Sociālās inženierijas piemēri: 15 uzbrukumi un kā tos apturēt

Sociālā inženierija, pēc ASV Kiberdrošības un infrastruktūras drošības aģentūras (CISA) vārdiem, ir uzbrukums, kurā "uzbrucējs izmanto cilvēku mijiedarbību (sociālās prasmes), lai iegūtu vai kompromitētu informāciju par organizāciju vai tās datorsistēmām"Tas darbojas, jo ir vērsts pret cilvēkiem, nevis programmatūru. Verizon 2026. gada datu pārkāpumu izmeklēšanas ziņojumā tika konstatēts, ka cilvēciskais faktors bija klātesošs 62% pārkāpumu, kas ir par 60 % vairāk nekā iepriekšējā gadā.

Šeit ir 15 sociālās inženierijas piemēri 3 komplektos pa 5 piemēriem. Katram no tiem ir pievienots brīdinājuma signāls un veicamā apturēšanas darbība. 1. komplekts aptver pikšķerēšanas veidus, 2. komplekts aptver ieganstu izmantošanu un personības uzdošanos, bet 3. komplekts aptver fiziskus uzbrukumus un ēsmu. Katrs komplekts beidzas ar Mūsu izvēle, piemērs, kuru mēs apmācītu vispirms, ar vienas rindiņas iemeslu.

Visi tālāk norādītie uzņēmumu, cilvēku un ziņojumu piemēri ir izdomāti.

1. kopa: Pikšķerēšanas saime

1. E-pasta pikšķerēšana. Ziņojumā, kas izskatās tā, it kā tas būtu sūtīts no bankas, piegādātāja vai jūsu IT komandas, tiek lūgts noklikšķināt uz saites un pierakstīties. CISA apgalvo, ka pikšķerēšanas uzbrukumi izmanto e-pastu vai ļaunprātīgas tīmekļa vietnes, lai pieprasīt personas informāciju, izliekoties par uzticamu organizāciju. Sarkanais karogs: sūtītāja adrese, kas atdarina īstu uzņēmumu, vispārīgs sveiciens, piemēram, "Cienījamais klient," vai saite, kuras adrese neatbilst tekstam, kad virs tās virzāt kursoru. Pietura: Neklikšķiniet. Dodieties uz vietni, pats ierakstot adresi, vai ziņojiet par ziņojumu.
2. Šķēpa pikšķerēšana. Tas pats triks, kas vērsts pret vienu personu. Sūtītājs izmanto jūsu vārdu, jūsu vadītāja vārdu un projektu, pie kura jūs patiešām strādājat, un to visu var salikt kopā no publiski pieejamas informācijas. Sarkanais karogs: pieprasījums, kas ir dīvaini specifisks, tomēr neatbilstošs raksturam, piemēram, "atsūtiet man Atlas līgumu šodien". Pietura: pajautājiet sūtītājam citā kanālā, piemēram, zvanot uz numuru, kas jums jau ir.
3. Smiling. Pikšķerēšana ar īsziņu. CISA apraksta smishing kā sociālā inženierija, kas izmanto īsziņas ar saitēm, numuriem vai adresēm, kas, pieskaroties tām, atver pārlūkprogrammu vai veic zvanu. Sarkanais karogs: īsziņa ar tekstu "sūtījums ir aizturēts" vai "konts bloķēts" ar īsu saiti. Pietura: izdzēsiet to un pats atveriet īsto lietotni vai vietni.
4. Vishing. Pikšķerēšana ar balsi. CISA saka. redzams izmanto balss zvanus un zvanītāja ID var tikt viltots, tāpēc zvans, kurā redzams pazīstams vārds, neko nepierāda. Sarkanais karogs: zvanītājs, kurš rada spiedienu un pieprasa kodu vai paroli. Pietura: nolieciet klausuli un atzvaniet uz numuru, kas norādīts izrakstā vai uzņēmuma tīmekļa vietnē.
5. QR koda pikšķerēšana. QR kods slēpj adresi, uz kuru tas ved. FBI ir brīdinājis par nevēlamas pakas, kas satur QR kodu kas lūdz saņēmējam sniegt personisku un finanšu informāciju vai instalē datu zādzības programmatūru. Sarkanais karogs: kods, kuru negaidījāt, bez sūtītāja informācijas. Pietura: Neskenējiet QR kodus no nezināmas izcelsmes.

Mūsu izvēle: 4. piemērs, vishing. Verizon atklāja, ka pikšķerēšanas simulācijās vidējais klikšķu skaits mobilo ierīču orientētu vektoru, piemēram, balss un īsziņu, izmantošana bija par 40 % augstāka nekā pa e-pastu. Cilvēki ir iemācījušies neuzticēties e-pastam ātrāk nekā neuzticēties telefona zvanam.

2. kopa: Ieganstu izteikšana un personības uzdošanās

Verizon definē ieganstu sūtīšanu kā uzbrucēja taktiku, kurā uzticamas attiecības tiek veidotas, izmantojot izdomātus scenārijus lai maldinātu lietotāju darbībā, kas apdraud organizāciju, bieži vien ar balss palīdzību, bet arī ar e-pasta vai īsziņu starpniecību. 2026. gada ziņojumā tas sasniedza 6 % no visiem pārkāpumiem, salīdzinot ar 16 % pikšķerēšanas gadījumā.

6. Izpilddirektora krāpšana un biznesa e-pasta apdraudējums. FBI interneta noziegumu sūdzību centrs (IC3) definē biznesa e-pasta kompromiss (BEC) kā krāpnieciska shēma, kas vērsta pret uzņēmumiem un darbojas, izmantojot kompromitētus e-pasta kontus un citus saziņas līdzekļus, lai izraisītu neatļautus līdzekļu pārskaitījumus. 2025. gadā IC3 reģistrēja 24 768 sūdzības par BEC un ziņoja par zaudējumiem aptuveni 3.05 miljardu ASV dolāru apmērā. Sarkanais karogs: Steidzams vecākā vadītāja pieprasījums apmaksāt vai iegādāties dāvanu kartes ar norādi "nestāstiet nevienam". Pietura: apstipriniet jebkuru maksājuma pieprasījumu pa tālruni vai klātienē.
7. Viltus IT atbalsts. Kāds apgalvo, ka ir no palīdzības dienesta un viņam ir nepieciešama jūsu parole vai attālā piekļuve, "lai novērstu problēmu". Saņemts IC3. 47 794 tehniskā atbalsta sūdzības 2025. gadā, ar ziņotajiem zaudējumiem, kas pārsniedz 2.1 miljardu ASV dolāru. Sarkanais karogs: Vispirms ar jums sazinās IT komanda un lūdz paroli vai vienreizēju kodu. Pietura: Īstām IT komandām jūsu parole nav nepieciešama. Nolieciet klausuli un iesniedziet pieprasījumu, izmantojot parasto ceļu.
8. Pārdevēja rēķina maiņa. E-pastā, kas acīmredzot ir no regulāra piegādātāja, teikts, ka tā bankas dati ir mainījušies. IC3 BEC definīcija aptver krāpniecības, kuru mērķis ir uzņēmumi, kas sadarbojas ar piegādātājiem un regulāri veic bankas pārskaitījumus. Sarkanais karogs: jauni bankas dati ar maksājuma termiņu. Pietura: Pirms kaut ko mainīt, piezvaniet piegādātājam uz numuru, kas jau ir reģistrēts.
9. Viltus vervētājs. "Personāla atlases speciālists" vēršas pie darbinieka, kura amats izskatās pēc paaugstinājuma amatā, un pēc tam lūdz iesniegt personiskos dokumentus vai testa uzdevumu, kas jālejupielādē. IC3 saņemts. 24 688 sūdzības par krāpniecību nodarbinātības jomā 2025. gadā. Sarkanais karogs: piedāvājums, uz kuru nepieteicāties, ar straujiem soļiem. Pietura: Pārbaudiet personāla atlases speciālistu uzņēmuma karjeras lapā un nekad neinstalējiet programmatūru intervijai.
10. Dziļi viltota balss. Klonēta balss, kas izklausās tā, it kā jūsu direktors pieprasītu steidzamu maksājumu. IC3 saka: Balss klonēšanu var izmantot, lai pieprasītu bankas pārskaitījumu un ka uzņēmumi ziņoja par zaudējumiem vairāk nekā 30 miljonu ASV dolāru apmērā 2025. gadā BEC krāpniecību dēļ, kas saistītas ar mākslīgo intelektu. Sarkanais karogs: balss ziņojums vai zvans, kas mudina jūs rīkoties, pirms varat pārbaudīt. Pietura: vienoties par koda vārdu vai atzvanīšanas noteikumu maksājumiem, tāpēc ar pārliecinošu balsi vien nepietiek.

Mūsu izvēle: 6. piemērs, izpilddirektora krāpšana un BEC. Tas ir dārgākais piemērs, IC3 2025. gada datos pat apsteidzot tehniskā atbalsta krāpniecības, un apturēšanas darbība ir lēta: viens telefona zvans uz zināmu numuru, pirms tiek veikta jebkāda naudas pārskaitīšana.

3. kopa: fiziski uzbrukumi un ēsma

Šiem uzbrukumiem nav nepieciešama tastatūra. Tie ir svarīgi, jo svešinieks ēkā var sasniegt to, ko aizsargā ugunsmūris.

11. Astes gaita. Kāds seko tev cauri drošām durvīm, "jo viņam ir pilnas rokas". Sarkanais karogs: cilvēks bez nozīmītes, kurš ir mierīgs un draudzīgs. Pietura: pieklājīgi palūdziet viņiem pašiem iereģistrēties vai aizvediet viņus uz reģistratūru.
12. Ēsināšana ar USB diskdziņiem. Autostāvvietā vai vestibilā tiek atstāta USB zibatmiņa ar uzrakstu "Algu pārskatīšana 2027". Sarkanais karogs: jebkuru noņemamu disku, ko neesat iegādājies. Pietura: Nekad nepieslēdziet atrastu ierīci kontaktligzdai. Nododiet to IT nodaļai, kas to var droši pārbaudīt.
13. Plecu sērfošana. Kāds vilcienā vai pie karstā galda lasa jūsu ekrānu vai vēro, kā jūs ievadāt PIN kodu. Sarkanais karogs: persona stāv pārāk tuvu ekrānam vai tur tālruni pret to leņķī. Pietura: Izmantojiet privātuma filtru, bloķējiet ekrānu, kad atkāpjaties, un apsēdieties ar muguru pret sienu.
14. Atkritumu konteineru niršana. Izdrukāti e-pasti, organizācijas shēmas un sanāksmju piezīmes, kas tiek izmestas parastā atkritumu tvertnē, sniedz uzbrucējam vārdus, tālruņu numurus un projektu nosaukumus nākamajai sarunai. Sarkanais karogs: Papīrs ar vārdiem vai cipariem atvērtā atkritumu tvertnē. Pietura: izmantojiet smalcinātāju vai aizslēdzamu atkritumu tvertni un saglabājiet tīra galda ieradumu.
15. Viltus piegāde. Kurjers firmas jakā lūdz, lai viņu ielaiž garām reģistratūrā vai atstāj sūtījumu serveru telpā. Sarkanais karogs: piegāde, ko neviens nav pasūtījis, vai tāda, ko nevar nogādāt reģistratūrā. Pietura: Paņemiet to reģistratūrā un pārbaudiet negaidītus sūtījumus ar personu, kas norādīta uz etiķetes.

Mūsu izvēle: 11. piemērs, braukšana pa aizmugurējo daļu. Tam nav nepieciešamas prasmes, tas neko nemaksā, un labas manieres ir tas, kas to nodrošina. Sniedziet darbiniekiem pieklājīgu scenāriju, lai izaicināšana kādam šķistu normāla, nevis rupja.

Kā apturēt visus 15

15 piemēriem ir viena kopīga iezīme: tie mudina rīkoties ātri un vienatnē. Trīs ieradumi to lauž.

1. Pārbaudiet, izmantojot otro kanālu. Ja pieprasījums ietver naudu, paroli, kodu vai piekļuvi, apstipriniet to citā veidā, izmantojot jau pieejamo kontaktinformāciju. CISA iesaka, ja neesat pārliecināts, vai pieprasījums ir īsts, pārbaudiet to, sazinoties ar uzņēmumu tieši, nevis ar ziņojumā sniegto kontaktinformāciju.
2. Ziņot par to. CISA ieteikums aizdomu par pikšķerēšanu gadījumā ir šāds: ziņot par ziņojumu un pēc tam izdzēsiet to. Padariet ziņošanu par ieradumu, kurā var vienkārši veikt vienu klikšķi bez vainas meklēšanas, lai pirmais, kas kaut ko pamana, brīdinātu visus pārējos.
3. Lēnāk. CISA saraksti steidzama vai emocionāli uzrunājoša valoda starp izplatītākajām pikšķerēšanas pazīmēm. CISA arī norāda, ka perfekta gramatika vairs neliecina par drošību, jo dažiem e-pastiem tagad ir perfekta pareizrakstība, pateicoties mākslīgajam intelektam. Kad ziņojumam nepieciešams ātrums, tas ir signāls, lai apturētu.

Apmācība ir veids, kā ieradumi saglabājas. Tā kā cilvēciskais faktors ir iesaistīts 62% pārkāpumu, uz vienu... Verizon 2026. gada ziņojums, komanda, kas ir praktizējusi šo 15 piemēru pamanīšanu, ir īsta jūsu aizsardzības sastāvdaļa. Plašāku programmu skatiet mūsu ceļvedī kiberdrošības izpratnes apmācība.

Veidi, kā rīkot sociālās inženierijas sesiju ar AhaSlides

Izpildiet 15 piemērus tiešraidē, telpā vai videozvanā, atbildēm esot redzamām ekrānā, kamēr dalībnieki sniedz atbildes.

1. Izvēlieties atbildi: "Īsts vai pikšķerēts?" Katram piemēram parādiet izdomātu ziņojumu un pajautājiet, vai tas ir īsts. Atklājiet brīdinošos signālu un apspriediet to.
2. Vārdu mākonis: "Krāpniecība, ar kuru jūs saskaraties visbiežāk". Lielākais vārds parāda, kas vispirms jāpraktizē.
3. Vērtēšanas skala: "Cik pārliecināts jūs esat par viltojuma atpazīšanu?" Pirms un pēc sesijas lūdziet vērtējumu no 1 līdz 5 un salīdziniet vidējos rādītājus.
4. Atvērts jautājums: "Es saņēmu aizdomīgu ziņojumu". Apkopojiet reālus piemērus, bez vārdiem, un izmantojiet labāko no tiem kā nākamās kārtas scenāriju.

Pikšķerēšanas un sociālās inženierijas kursa veidne sniedz jums gatavus slaidus, ko pielāgot, un iekšējās informācijas apdraudējuma apzināšanās veidne ir labs turpinājums visai komandai.

Biežāk uzdotie jautājumi

Kādi ir sociālās inženierijas piemēri?

Pikšķerēšana, īsziņu sūtīšana, ēsma un viltus sūtīšana ir galvenie no tiem. Šajā ierakstā ir uzskaitīti 15 veidi, sākot no e-pasta pikšķerēšanas un viltus sūtīšanas līdz viltus IT atbalstam, USB zibatmiņu ēsmai un viltotām piegādēm.

Kāds ir visizplatītākais sociālās inženierijas veids?

Pikšķerēšana. Verizon 2026. gada ziņojumā norādīts, ka pikšķerēšana veido 16 % no visiem pārkāpumiem, salīdzinot ar 6 % ieganstu dēļ, un IC3 2025. gadā saņēma 191 561 sūdzību par pikšķerēšanu un mānīšanos.

Kā novērst sociālo inženieriju?

Pārbaudiet pieprasījumus, izmantojot otru kanālu, un ziņojiet par aizdomīgiem. Pievienojiet īsas, regulāras apmācības, jo uzbrukumi mainās ātrāk nekā jebkurš vienreizējs kurss.

Kas ir iegansts?

Izdomāts stāsts, ko izmanto, lai iegūtu informāciju vai piekļuvi. Uzbrucējs veido uzticību, izmantojot ticamu scenāriju, piemēram, palīdzības dienesta zvanu, un pēc tam pieprasa paroli, maksājumu vai atvērtas durvis.

Kur sākt

Izvēlieties vienu piemēru un parādiet to nākamajā komandas sanāksmē. Ja jums ir laiks tikai vienam piemēram, pastāstiet to vizuāli un pēc tam pajautājiet visiem, ko viņi darītu nākamā negaidītā zvana gadījumā.