtus siuntinius patikrinkite su asmeniu, nurodytu ant etiketės.

Mūsų pasirinkimas: 11 pavyzdys, lenktynės su užpakaliu. Tam nereikia jokių įgūdžių ir jis nieko nekainuoja, o geros manieros yra tai, kas leidžia tai padaryti. Pateikite darbuotojams mandagų scenarijų, kad mesti iššūkį kitam jaustųsi normalu, o ne nemandagu.

Kaip sustabdyti visus 15

15 pavyzdžių turi vieną bendrą bruožą: jie skatina veikti greitai ir savarankiškai. Trys įpročiai tai sulaužo.

1. Patikrinkite per antrą kanalą. Jei prašymas susijęs su pinigais, slaptažodžiu, kodu ar prieiga, patvirtinkite jį kitu būdu, naudodami jau turimus kontaktinius duomenis. CISA pataria, kad jei nesate tikri, ar prašymas yra tikras, pasitikrinkite tai susisiekdami tiesiogiai su įmone, o ne su pranešime pateikta kontaktine informacija.
2. Pranešti apie tai. CISA patarimas įtariamo sukčiavimo atveju yra toks: pranešti apie pranešimą ir tada jį ištrinti. Pranešti apie tai paverskite vieno paspaudimo įpročiu be kaltinimų, kad pirmasis ką nors pastebėjęs asmuo įspėtų visus kitus.
3. Lėčiau. CISA sąrašai skubi arba emociškai patraukli kalba vienas iš dažniausių sukčiavimo apsimetant požymių. CISA taip pat pažymi, kad nepriekaištinga gramatika nebėra saugumo įrodymas, nes kai kurie el. laiškai dabar yra parašyti nepriekaištingai dėl dirbtinio intelekto. Kai pranešimas reikalauja greičio, tai yra signalas pristabdyti.

Įpročiai išlieka mokymais. Žmogiškasis elementas yra 62 % pažeidimų dalis. „Verizon“ 2026 m. ataskaitakomanda, kuri yra praktikavusi pastebėti šiuos 15 pavyzdžių, yra tikra jūsų gynybos dalis. Platesnę programą rasite mūsų vadove kibernetinio saugumo suvokimo mokymai.

Būdai surengti socialinės inžinerijos sesiją su AhaSlides

Pateikite 15 pavyzdžių tiesiogiai, kambaryje arba vaizdo skambučio metu, o atsakymus matysite ekrane, žmonėms reaguojant.

1. Pasirinkite atsakymą: „Tikra ar sukčiavimas?“ Kiekvienam pavyzdžiui parodykite sugalvotą žinutę ir paklauskite, ar ji tikra. Atidarykite įspėjamąją vėliavėlę ir aptarkite.
2. Žodžių debesis: „Dažniausiai pasitaikanti apgaulė“. Didžiausias žodis parodo, ką pirmiausia reikia praktikuoti.
3. Vertinimo skalė: „Kiek užtikrintai pastebite klastotę?“ Paprašykite įvertinti nuo 1 iki 5 prieš sesiją ir po jos ir palyginkite vidurkius.
4. Atviras klausimas: „Gavau įtartiną pranešimą“. Surinkite realius pavyzdžius be vardų ir geriausią iš jų naudokite kaip kito etapo scenarijų.

Sukčiavimo apsimetant ir socialine inžinerija kurso šablone yra paruoštos skaidrės, kurias galite pritaikyti, o „Vidinės grėsmės suvokimo“ šablonas yra geras tęsinys visai komandai.

Dažnai užduodami klausimai

Kokie yra socialinės inžinerijos pavyzdžiai?

Sukčiavimas apsimetant, gavus pretekstą, jaukinant ir bandant gaudyti asmenis, yra pagrindiniai jų pavyzdžiai. Šiame įraše išvardyta 15 tokių atvejų – nuo ​​sukčiavimo el. paštu ir apgaulės iki netikro IT palaikymo, jaukinimo USB atmintinėmis ir netikrų pristatymų.

Koks yra labiausiai paplitęs socialinės inžinerijos tipas?

Sukčiavimas apsimetant. „Verizon“ 2026 m. ataskaitoje nurodoma, kad sukčiavimas apsimetant sudaro 16 % visų pažeidimų, palyginti su 6 % dėl pretekstų, o IC3 2025 m. gavo 191 561 skundą dėl sukčiavimo ir klastojimo.

Kaip užkirsti kelią socialinei inžinerijai?

Patikrinkite užklausas per antrą kanalą ir praneškite apie įtartinas. Pridėkite trumpus, reguliarius mokymus, nes atakos keičiasi greičiau nei bet kokie vienkartiniai kursai.

Kas yra pretekstas?

Išgalvota istorija, naudojama informacijai gauti arba prieigai gauti. Užpuolikas pasitikėjimą kuria įtikinamu scenarijumi, pavyzdžiui, pagalbos tarnybos skambučiu, o tada paprašo slaptažodžio, mokėjimo arba laikyti atidarytas duris.

Kur pradėti

Pasirinkite vieną rinkinį ir pateikite jį kitame komandos susitikime. Jei turite laiko tik vienam pavyzdžiui, pateikite jį vizionariniu būdu, tada paklauskite visų, ką jie darytų kito netikėto skambučio metu.