Przykłady inżynierii społecznej: 15 ataków i jak im zapobiegać

Inżynieria społeczna to, według definicji amerykańskiej Agencji ds. Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA), atak, w którym „atakujący wykorzystuje interakcję międzyludzką (umiejętności społeczne) w celu uzyskania lub naruszenia informacji o organizacji lub jej systemach komputerowych”Działa, ponieważ atakuje ludzi, a nie oprogramowanie. Raport Verizon dotyczący dochodzeń w sprawie naruszeń danych z 2026 r. wykazał, czynnik ludzki był obecny w 62% naruszeńw porównaniu do 60% w roku poprzednim.

Oto 15 przykładów socjotechniki w 3 zestawach po 5. Każdy z nich zawiera czerwoną flagę, na którą należy zwrócić uwagę, oraz działania, które należy podjąć. Zestaw 1 obejmuje rodzinę phishingu, zestaw 2 obejmuje podszywanie się pod kogoś i podszywanie się pod niego, a zestaw 3 obejmuje ataki fizyczne i nękanie. Każdy zestaw kończy się Nasz wybór, przykład, który wytrenujemy w pierwszej kolejności, z uzasadnieniem jednowierszowym.

Wszystkie przykładowe firmy, osoby i wiadomości podane poniżej są zmyślone.

Zestaw 1: Rodzina phishingu

1. Ataki phishingowe za pośrednictwem poczty elektronicznej. Wiadomość, która wygląda, jakby pochodziła od banku, dostawcy lub Twojego zespołu IT, prosi Cię o kliknięcie łącza i zalogowanie się. CISA twierdzi, że ataki phishingowe wykorzystują pocztę e-mail lub złośliwe witryny internetowe, aby wyłudzać dane osobowe, podszywając się pod godną zaufania organizację. Czerwona flaga: adres nadawcy imitujący adres prawdziwej firmy, ogólne powitanie, takie jak „Szanowny Kliencie” lub link, którego adres nie zgadza się z tekstem wyświetlanym po najechaniu na niego kursorem. Zatrzymać: Nie klikaj. Przejdź do witryny, wpisując adres samodzielnie lub zgłoś wiadomość.
2. Ataki typu spear phishing. Ta sama sztuczka, skierowana do jednej osoby. Nadawca wykorzystuje twoje imię i nazwisko, imię i nazwisko twojego przełożonego oraz projekt, nad którym naprawdę pracujesz, który można wywnioskować z informacji publicznych. Czerwona flaga: prośba dziwnie szczegółowa, ale jednocześnie nietypowa, np. „prześlij mi dziś umowę Atlas”. Zatrzymać: zapytaj nadawcę innym kanałem, np. dzwoniąc na numer, który już posiadasz.
3. smacznie. Phishing za pomocą wiadomości tekstowych. Opis CISA smishing jako socjotechnika wykorzystująca wiadomości SMS zawierające linki, numery lub adresy, które po dotknięciu otwierają przeglądarkę lub powodują nawiązanie połączenia. Czerwona flaga: SMS o treści „przesyłka wstrzymana” lub „konto zablokowane” z krótkim linkiem. Zatrzymać: usuń je i otwórz prawdziwą aplikację lub stronę.
4. Wiszący. Phishing głosowy. CISA twierdzi Vishing korzysta z połączeń głosowych, a numer dzwoniącego można sfałszować, więc połączenie, po którym widać znajome nazwisko, niczego nie dowodzi. Czerwona flaga: osoba dzwoniąca, która wywiera presję i prosi o podanie kodu lub hasła. Zatrzymać: rozłącz się i oddzwoń na numer podany na wyciągu lub stronie internetowej firmy.
5. Phishing za pomocą kodów QR. Kod QR ukrywa adres, do którego prowadzi. FBI ostrzega przed niezamawiane paczki zawierające kod QR która prosi odbiorcę o podanie danych osobowych i finansowych lub instaluje oprogramowanie służące do kradzieży danych. Czerwona flaga: kod, którego się nie spodziewałeś, bez informacji o nadawcy. Zatrzymać: nie skanuj kodów QR nieznanego pochodzenia.

Nasz wybór: przykład 4, vishing. Verizon odkrył, że w symulacjach phishingu mediana współczynnika klikalności w wektory mobilne, takie jak wiadomości głosowe i tekstowe, były o 40% wyższe niż przez e-mail. Ludzie nauczyli się nie ufać e-mailom szybciej niż rozmowom telefonicznym.

Zestaw 2: Podszywanie się pod kogoś i udawanie

Verizon definiuje pretekstowanie jako taktykę atakującego, w której zaufanie buduje się poprzez wymyślone scenariusze Aby nakłonić użytkownika do działania, które zagraża organizacji, często za pośrednictwem głosu, ale także poczty elektronicznej lub SMS-ów. W raporcie z 2026 r. stanowiło to 6% wszystkich naruszeń, w porównaniu z 16% w przypadku phishingu.

6. Oszustwa na prezesach firm i naruszenia prywatności firmowych adresów e-mail. Centrum Skarg na Przestępstwa Internetowe FBI (IC3) definiuje kompromitacja biznesowej poczty e-mail (BEC) jako oszustwo skierowane do firm, wykorzystujące przejęte konta e-mail i inne środki komunikacji do dokonywania nieautoryzowanych przelewów środków. W 2025 roku IC3 odnotowało 24 768 skarg na BEC i straty rzędu 3.05 miliarda dolarów. Czerwona flaga: pilna prośba od starszego kierownika o zapłatę lub zakup kart podarunkowych, z adnotacją „nie mów nikomu”. Zatrzymać: potwierdzaj każdą prośbę o płatność telefonicznie lub osobiście.
7. Fałszywe wsparcie IT. Ktoś podaje się za pracownika pomocy technicznej i potrzebuje Twojego hasła lub dostępu zdalnego, „aby rozwiązać problem”. Otrzymano IC3. 47 794 skarg na pomoc techniczną w 2025 r., przy czym straty oszacowano na ponad 2.1 miliarda dolarów. Czerwona flaga: Dział IT skontaktuje się z Tobą pierwszy i poprosi o podanie hasła lub kodu jednorazowego. Zatrzymać: Prawdziwe zespoły IT nie potrzebują Twojego hasła. Rozłącz się i zgłoś zgłoszenie w standardowy sposób.
8. Zmiana faktury dostawcy. W e-mailu, najwyraźniej od stałego dostawcy, podano, że dane bankowe uległy zmianie. Definicja BEC według IC3 obejmuje oszustwa, których celem jest firmy współpracujące z dostawcami i regularnie dokonujące przelewów bankowych. Czerwona flaga: nowe dane bankowe z terminem płatności. Zatrzymać: Zanim cokolwiek zmienisz, zadzwoń do dostawcy pod numer, który masz już w bazie.
9. Fałszywy rekruter. „Rekruter” zwraca się do pracownika z propozycją, która wygląda na awans, a następnie prosi o dokumenty osobiste lub o zadanie testowe, które wymaga pobrania. Otrzymano IC3 24 688 skarg dotyczących oszustw związanych z zatrudnieniem w 2025 r.. Czerwona flaga: oferta, o którą nie aplikowałeś, z szybkimi krokami. Zatrzymać: sprawdź informacje o rekruterze na stronie internetowej firmy poświęconej karierze i nigdy nie instaluj oprogramowania do przeprowadzania rozmów kwalifikacyjnych.
10. Głos deepfake. Sklonowany głos, który brzmi, jakby twój dyrektor prosił o pilną zapłatę. IC3 mówi klonowanie głosu może być używane do żądania płatności przelewem a przedsiębiorstwa zgłosiły straty przekraczające 30 milionów dolarów w 2025 r. w wyniku oszustw BEC z wykorzystaniem sztucznej inteligencji. Czerwona flaga: wiadomość głosowa lub połączenie telefoniczne, które zmusza Cię do działania, zanim zdążysz to sprawdzić. Zatrzymać: nie można ustalić hasła ani zasady odwoływania się od płatności, więc przekonujący głos nie wystarczy.

Nasz wybór: przykład 6, oszustwo CEO i BEC. Jest to najkosztowniejszy przykład, wyprzedzający nawet oszustwa związane z pomocą techniczną w danych IC3 z 2025 r., a działanie powstrzymujące jest tanie: jeden telefon na znany numer przed przelaniem pieniędzy.

Zestaw 3: Ataki fizyczne i nękanie

Te ataki nie wymagają użycia klawiatury. Mają znaczenie, ponieważ osoba nieznajoma w budynku może uzyskać dostęp do tego, co chroni zapora sieciowa.

11. Jazda na zderzaku. Ktoś idzie za tobą przez bezpieczne drzwi, „bo ma zajęte ręce”. Czerwona flaga: osoba bez odznaki, zrelaksowana i przyjazna. Zatrzymać: grzecznie poproś ich, aby sami się odznaczyli lub odprowadź ich do recepcji.
12. Przynęta przy użyciu dysków USB. Na parkingu lub w holu należy zostawić pamięć USB z etykietą „Przegląd wynagrodzeń 2027”. Czerwona flaga: dowolny dysk wymienny, którego nie kupiłeś. Zatrzymać: Nigdy nie podłączaj znalezionego urządzenia. Przekaż je działowi IT, który może je bezpiecznie sprawdzić.
13. Surfowanie przez ramię. Ktoś odczytuje Twój ekran lub obserwuje, jak wpisujesz PIN w pociągu lub przy biurku. Czerwona flaga: osoba stojąca zbyt blisko ekranu lub kierująca telefon w jego stronę. Zatrzymać: stosuj filtr prywatności, blokuj ekran, gdy odchodzisz od niego i siadaj tyłem do ściany.
14. Nurkowanie w śmietnikach. Wydrukowane e-maile, schematy organizacyjne i notatki ze spotkań wyrzucone do zwykłego kosza zawierają atakującemu nazwiska, numery telefonów i nazwy projektów, z których będzie mógł skorzystać podczas następnego połączenia. Czerwona flaga: papier z nazwiskami lub numerami w otwartym koszu. Zatrzymać: korzystaj z niszczarki lub zamykanego kosza na śmieci i dbaj o porządek na biurku.
15. Fałszywa dostawa. Kurier w firmowej kurtce prosi o wpuszczenie do recepcji lub o pozostawienie przesyłki w serwerowni. Czerwona flaga: przesyłka, której nikt nie zamówił lub która nie może zostać dostarczona do recepcji. Zatrzymać: zanieś paczkę do recepcji i sprawdź nieoczekiwane przesyłki z osobą, której nazwisko widnieje na etykiecie.

Nasz wybór: przykład 11, jazda na zderzaku. Nie wymaga żadnych umiejętności i nic nie kosztuje, a dobre maniery są kluczem do sukcesu. Zapewnij personelowi grzeczny scenariusz, aby prowokowanie kogoś wydawało się normalne, a nie niegrzeczne.

Jak zatrzymać wszystkie 15

Te 15 przykładów ma jedną wspólną cechę: motywują do szybkiego i samodzielnego działania. Trzy nawyki to łamią.

1. Zweryfikuj za pomocą drugiego kanału. Jeśli prośba dotyczy pieniędzy, hasła, kodu lub dostępu, potwierdź ją inną drogą, korzystając z danych kontaktowych, które już posiadasz. CISA zaleca, aby w przypadku wątpliwości co do autentyczności prośby, zweryfikuj to kontaktując się bezpośrednio z firmą, a nie z danymi kontaktowymi podanymi w wiadomości.
2. Zgłoś to. W przypadku podejrzenia phishingu CISA zaleca: zgłoś wiadomość a następnie usuń. Spraw, by zgłaszanie stało się nawykiem jednego kliknięcia i bez obwiniania, tak aby pierwsza osoba, która coś zauważy, ostrzegła wszystkich innych.
3. Zwolnij. Listy CISA pilny lub emocjonalnie atrakcyjny język CISA zauważa również, że perfekcyjna gramatyka nie jest już dowodem bezpieczeństwa, ponieważ niektóre wiadomości e-mail dzięki sztucznej inteligencji mają teraz poprawną pisownię. Kiedy wiadomość wymaga szybkiego działania, jest to sygnał do wstrzymania.

Szkolenie to sposób, w jaki utrwalają się nawyki. W 62% przypadków naruszeń obecny jest czynnik ludzki, według Raport Verizon z 2026 r.Zespół, który ćwiczył wykrywanie tych 15 przykładów, to prawdziwa część twojej obrony. Aby zapoznać się z szerszym programem, zapoznaj się z naszym przewodnikiem. szkolenie uświadamiające cyberbezpieczeństwo.

Sposoby prowadzenia sesji socjotechnicznej z AhaSlides

Przeprowadź prezentację 15 przykładów na żywo, w pokoju lub podczas połączenia wideo, a odpowiedzi będą wyświetlane na ekranie w miarę reakcji uczestników.

1. Wybierz odpowiedź: „Prawda czy phishing?” Pokaż zmyśloną wiadomość dla każdego przykładu i zapytaj, czy jest prawdziwa. Ujawnij czerwoną flagę i omów ją.
2. Chmura słów: „Najczęstsze oszustwa”. Największe słowo pokazuje, co należy ćwiczyć w pierwszej kolejności.
3. Skala ocen: „Jak bardzo jesteś pewien, że rozpoznasz podróbkę?” Poproś o ocenę od 1 do 5 przed i po sesji i porównaj średnie.
4. Otwarte zakończenie: „Otrzymałem podejrzaną wiadomość”. Zbierz prawdziwe przykłady, pomijając nazwiska, i użyj najlepszego jako scenariusza kolejnej rundy.

Szablon kursu poświęconego phishingowi i inżynierii społecznej zawiera gotowe slajdy, które możesz dostosować do swoich potrzeb, natomiast szablon poświęcony świadomości zagrożeń wewnętrznych stanowi dobrą kontynuację dla całego zespołu.

PYTANIA I ODPOWIEDZI

Jakie są przykłady inżynierii społecznej?

Phishing, podstęp, baiting i tailgating to główne rodzaje ataków. W tym poście wymieniono 15 z nich, od phishingu e-mailowego i vishingu, przez fałszywe wsparcie IT, USB baiting, po fałszywe przesyłki.

Jaki jest najczęstszy rodzaj inżynierii społecznej?

Phishing. Raport Verizon z 2026 r. podaje, że phishing stanowił 16% wszystkich naruszeń, w porównaniu z 6% przypadków podszywania się pod kogoś. W 2025 r. IC3 otrzymało 191 561 skarg dotyczących phishingu i podszywania się.

Jak zapobiegać inżynierii społecznej?

Weryfikuj żądania za pomocą drugiego kanału i zgłaszaj podejrzane. Dodaj krótkie, regularne szkolenia, ponieważ ataki zmieniają się szybciej niż w przypadku jakiegokolwiek jednorazowego kursu.

Czym jest pretekstowanie?

Zmyślona historia służąca do zdobycia informacji lub dostępu. Atakujący buduje zaufanie poprzez wiarygodny scenariusz, taki jak telefon do pomocy technicznej, a następnie prosi o podanie hasła, dokonanie płatności lub o przytrzymanie drzwi.

Gdzie zacząć

Wybierz jeden zestaw i omów go na kolejnym spotkaniu zespołu. Jeśli masz czas tylko na jeden przykład, zrób to w formie vishingu, a następnie zapytaj wszystkich, co zrobiliby podczas kolejnej nieoczekiwanej rozmowy.