Exemple de inginerie socială: 15 atacuri și cum să le oprești

Ingineria socială este, în termenii Agenției pentru Securitatea Cibernetică și Infrastructură din SUA (CISA), un atac în care „un atacator folosește interacțiunea umană (abilități sociale) pentru a obține sau compromite informații despre o organizație sau despre sistemele sale informatice”Funcționează pentru că vizează oamenii, nu software-ul. Raportul Verizon din 2026 privind investigațiile privind încălcările de date a constatat că elementul uman a fost prezent în 62% din încălcări, în creștere de la 60% în anul precedent.

Iată 15 exemple de inginerie socială în 3 seturi de câte 5. Fiecare vine cu un semnal de alarmă de urmărit și o acțiune de oprire de întreprins. Setul 1 acoperă familia de phishing, setul 2 acoperă pretextarea și uzurparea identității, iar setul 3 acoperă atacurile fizice și momeala. Fiecare set se încheie cu un... Alegerea noastră, exemplul pe care l-am antrena primul, cu o explicație pe o singură linie.

Toate exemplele de companii, persoane și mesaje de mai jos sunt inventate.

Setul 1: Familia phishing-ului

1. Phishing prin e-mail. Un mesaj care pare să provină de la o bancă, un furnizor sau propria echipă IT vă solicită să faceți clic pe un link și să vă conectați. CISA spune că atacurile de tip phishing folosesc e-mailuri sau site-uri web rău intenționate pentru a solicită informații personale dându-se drept o organizație de încredere. Steagul roșu: o adresă de expeditor care imită o afacere reală, un mesaj generic, cum ar fi „Stimate client” sau un link a cărui adresă nu corespunde cu textul atunci când treceți cu mouse-ul peste el. Oprire: Nu faceți clic. Accesați site-ul tastând adresa sau raportați mesajul.
2. Phishing-ul de harpon. Același truc, destinat unei singure persoane. Expeditorul folosește numele tău, numele managerului tău și un proiect la care lucrezi cu adevărat, care poate fi reconstruit din informații publice. Steagul roșu: o cerere ciudat de specifică, dar neobișnuită, cum ar fi „trimiteți-mi contractul Atlas astăzi”. Oprire: întrebați expeditorul pe un canal diferit, cum ar fi un apel către un număr pe care îl aveți deja.
3. zâmbind. Phishing prin mesaje text. CISA descrie mirosind ca inginerie socială care exploatează mesajele SMS, cu link-uri, numere sau adrese care deschid un browser sau formează un apel atunci când sunt atinse. Steagul roșu: un mesaj de tip „colet reținut” sau „cont blocat” cu un link scurt. Oprire: șterge-l și deschide aplicația sau site-ul real.
4. Vishing. Phishing prin voce. CISA spune Vishing folosește apeluri vocale și că ID-ul apelantului poate fi falsificat, așa că un apel care afișează un nume familiar nu dovedește nimic. Steagul roșu: un apelant care creează presiune și solicită un cod sau o parolă. Oprire: închideți și sunați înapoi la numărul tipărit pe un extras de cont sau pe site-ul web al companiei.
5. Phishing prin coduri QR. Un cod QR ascunde adresa la care duce. FBI-ul a avertizat asupra pachete nesolicitate care conțin un cod QR care solicită destinatarului informații personale și financiare sau instalează software care fură date. Steagul roșu: un cod la care nu te așteptai, fără informații despre expeditor. Oprire: Nu scanați coduri QR din surse necunoscute.

Alegerea noastră: exemplul 4, vishing. Verizon a constatat că, în simulările de phishing, rata mediană de clicuri în vectorii centrați pe mobil, cum ar fi mesageria vocală și text, au fost cu 40% mai mari decât prin e-mail. Oamenii au învățat să nu aibă încredere în e-mail mai repede decât au învățat să nu aibă încredere într-un apel telefonic.

Setul 2: Pretextarea și uzurparea identității

Verizon definește pretextarea ca o tactică de atacare în care O relație de încredere se construiește prin scenarii inventate pentru a păcăli utilizatorul într-o acțiune care compromite organizația, frecvent prin voce, dar și prin e-mail sau SMS. Aceasta a atins 6% din totalul încălcărilor de securitate din raportul din 2026, față de 16% pentru phishing.

6. Fraudă în cazul directorilor generali și compromiterea e-mailurilor de afaceri. Centrul de Reclamații privind Infracțiunile pe Internet (IC3) al FBI definește compromiterea e-mailurilor de afaceri (BEC) ca o înșelătorie care vizează companiile și funcționează prin intermediul conturilor de e-mail compromise și al altor comunicări pentru a provoca transferuri neautorizate de fonduri. În 2025, IC3 a înregistrat 24,768 de reclamații BEC și pierderi raportate de aproximativ 3.05 miliarde de dolari. Steagul roșu: o solicitare urgentă din partea unui lider superior de a plăti sau de a cumpăra carduri cadou, cu o linie „nu spuneți nimănui”. Oprire: confirmați orice solicitare de plată telefonic sau personal.
7. Suport IT fals. Cineva pretinde că este de la serviciul de asistență și are nevoie de parola sau accesul de la distanță „pentru a remedia o problemă”. IC3 a fost primit. 47,794 de reclamații privind asistența tehnică în 2025, cu pierderi raportate de peste 2.1 miliarde de dolari. Steagul roșu: Echipa IT vă contactează mai întâi și vă solicită o parolă sau un cod de unică folosință. Oprire: Echipele IT reale nu au nevoie de parola ta. Închide apelul și trimite un tichet prin ruta obișnuită.
8. Modificare factură furnizor. Un e-mail, aparent de la un furnizor obișnuit, spune că datele bancare ale acestuia s-au schimbat. Definiția BEC a IC3 acoperă escrocheriile care vizează companii care lucrează cu furnizori și efectuează în mod regulat transferuri bancare. Steagul roșu: noi detalii bancare cu un termen limită de plată. Oprire: Sunați furnizorul la un număr deja înregistrat înainte de a schimba ceva.
9. Recrutor fals. Un „recrutor” abordează un membru al personalului cu un rol care seamănă cu o promovare, apoi îi cere documente personale sau o sarcină de testare care necesită descărcare. IC3 a primit 24,688 de plângeri privind escrocherii în domeniul angajării în 2025. Steagul roșu: o ofertă la care nu ai aplicat, cu pași rapizi. Oprire: Verifică recrutorul prin pagina de cariere a companiei și nu instala niciodată software pentru un interviu.
10. Voce falsă. O voce clonată care sună ca și cum directorul tău ar cere o plată urgentă. IC3 spune clonarea vocală poate fi utilizată pentru a solicita plata prin transfer bancar și că firmele au raportat pierderi de peste 30 de milioane de dolari în 2025 din cauza escrocheriilor BEC care implică inteligența artificială. Steagul roșu: un mesaj vocal sau un apel care te îndeamnă să acționezi înainte de a putea verifica. Oprire: conveniți asupra unui cuvânt de cod sau a unei reguli de returnare a plăților, deci o voce convingătoare nu este suficientă.

Alegerea noastră: exemplul 6, frauda CEO și BEC. Este cel mai costisitor exemplu aici, depășind chiar și escrocheriile cu asistență tehnică din cifrele IC3 din 2025, iar acțiunea de oprire este ieftină: un apel telefonic către un număr cunoscut înainte ca vreun ban să se miște.

Setul 3: Atacuri fizice și momeală

Aceste atacuri nu necesită tastatură. Sunt importante deoarece un străin din clădire poate ajunge la ceea ce protejează un firewall.

11. Tailgating. Cineva te urmează printr-o ușă securizată „pentru că are mâinile ocupate”. Steagul roșu: o persoană fără insignă care este relaxată și prietenoasă. Oprire: rugați-i politicos să se prezinte singuri cu legitimație sau conduceți-i la recepție.
12. Momeală cu unități USB. Un stick USB etichetat „Revizuire salarială 2027” este lăsat în parcare sau în hol. Steagul roșu: orice unitate amovibilă pe care nu ați cumpărat-o. Oprire: Nu conectați niciodată un dispozitiv găsit. Dați-l departamentului IT, care îl poate inspecta în siguranță.
13. Surfing pe umeri. Cineva îți citește ecranul sau te privește tastând un cod PIN într-un tren sau la un hot desk. Steagul roșu: o persoană care stă prea aproape sau care îndreaptă telefonul spre ecranul tău. Oprire: folosește un filtru de confidențialitate, blochează ecranul când te îndepărtezi și stai cu spatele la perete.
14. Scufundare cu tomberon. E-mailurile tipărite, organigramele și notele de ședință aruncate într-un coș obișnuit îi oferă unui atacator nume, numere de telefon și titluri de proiecte pentru următorul apel. Steagul roșu: hârtie cu nume sau numere într-un coș deschis. Oprire: Folosește un distrugător de documente sau un coș de gunoi încuiat și păstrează obiceiul de a avea biroul curat.
15. Livrare falsă. Un curier cu o jachetă cu sigla cere să fie lăsat să intre pe lângă recepție sau să lase un colet în camera serverelor. Steagul roșu: o livrare pe care nimeni nu a comandat-o sau una care nu poate ajunge la recepție. Oprire: Du-l la recepție și verifică coletele neașteptate la persoana numită pe etichetă.

Alegerea noastră: exemplul 11, tailgating. Nu necesită îndemânare și nu costă nimic, iar bunele maniere sunt cele care îl fac să funcționeze. Dați-i personalului un scenariu politicos, astfel încât provocarea cuiva să pară normală și nu nepoliticoasă.

Cum să le oprești pe toate cele 15

Cele 15 exemple au un lucru în comun: te împing să acționezi rapid și să acționezi singur. Trei obiceiuri strică acest lucru.

1. Verificați printr-un al doilea canal. Dacă o solicitare implică bani, o parolă, un cod sau acces, confirmați-o printr-o altă cale, utilizând datele de contact pe care le aveți deja. CISA vă recomandă ca, dacă nu sunteți sigur dacă o solicitare este reală, Verificați contactând direct companiași nu cu informațiile de contact furnizate în mesaj.
2. Raportează-l. Sfatul CISA pentru suspiciunile de phishing este să raportează mesajul și apoi ștergeți-l. Faceți din raportare un obicei cu un singur clic, fără învinovățire, astfel încât prima persoană care observă ceva să îi avertizeze pe toți ceilalți.
3. Incetineste. Liste CISA limbaj urgent sau atrăgător din punct de vedere emoțional printre semnele comune de phishing. CISA notează, de asemenea, că gramatica perfectă nu mai este o dovadă a siguranței, deoarece unele e-mailuri au acum ortografie perfectă datorită inteligenței artificiale. Atunci când un mesaj necesită viteză, acesta este semnalul de pauză.

Antrenamentul este modul în care obiceiurile se mențin. Elementul uman fiind prezent în 62% din încălcări, per Raportul Verizon din 2026, o echipă care a exersat identificarea acestor 15 exemple este o parte importantă a apărării tale. Pentru un program mai amplu, consultă ghidul nostru despre formare de conștientizare a securității cibernetice.

Modalități de a găzdui o sesiune de inginerie socială cu AhaSlides

Rulați cele 15 exemple în direct, într-o cameră sau într-un apel video, cu răspunsurile pe ecran pe măsură ce oamenii răspund.

1. Alegeți răspunsul: „Real sau phishing?” Arătați câte un mesaj inventat pentru fiecare exemplu și întrebați dacă este autentic. Descoperiți semnalul de alarmă și discutați.
2. Nor de cuvinte: „Înșelătoria pe care o primești cel mai des”. Cel mai mare cuvânt arată ce trebuie exersat mai întâi.
3. Scală de evaluare: „Cât de sigur ești că poți identifica un fals?” Cereți o notă de la 1 la 5 înainte și după sesiune și comparați mediile.
4. Întrebare deschisă: „Am primit un mesaj suspect”. Colectați exemple reale, fără nume, și folosiți-l pe cel mai bun ca scenariu pentru runda următoare.

Șablonul de curs de phishing și inginerie socială vă oferă slide-uri predefinite pe care le puteți adapta, iar șablonul de conștientizare a amenințărilor interne este o bună continuare pentru întreaga echipă.

Întrebări frecvente

Care sunt exemple de inginerie socială?

Principalele tipuri de phishing, pretexting, baiting și tailgating sunt. Această postare enumeră 15, de la phishing și vishing prin e-mail până la asistență IT falsă, baiting prin USB și livrări false.

Care este cel mai comun tip de inginerie socială?

Phishing. Raportul Verizon din 2026 plasează phishing-ul la 16% din totalul încălcărilor de securitate, față de 6% pentru pretextare, iar IC3 a primit 191,561 de reclamații de phishing și spoofing în 2025.

Cum previi ingineria socială?

Verificați solicitările printr-un al doilea canal și raportați-le pe cele suspecte. Adăugați instruire scurtă și regulată, deoarece atacurile se schimbă mai repede decât orice curs singular.

Ce este pretextul?

O poveste inventată, folosită pentru a obține informații sau acces. Atacatorul construiește încredere printr-un scenariu credibil, cum ar fi un apel la serviciul de asistență, apoi solicită o parolă, o plată sau menținerea unei uși deschise.

Unde să încep

Alegeți un set și prezentați-l la următoarea ședință de echipă. Dacă aveți timp doar pentru un exemplu, faceți-l vishing, apoi întrebați-i pe toți ce ar face la următorul apel neașteptat.