Contoh kejuruteraan sosial: 15 serangan dan cara menghentikannya

Kejuruteraan sosial, dalam kata-kata Agensi Keselamatan Siber dan Infrastruktur AS (CISA), adalah satu serangan di mana "penyerang menggunakan interaksi manusia (kemahiran sosial) untuk mendapatkan atau menjejaskan maklumat tentang sesebuah organisasi atau sistem komputernya"Ia berfungsi kerana ia menyasarkan orang ramai, bukan perisian. Laporan Siasatan Pelanggaran Data Verizon 2026 mendapati unsur manusia hadir dalam 62% pelanggaran, meningkat daripada 60% pada tahun sebelumnya.

Berikut adalah 15 contoh kejuruteraan sosial dalam 3 set 5. Setiap satu didatangkan dengan bendera merah untuk dicari dan tindakan berhenti untuk diambil. Set 1 merangkumi keluarga pancingan data, set 2 merangkumi penggambaran dan penyamaran, dan set 3 merangkumi serangan fizikal dan umpan. Setiap set berakhir dengan Pilih kami, contoh yang akan kami latih dahulu, dengan sebab satu baris.

Semua contoh syarikat, orang dan mesej di bawah adalah rekaan semata-mata.

Set 1: Keluarga pancingan data

1. Pancingan data e-mel. Mesej yang kelihatan seperti datang daripada bank, pembekal atau pasukan IT anda sendiri meminta anda mengklik pautan dan log masuk. CISA mengatakan serangan pancingan data menggunakan e-mel atau laman web berniat jahat untuk meminta maklumat peribadi dengan menyamar sebagai organisasi yang boleh dipercayai. bendera merah: alamat penghantar yang meniru perniagaan sebenar, ucapan umum seperti "Pelanggan yang Dihargai", atau pautan yang alamatnya tidak sepadan dengan teks apabila anda menuding tetikus di atasnya. Berhenti: jangan klik. Layari laman web ini dengan menaip alamat sendiri atau laporkan mesej tersebut.
2. Pancingan data lembing. Helah yang sama, ditujukan kepada seorang sahaja. Pengirim menggunakan nama anda, nama pengurus anda dan projek yang anda benar-benar usahakan, yang boleh digabungkan daripada maklumat awam. bendera merah: permintaan yang agak khusus tetapi di luar kebiasaan, seperti "hantarkan kontrak Atlas kepada saya hari ini". Berhenti: tanya pengirim di saluran lain, seperti panggilan ke nombor yang telah anda miliki.
3. Smishing. Pancingan data melalui mesej teks. CISA menerangkan smishing sebagai kejuruteraan sosial yang mengeksploitasi mesej SMS, dengan pautan, nombor atau alamat yang membuka pelayar atau mendail panggilan apabila diketik. bendera merah: teks "parcel on stop" atau "account locked" dengan pautan pendek. Berhenti: padamkannya dan buka sendiri aplikasi atau tapak sebenar.
4. Vishing. Pancingan data melalui suara. Kata CISA pengsan menggunakan panggilan suara dan ID pemanggil itu boleh dipalsukan, jadi panggilan yang menunjukkan nama yang dikenali tidak membuktikan apa-apa. bendera merah: pemanggil yang menimbulkan tekanan dan meminta kod atau kata laluan. Berhenti: Tutup telefon dan hubungi semula nombor yang tertera pada penyata atau laman web syarikat.
5. Pancingan data kod QR. Kod QR menyembunyikan alamat yang dituju. FBI telah memberi amaran tentang pakej yang tidak diminta yang mengandungi kod QR yang meminta maklumat peribadi dan kewangan daripada penerima atau memasang perisian pencuri data. bendera merah: kod yang tidak anda jangkakan, tanpa maklumat penghantar. Berhenti: jangan imbas kod QR daripada sumber yang tidak diketahui.

Pilihan kami: contoh 4, vishing. Verizon mendapati bahawa dalam simulasi pancingan data, kadar klik median dalam vektor berpusatkan mudah alih seperti pesanan suara dan teks adalah 40% lebih tinggi berbanding melalui e-mel. Orang ramai telah belajar untuk tidak mempercayai e-mel lebih cepat daripada mereka belajar untuk tidak mempercayai panggilan telefon.

Set 2: Pengambilan teks dan penyamaran

Verizon mentakrifkan berpura-pura sebagai taktik penyerang di mana hubungan yang dipercayai dibina melalui senario yang direka-reka untuk memperdaya pengguna agar melakukan tindakan yang menjejaskan organisasi, selalunya melalui suara tetapi juga melalui e-mel atau teks. Ia mencapai 6% daripada semua pelanggaran dalam laporan 2026, berbanding 16% untuk pancingan data.

6. Penipuan CEO dan pencerobohan e-mel perniagaan. Pusat Aduan Jenayah Internet (IC3) FBI mentakrifkan pencerobohan e-mel perniagaan (BEC) sebagai penipuan yang menyasarkan perniagaan dan berfungsi melalui akaun e-mel yang dicerobohi dan komunikasi lain untuk menyebabkan pemindahan dana tanpa kebenaran. Pada tahun 2025, IC3 mencatatkan 24,768 aduan BEC dan kira-kira $3.05 bilion kerugian yang dilaporkan. bendera merah: permintaan segera daripada seorang pemimpin kanan untuk membayar atau membeli kad hadiah, dengan baris "jangan beritahu sesiapa". Berhenti: mengesahkan sebarang permintaan pembayaran melalui telefon atau secara bersemuka.
7. Sokongan IT palsu. Seseorang mendakwa dirinya dari meja bantuan dan memerlukan kata laluan atau akses jauh anda "untuk menyelesaikan masalah". IC3 diterima 47,794 aduan sokongan teknikal pada tahun 2025, dengan kerugian yang dilaporkan melebihi $2.1 bilion. bendera merah: IT menghubungi anda terlebih dahulu dan meminta kata laluan atau kod sekali guna. Berhenti: Pasukan IT sebenar tidak memerlukan kata laluan anda. Tutup telefon dan angkat saman melalui laluan biasa.
8. Perubahan invois penjual. Satu e-mel, nampaknya daripada pembekal tetap, mengatakan butiran banknya telah berubah. Takrifan BEC IC3 merangkumi penipuan yang menyasarkan perniagaan yang bekerjasama dengan pembekal dan kerap membuat pindahan kawat. bendera merah: butiran bank baharu dengan tarikh akhir pembayaran. Berhenti: hubungi pembekal pada nombor yang telah ada dalam rekod sebelum anda mengubah apa-apa.
9. Perekrut palsu. Seorang "perekrut" mendekati seorang kakitangan yang mempunyai peranan yang kelihatan seperti kenaikan pangkat, kemudian meminta dokumen peribadi atau tugasan ujian yang memerlukan muat turun. IC3 diterima 24,688 aduan penipuan pekerjaan pada tahun 2025. bendera merah: tawaran yang anda tidak pohon, dengan langkah-langkah yang pantas. Berhenti: Semak perekrut melalui halaman kerjaya syarikat itu sendiri dan jangan sekali-kali memasang perisian untuk temu duga.
10. Suara palsu yang dalam. Suara klon yang kedengaran seperti pengarah anda meminta bayaran segera. IC3 berkata pengklonan suara boleh digunakan untuk meminta pembayaran kawat dan perniagaan melaporkan kerugian lebih $30 juta pada tahun 2025 akibat penipuan BEC yang melibatkan AI. bendera merah: mesej suara atau panggilan yang mendorong anda untuk bertindak sebelum anda boleh menyemak. Berhenti: bersetuju dengan perkataan kod atau peraturan panggilan balik untuk pembayaran, jadi suara yang meyakinkan tidak mencukupi.

Pilihan kami: contoh 6, penipuan CEO dan BEC. Ia merupakan contoh paling mahal di sini, mendahului penipuan sokongan teknikal dalam angka IC3 pada tahun 2025, dan tindakan berhenti adalah murah: satu panggilan telefon ke nombor yang diketahui sebelum sebarang wang bergerak.

Set 3: Serangan fizikal dan umpan

Serangan ini tidak memerlukan papan kekunci. Ia penting kerana orang yang tidak dikenali di dalam bangunan boleh mencapai apa yang dilindungi oleh tembok api.

11. Penghadang belakang. Seseorang mengekori anda melalui pintu yang selamat "kerana tangan mereka penuh". bendera merah: seseorang tanpa lencana yang santai dan mesra. Berhenti: dengan sopan minta mereka untuk memberi lencana diri mereka, atau membawa mereka bersama ke kaunter penerimaan tetamu.
12. Mengumpan dengan pemacu USB. Pemacu USB berlabel "Semakan gaji 2027" ditinggalkan di tempat letak kereta atau lobi. bendera merah: sebarang pemacu boleh tanggal yang anda tidak beli. Berhenti: Jangan sekali-kali pasangkan peranti yang dijumpai. Serahkannya kepada IT, yang boleh memeriksanya dengan selamat.
13. Meluncur bahu. Seseorang membaca skrin anda atau memerhatikan anda menaip PIN di dalam kereta api atau di kaunter penerimaan tetamu. bendera merah: seseorang berdiri terlalu dekat atau menghalakan telefon ke skrin anda. Berhenti: gunakan penapis privasi, kunci skrin anda apabila anda melangkah pergi dan duduk dengan membelakangi dinding.
14. Menyelam di tong sampah. E-mel bercetak, carta organisasi dan nota mesyuarat yang dibuang ke dalam tong biasa memberikan nama, nombor telefon dan tajuk projek penyerang untuk panggilan seterusnya. bendera merah: kertas dengan nama atau nombor di dalam tong sampah terbuka. Berhenti: gunakan mesin pencincang atau tong berkunci, dan kekalkan tabiat membersihkan meja.
15. Penghantaran palsu. Seorang kurier yang memakai jaket berjenama meminta untuk dibenarkan masuk melepasi kaunter penerimaan tetamu, atau untuk meninggalkan bungkusan di bilik pelayan. bendera merah: penghantaran yang tidak dipesan oleh sesiapa, atau penghantaran yang tidak boleh dihantar ke kaunter penerimaan tetamu. Berhenti: Bawalah ia di kaunter penerimaan tetamu, dan semak bungkusan yang tidak dijangka dengan orang yang dinamakan pada label.

Pilihan kami: contoh 11, penutup belakang. Ia tidak memerlukan kemahiran dan kos yang berpatutan, dan adab yang baiklah yang menjadikannya berjaya. Berikan kakitangan skrip yang sopan, supaya mencabar seseorang terasa normal dan tidak biadab.

Cara menghentikan semua 15

15 contoh itu mempunyai satu persamaan: ia mendorong anda untuk bertindak pantas dan bertindak sendirian. Tiga tabiat memecahkannya.

1. Sahkan melalui saluran kedua. Jika permintaan melibatkan wang, kata laluan, kod atau akses, sahkannya melalui laluan lain, menggunakan butiran hubungan yang telah anda miliki. CISA menasihatkan bahawa jika anda tidak pasti sama ada permintaan itu benar, sahkannya dengan menghubungi syarikat secara langsung, dan bukan dengan maklumat hubungan yang diberikan dalam mesej.
2. Laporkan ia. Nasihat CISA untuk pancingan data yang disyaki adalah untuk laporkan mesej tersebut dan kemudian padamkannya. Jadikan pelaporan sebagai tabiat satu klik, tanpa menyalahkan, supaya orang pertama yang melihat sesuatu akan memberi amaran kepada orang lain.
3. Perlahankan. Senarai CISA bahasa yang mendesak atau menarik secara emosi antara tanda-tanda biasa pancingan data. CISA juga menyatakan bahawa tatabahasa yang sempurna bukan lagi bukti keselamatan, kerana sesetengah e-mel kini mempunyai ejaan yang sempurna hasil daripada AI. Apabila mesej memerlukan kelajuan, itulah isyarat untuk berhenti seketika.

Latihan adalah bagaimana tabiat kekal. Dengan unsur manusia yang terdapat dalam 62% pelanggaran, setiap Laporan Verizon 2026, pasukan yang telah berlatih mengenal pasti 15 contoh ini adalah sebahagian daripada pertahanan anda. Untuk program yang lebih luas, lihat panduan kami untuk latihan kesedaran keselamatan siber.

Cara-cara untuk menganjurkan sesi kejuruteraan sosial dengan AhaSlides

Jalankan 15 contoh secara langsung, di dalam bilik atau melalui panggilan video, dengan jawapan dipaparkan pada skrin semasa orang ramai memberi respons.

1. Pilih Jawapan: "Betul atau palsu?" Tunjukkan mesej yang direka-reka untuk setiap contoh dan tanya sama ada ia tulen. Dedahkan tanda amaran dan bincangkan.
2. Awan Kata: "Penipuan yang paling kerap anda dapat". Perkataan yang paling besar menunjukkan apa yang perlu diamalkan dahulu.
3. Skala Penilaian: "Sejauh manakah keyakinan anda dalam mengenal pasti barang palsu?" Minta penilaian dari 1 hingga 5 sebelum dan selepas sesi, dan bandingkan puratanya.
4. Terbuka: "Mesej yang mencurigakan yang saya terima". Kumpulkan contoh sebenar, dengan nama yang dibuang, dan gunakan contoh terbaik sebagai senario pusingan seterusnya.

Templat kursus Phishing & kejuruteraan sosial memberi anda slaid sedia ada untuk disesuaikan dan templat kesedaran ancaman Insider merupakan susulan yang baik untuk seluruh pasukan.

Soalan lazim

Apakah contoh-contoh kejuruteraan sosial?

Pancingan data, berpura-pura menghantar mesej, mengumpan dan mengekori adalah yang utama. Catatan ini menyenaraikan 15, daripada pancingan data e-mel dan vishing kepada sokongan IT palsu, umpan USB dan penghantaran palsu.

Apakah jenis kejuruteraan sosial yang paling biasa?

Pancingan data. Laporan Verizon 2026 meletakkan pancingan data pada 16% daripada semua pelanggaran, berbanding 6% untuk tujuan berpura-pura, dan IC3 menerima 191,561 aduan pancingan data dan spoofing pada tahun 2025.

Bagaimanakah anda mencegah kejuruteraan sosial?

Sahkan permintaan melalui saluran kedua dan laporkan permintaan yang mencurigakan. Tambahkan latihan pendek dan tetap, kerana serangan berubah lebih cepat daripada mana-mana kursus sekali sahaja.

Apakah itu berdalih?

Cerita rekaan yang digunakan untuk mendapatkan maklumat atau akses. Penyerang membina kepercayaan melalui senario yang boleh dipercayai, seperti panggilan meja bantuan, kemudian meminta kata laluan, pembayaran atau pintu dibuka.

Di mana untuk bermula

Pilih satu set dan jalankannya pada mesyuarat pasukan anda yang seterusnya. Jika anda hanya mempunyai masa untuk satu contoh, jadikannya sebagai contoh lawatan, kemudian tanya semua orang apa yang akan mereka lakukan pada panggilan yang tidak dijangka seterusnya.