Eksempler på sosial manipulering: 15 angrep og hvordan du kan stoppe dem

Sosial manipulering er, med ordene til det amerikanske byrået for cybersikkerhet og infrastruktursikkerhet (CISA), et angrep der «en angriper bruker menneskelig interaksjon (sosiale ferdigheter) for å innhente eller kompromittere informasjon om en organisasjon eller dens datasystemer»Det fungerer fordi det retter seg mot mennesker, ikke programvare. Verizons rapport om etterforskning av datainnbrudd fra 2026 fant at Menneskelig element var til stede i 62 % av sikkerhetsbruddene, opp fra 60 % året før.

Her er 15 eksempler på sosial manipulering i 3 sett med 5. Hvert sett har et rødt flagg å se etter og en stopphandling å iverksette. Sett 1 dekker phishing-familien, sett 2 dekker påskudd og etterligning, og sett 3 dekker fysiske angrep og lokkemidler. Hvert sett avsluttes med en Vårt valg, eksemplet vi ville trene først, med en énlinjet begrunnelse.

Alle eksempelselskapene, personene og meldingene nedenfor er oppdiktet.

Sett 1: Phishing-familien

1. E-postfisking. En melding som ser ut som den kommer fra en bank, en leverandør eller ditt eget IT-team ber deg om å klikke på en lenke og logge inn. CISA sier at phishing-angrep bruker e-post eller ondsinnede nettsteder til å innhente personopplysninger ved å utgi seg for å være en pålitelig organisasjon. Rødt flagg: en avsenderadresse som imiterer en ekte bedrift, en generell hilsen som «Kjære kunde», eller en lenke med en adresse som ikke samsvarer med teksten når du holder musepekeren over den. Stopp: Ikke klikk. Gå til nettstedet ved å skrive inn adressen selv, eller rapporter meldingen.
2. Spydfisking. Det samme trikset, rettet mot én person. Avsenderen bruker navnet ditt, navnet på lederen din og et prosjekt du faktisk jobber med, som kan settes sammen fra offentlig informasjon. Rødt flagg: en forespørsel som er merkelig spesifikk, men likevel ukarakteristisk, for eksempel «send meg Atlas-kontrakten i dag». Stopp: spørre avsenderen på en annen kanal, for eksempel et anrop til et nummer du allerede har.
3. Smishing. Phishing via tekstmelding. CISA beskriver smishing som sosial manipulering som utnytter SMS-meldinger med lenker, numre eller adresser som åpner en nettleser eller ringer et anrop når de trykkes på dem. Rødt flagg: en tekstmelding om «pakke på vent» eller «konto låst» med en kort lenke. Stopp: slett den og åpne den virkelige appen eller nettstedet selv.
4. Vishing. Phishing via stemmen. CISA sier Vishing bruker taleanrop, og at innringer-ID-en kan forfalskes, så en samtale som viser et kjent navn beviser ingenting. Rødt flagg: en innringer som skaper press og ber om en kode eller et passord. Stopp: Legg på og ring tilbake på nummeret som er trykt på en kontoutskrift eller selskapets nettside.
5. QR-kode-phishing. En QR-kode skjuler adressen den fører til. FBI har advart om uoppfordrede pakker som inneholder en QR-kode som ber mottakeren om personlig og økonomisk informasjon eller installerer programvare som stjeler data. Rødt flagg: en kode du ikke forventet, uten avsenderinformasjon. Stopp: Ikke skann QR-koder fra ukjent opprinnelse.

Vårt valg: eksempel 4, vishing. Verizon fant ut at i phishing-simuleringer var median klikkfrekvens i mobilsentriske vektorer som tale- og tekstmeldinger var 40 % høyere enn via e-post. Folk har lært å mistro e-post raskere enn de har lært å mistro en telefonsamtale.

Sett 2: Påskudd og etterligning

Verizon definerer påskudd som en angripertaktikk der et tillitsfullt forhold bygges gjennom oppdiktede scenarier å lure brukeren til en handling som kompromitterer organisasjonen, ofte via tale, men også via e-post eller tekstmelding. Det nådde 6 % av alle brudd i 2026-rapporten, mot 16 % for phishing.

6. Administrerende direktør-svindel og kompromittering av forretnings-e-post. FBIs klagesenter for internettkriminalitet (IC3) definerer forretningse-postkompromiss (BEC) som en svindel som retter seg mot bedrifter og bruker kompromitterte e-postkontoer og annen kommunikasjon for å forårsake uautoriserte pengeoverføringer. I 2025 registrerte IC3 24 768 BEC-klager og rapporterte tap på rundt 3.05 milliarder dollar. Rødt flagg: en hasteforespørsel fra en leder på høyt nivå om å betale eller kjøpe gavekort, med en «ikke si det til noen»-linje. Stopp: bekrefte enhver betalingsforespørsel via telefon eller personlig.
7. Falsk IT-støtte. Noen hevder å være fra brukerstøtten og trenger passordet ditt eller fjerntilgangen din «for å fikse et problem». IC3 mottok 47 794 klager på teknisk support i 2025, med rapporterte tap på over 2.1 milliarder dollar. Rødt flagg: IT kontakter deg først og ber om et passord eller en engangskode. Stopp: Ekte IT-team trenger ikke passordet ditt. Legg på og send en sak på vanlig måte.
8. Endring av leverandørfaktura. En e-post, tilsynelatende fra en vanlig leverandør, sier at bankdetaljene deres har endret seg. IC3s BEC-definisjon dekker svindel som er rettet mot bedrifter som jobber med leverandører og regelmessig foretar bankoverføringer. Rødt flagg: nye bankopplysninger med en betalingsfrist. Stopp: Ring leverandøren på et nummer som allerede er registrert før du endrer noe.
9. Falsk rekrutterer. En «rekrutterer» henvender seg til en ansatt med en rolle som ser ut som en forfremmelse, og ber deretter om personlige dokumenter eller en testoppgave som må lastes ned. IC3 mottatt 24 688 klager om svindel i arbeidslivet i 2025. Rødt flagg: et tilbud du ikke søkte på, med raske skritt. Stopp: sjekk rekruttereren via selskapets egen karriereside, og installer aldri programvare for et intervju.
10. Dypfalsk stemme. En klonet stemme som høres ut som om regissøren din ber om en umiddelbar betaling. IC3 sier Stemmekloning kan brukes til å be om bankbetaling og at bedrifter rapporterte tap på over 30 millioner dollar i 2025 på grunn av BEC-svindel som involverte AI. Rødt flagg: en talemelding eller et anrop som oppfordrer deg til å handle før du får sjekket. Stopp: bli enige om et kodeord eller en tilbakeringingsregel for betalinger, slik at en overbevisende stemme ikke er nok.

Vårt valg: eksempel 6, administrerende direktørsvindel og BEC. Det er det dyreste eksemplet her, selv foran teknisk support-svindel i IC3s 2025-tall, og stopphandlingen er billig: én telefonsamtale til et kjent nummer før penger beveger seg.

Sett 3: Fysiske angrep og agn

Disse angrepene trenger ikke tastatur. De er viktige fordi en fremmed i bygningen kan nå det en brannmur beskytter.

11. Tailgating. Noen følger etter deg gjennom en sikker dør «fordi de har hendene fulle». Rødt flagg: en person uten navneskilt som er avslappet og vennlig. Stopp: be dem høflig om å bruke kortet selv, eller følg dem med til resepsjonen.
12. Agn med USB-minnepinner. En USB-minnepinne merket «Lønnsgjennomgang 2027» legges igjen på parkeringsplassen eller i lobbyen. Rødt flagg: enhver flyttbar stasjon du ikke kjøpte. Stopp: Koble aldri til en funnet enhet. Gi den til IT-avdelingen, som kan inspisere den på en trygg måte.
13. Skuldersurfing. Noen leser skjermen din eller ser på at du skriver inn en PIN-kode på et tog eller ved en skrivebordstelefon. Rødt flagg: en person som står for nærme eller vinkler en telefon mot skjermen din. Stopp: bruk et personvernfilter, lås skjermen når du går bort og sitt med ryggen mot veggen.
14. Dykking i containere. Trykte e-poster, organisasjonskart og møtenotater som kastes i en vanlig søppelbøtte, gir en angriper navn, telefonnumre og prosjekttitler for neste samtale. Rødt flagg: papir med navn eller tall i en åpen beholder. Stopp: Bruk en makuleringsmaskin eller en låst beholder, og hold deg til vanen med å rydde skrivebordet.
15. Falsk levering. En budtjeneste i en merkejakke ber om å få slippe inn forbi resepsjonen, eller om å legge igjen en pakke i serverrommet. Rødt flagg: en levering ingen bestilte, eller en som ikke kan komme til resepsjonen. Stopp: Ta den med i resepsjonen, og sjekk uventede pakker med personen som er navngitt på etiketten.

Vårt valg: eksempel 11, tailgating. Det krever ingen ferdigheter og koster ingenting, og det er gode manerer som får det til å fungere. Gi de ansatte et høflig manus, slik at det å utfordre noen føles normalt og ikke frekt.

Hvordan stoppe alle 15

De 15 eksemplene har én ting til felles: de presser deg til å handle raskt og til å handle alene. Tre vaner bryter det.

1. Bekreft gjennom en annen kanal. Hvis en forespørsel gjelder penger, et passord, en kode eller tilgang, bekreft den på en annen måte, ved å bruke kontaktinformasjonen du allerede har. CISA anbefaler at hvis du er usikker på om en forespørsel er reell, bekrefte det ved å kontakte selskapet direkte, og ikke med kontaktinformasjonen som er oppgitt i meldingen.
2. Rapporter det. CISAs råd ved mistanke om phishing er å rapporter meldingen og deretter slette det. Gjør rapportering til en vane med ett klikk uten skyldfølelse, slik at den første personen som oppdager noe advarer alle andre.
3. Ro ned. CISA-lister presserende eller følelsesmessig tiltalende språk blant de vanlige tegnene på phishing. CISA bemerker også at perfekt grammatikk ikke lenger er et bevis på sikkerhet, siden noen e-poster nå har perfekt stavemåte takket være AI. Når en melding krever hastighet, er det signalet om å sette den på pause.

Opplæring er måten vaner fester seg på. Med det menneskelige element til stede i 62 % av bruddene, per Verizons rapport for 2026, et team som har øvd på å oppdage disse 15 eksemplene er en reell del av forsvaret ditt. For et bredere program, se vår veiledning til opplæring om cybersikkerhet.

Måter å arrangere en sosial manipuleringsøkt med AhaSlides

Kjør de 15 eksemplene live, i et rom eller på en videosamtale, med svarene på skjermen mens folk svarer.

1. Velg svar: "Ekte eller svindel?" Vis en oppdiktet melding for hvert eksempel og spør om den er ekte. Avslør det røde flagget og diskuter.
2. Ordsky: «Svindelopplevelsen du får mest». Det største ordet viser hva man skal øve på først.
3. Vurderingsskala: «Hvor sikker er du på å oppdage en forfalskning?» Be om en vurdering fra 1 til 5 før og etter økten, og sammenlign gjennomsnittene.
4. Åpent svar: «En mistenkelig melding jeg mottok». Samle virkelige eksempler, uten navn, og bruk det beste som scenario i neste runde.

Kursmalen for phishing og sosial manipulering gir deg ferdige lysbilder du kan tilpasse, og malen for trusselbevissthet fra Insider er en god oppfølging for hele teamet.

Ofte stilte spørsmål

Hva er eksempler på sosial manipulering?

Phishing, pretexting, baiting og tailgating er de viktigste. Dette innlegget lister opp 15, fra e-post phishing og vishing til falsk IT-støtte, USB-baiting og falske leveranser.

Hva er den vanligste typen sosial manipulering?

Phishing. Verizons rapport fra 2026 angir phishing som 16 % av alle sikkerhetsbrudd, mot 6 % for påskudd, og IC3 mottok 191 561 klager om phishing og forfalskning i 2025.

Hvordan forhindrer man sosial manipulering?

Bekreft forespørsler gjennom en annen kanal og rapporter mistenkelige. Legg til kort, regelmessig trening, fordi angrepene endrer seg raskere enn noe enkeltstående kurs.

Hva er påskudd?

En oppdiktet historie som brukes for å få informasjon eller tilgang. Angriperen bygger tillit gjennom et troverdig scenario, for eksempel en telefonsamtale til brukerstøtten, og ber deretter om et passord, en betaling eller en dør som skal holdes åpen.

Hvor skal jeg starte

Velg ett sett og kjør det på neste teammøte. Hvis du bare har tid til ett eksempel, gjør det til en slags «vishing», og spør deretter alle hva de ville gjort ved neste uventede samtale.