Примеры социальной инженерии: 15 атак и как их предотвратить.

Социальная инженерия, по словам Агентства по кибербезопасности и защите инфраструктуры США (CISA), — это атака, при которой «Злоумышленник использует человеческое взаимодействие (социальные навыки) для получения или компрометации информации об организации или ее компьютерных системах».Это работает, потому что нацелено на людей, а не на программное обеспечение. В отчете Verizon о расследованиях утечек данных за 2026 год было установлено, что Человеческий фактор присутствовал в 62% случаев нарушений.по сравнению с 60% годом ранее.

Здесь представлены 15 примеров социальной инженерии, разделенных на 3 группы по 5. Для каждого примера указаны признаки, на которые следует обратить внимание, и действия, которые необходимо предпринять для предотвращения подобных атак. Группа 1 охватывает фишинг, группа 2 – использование ложных предлогов и выдачу себя за другое лицо, а группа 3 – физические атаки и приманки. Каждая группа заканчивается пояснением. Наш выбор, пример, который мы бы использовали в качестве первого для обучения, с однострочным обоснованием.

Все приведенные ниже примеры компаний, людей и сообщений вымышлены.

Набор 1: Семейство фишинговых атак

1. Фишинг по электронной почте. Сообщение, которое выглядит так, будто пришло от банка, поставщика или вашей собственной ИТ-команды, просит вас перейти по ссылке и войти в систему. CISA утверждает, что фишинговые атаки используют электронную почту или вредоносные веб-сайты для... вымогать личную информацию, выдавая себя за заслуживающую доверия организацию.. Красный флаг: Адрес отправителя, имитирующий адрес реальной компании, стандартное приветствие, например, «Уважаемый клиент», или ссылка, адрес которой не совпадает с текстом при наведении курсора. Стоп: Не переходите по ссылке. Перейдите на сайт, введя адрес самостоятельно, или сообщите о сообщении.
2. Целевой фишинг. Та же уловка, но нацеленная на одного человека. Отправитель использует ваше имя, имя вашего руководителя и название проекта, над которым вы действительно работаете, — информацию можно собрать из общедоступных источников. Красный флаг: Запрос, который кажется странно конкретным, но при этом нехарактерным для данного человека, например: «Пришлите мне контракт с компанией Atlas сегодня же». Стоп: Обратитесь к отправителю по другому каналу, например, позвонив на номер, который у вас уже есть.
3. смишинг Фишинг посредством текстовых сообщений. CISA описывает это. smishing Это социальная инженерия, которая использует SMS-сообщения, содержащие ссылки, номера или адреса, которые при нажатии открывают браузер или совершают звонок. Красный флаг: Текст «посылка задержана» или «учетная запись заблокирована» с короткой ссылкой. Стоп: Удалите его и откройте настоящее приложение или сайт самостоятельно.
4. Вишинг. Фишинг по телефону. Об этом заявляет CISA. Вишинг Используется голосовая связь, и идентификатор вызывающего абонента может быть подделан, поэтому звонок с отображением знакомого имени ничего не доказывает. Красный флаг: Звонящий, который оказывает давление и запрашивает код или пароль. Стоп: Положите трубку и перезвоните по номеру, указанному в выписке или на сайте компании.
5. Фишинг с использованием QR-кодов. QR-код скрывает адрес, на который он ведет. ФБР предупредило о незапрошенные посылки, содержащие QR-код который запрашивает у получателя личную и финансовую информацию или устанавливает программное обеспечение для кражи данных. Красный флаг: Неожиданный код без информации об отправителе. Стоп: Не сканируйте QR-коды неизвестного происхождения.

Наш выбор: пример 4, вишинг. Компания Verizon обнаружила, что в симуляциях фишинга медианный показатель кликов в Показатель использования мобильных технологий, таких как голосовые и текстовые сообщения, был на 40% выше. чем по электронной почте. Люди научились не доверять электронной почте быстрее, чем телефонным звонкам.

Набор 2: Использование предлогов и выдача себя за другое лицо

Компания Verizon определяет претекстинг как тактику злоумышленника, при которой Доверительные отношения строятся посредством тщательно продуманных сценариев. Обманом склонить пользователя к действию, которое ставит под угрозу безопасность организации, часто с помощью голосовых сообщений, а также электронной почты или текстовых сообщений. В отчете за 2026 год на это приходилось 6% всех случаев взлома, против 16% для фишинга.

6. Мошенничество со стороны генерального директора и компрометация корпоративной электронной почты. Центр по рассмотрению жалоб на интернет-преступления ФБР (IC3) дает определение... Компрометация деловой электронной почты (BEC) Это мошенническая схема, нацеленная на предприятия и использующая взломанные учетные записи электронной почты и другие средства связи для осуществления несанкционированных переводов средств. В 2025 году IC3 зарегистрировала 24 768 жалоб на BEC (Business Email Compromise) и сообщила о потерях на сумму около 3.05 миллиарда долларов. Красный флаг: Срочная просьба от высокопоставленного руководителя оплатить или купить подарочные карты с пометкой «никому не говорите». Стоп: Подтвердите любой запрос на оплату по телефону или лично.
7. Фальшивая ИТ-поддержка. Кто-то представляется сотрудником службы поддержки и ему нужен ваш пароль или удалённый доступ «для решения проблемы». Получено сообщение IC3. В 2025 году будет подано 47 794 жалобы в службу технической поддержки.с заявленными убытками, превышающими 2.1 миллиарда долларов. Красный флаг: Сначала с вами свяжется IT-отдел и запросит пароль или одноразовый код. Стоп: Настоящим IT-специалистам ваш пароль не нужен. Просто положите трубку и создайте заявку обычным способом.
8. Изменение счета-фактуры поставщика. В электронном письме, предположительно от постоянного поставщика, говорится об изменении банковских реквизитов. Определение BEC (Business Email Compromise) от IC3 охватывает мошеннические схемы, направленные на... предприятия, работающие с поставщиками и регулярно осуществляющие банковские переводы. Красный флаг: Новые банковские реквизиты с указанием срока оплаты. Стоп: Прежде чем что-либо менять, позвоните поставщику по номеру телефона, который уже есть в вашей базе данных.
9. Фальшивый рекрутер. «Рекрутер» обращается к сотруднику с предложением должности, которая выглядит как повышение, а затем просит предоставить личные документы или выполнить тестовое задание, требующее загрузки файлов. IC3 получил В 2025 году было зарегистрировано 24 688 жалоб на мошенничество при трудоустройстве.. Красный флаг: Предложение, на которое вы не подавали заявку, с быстрыми темпами рассмотрения. Стоп: Проверяйте информацию о рекрутере через страницу вакансий самой компании и ни в коем случае не устанавливайте программное обеспечение для проведения собеседований.
10. Голос, созданный с помощью технологии Deepfake. Клонированный голос, похожий на голос вашего директора, требует срочной оплаты. IC3 сообщает: Клонирование голоса можно использовать для запроса банковского перевода. и что предприятия сообщили об убытках в размере более 30 миллионов долларов в 2025 году от мошеннических схем BEC, связанных с искусственным интеллектом. Красный флаг: Голосовое сообщение или звонок, которые подталкивают вас к действию, прежде чем вы успеете проверить информацию. Стоп: Договоритесь о кодовом слове или правиле обратного звонка для платежей, поэтому убедительного голоса недостаточно.

Наш выбор: пример 6, мошенничество с участием генерального директора и BEC (Business Email Compromise). Это самый дорогостоящий пример из всех, даже опережающий мошенничества в сфере технической поддержки, согласно данным IC3 за 2025 год, а остановить это можно недорого: один телефонный звонок на известный номер, прежде чем начнутся какие-либо денежные переводы.

Третий этап: Физические атаки и приманка.

Для этих атак не нужна клавиатура. Они имеют значение, потому что посторонний человек в здании может получить доступ к тому, что защищает брандмауэр.

11. Двигаясь впритык. Кто-то следует за вами через надежную дверь, «потому что у него заняты руки». Красный флаг: Человек без значка, спокойный и дружелюбный. Стоп: Вежливо попросите их пройти самостоятельно, используя бейджи, или проводите их до стойки регистрации.
12. Приманка с помощью USB-накопителей. В гараже или вестибюле оставляют USB-накопитель с надписью «Пересмотр заработной платы 2027». Красный флаг: любой съемный накопитель, который вы не купили. Стоп: Никогда не подключайте найденное устройство к сети. Передайте его в ИТ-отдел, где его смогут безопасно осмотреть.
13. Подглядывание через плечо. Кто-то читает текст с вашего экрана или наблюдает за тем, как вы вводите PIN-код в поезде или за рабочим столом в коворкинге. Красный флаг: человек, стоящий слишком близко или направляющий телефон на экран вашего устройства. Стоп: Используйте фильтр конфиденциальности, блокируйте экран, когда отходите, и сидите спиной к стене.
14. Дайвинг в мусорном баке. Выброшенные в обычную мусорную корзину распечатанные электронные письма, организационные схемы и протоколы совещаний предоставляют злоумышленнику имена, номера телефонов и названия проектов для следующего звонка. Красный флаг: Бумага с именами или номерами в открытой мусорной корзине. Стоп: Используйте шредер или закрытый контейнер для мусора и следите за тем, чтобы на рабочем столе не было мусора.
15. Поддельная доставка. Курьер в фирменной куртке просит впустить его за ресепшен или оставить посылку в серверной. Красный флаг: Доставка, которую никто не заказывал, или та, которую невозможно доставить на ресепшн. Стоп: Отнесите посылку на стойку регистрации и проверьте наличие недостающих посылок у сотрудника, указанного на этикетке.

Наш выбор: пример 11, пикник перед спортивным мероприятием. Для этого не требуется никаких навыков и ничего не стоит, а успех зависит от хороших манер. Дайте сотрудникам вежливый сценарий, чтобы пререкания с кем-либо воспринимались как нечто нормальное, а не как невежливость.

Как остановить все 15

Все 15 примеров объединяет одно: они подталкивают вас к быстрым и самостоятельным действиям. Три привычки этому препятствуют.

1. Проверьте информацию по второму каналу. Если запрос касается денег, пароля, кода или доступа, подтвердите его другим способом, используя уже имеющиеся у вас контактные данные. CISA советует, если вы не уверены в подлинности запроса, Для уточнения информации свяжитесь напрямую с компанией.а не с контактной информацией, указанной в сообщении.
2. Доложите об этом. Рекомендации CISA в случае подозрения на фишинг заключаются в следующем: сообщить о сообщении а затем удалите это. Сделайте систему сообщений об ошибках удобной и исключающей обвинение, чтобы тот, кто первым заметит проблему, предупредил всех остальных.
3. Помедленнее. CISA списки срочный или эмоционально привлекательный язык Это один из распространенных признаков фишинга. CISA также отмечает, что безупречная грамматика больше не является доказательством безопасности, поскольку благодаря искусственному интеллекту некоторые электронные письма теперь имеют безупречную орфографию. Когда сообщение требует быстрой реакции, это сигнал к тому, чтобы сделать паузу.

Тренировка — это то, как закрепляются привычки. Учитывая, что человеческий фактор присутствует в 62% случаев нарушений, Отчет Verizon за 2026 годКоманда, которая отработала навыки выявления этих 15 примеров, является реальной частью вашей защиты. Более подробную информацию о программе см. в нашем руководстве. обучение по вопросам кибербезопасности.

Способы проведения сеанса социальной инженерии с использованием AhaSlides

Проведите 15 примеров в режиме реального времени, в комнате или во время видеозвонка, отображая ответы на экране по мере того, как участники реагируют.

1. Выберите ответ: «Настоящее или фишинговое?» Для каждого примера покажите вымышленное сообщение и спросите, является ли оно подлинным. Выявите тревожный сигнал и обсудите его.
2. Облако слов: «Наиболее распространенная афера». Самое крупное слово указывает, с чего следует начинать тренировку.
3. Шкала оценок: «Насколько вы уверены в своей способности распознать подделку?» Попросите участников оценить вас по шкале от 1 до 5 до и после сеанса, а затем сравните средние значения.
4. Открытый вопрос: «Подозрительное сообщение, которое я получил». Соберите реальные примеры, удалив имена, и используйте лучший из них в качестве сценария для следующего раунда.

Шаблон курса по фишингу и социальной инженерии предоставляет готовые слайды для адаптации, а шаблон курса по повышению осведомленности об угрозах со стороны инсайдеров станет хорошим дополнением для всей команды.

Часто задаваемые вопросы

Какие существуют примеры социальной инженерии?

Фишинг, претекстинг, приманка и слежка — основные из них. В этом посте перечислены 15 видов фишинга, от фишинга по электронной почте и вишинга до поддельной ИТ-поддержки, подделки USB-накопителей и фальшивых доставок.

Какой вид социальной инженерии встречается чаще всего?

Фишинг. Согласно отчету Verizon за 2026 год, фишинг составляет 16% всех утечек данных, против 6% для обмана с использованием ложных предлогов, а IC3 получила 191 561 жалобу на фишинг и подмену адресов в 2025 году.

Как предотвратить социальную инженерию?

Проверяйте запросы через второй канал и сообщайте о подозрительных. Добавьте короткие регулярные обучающие занятия, поскольку атаки меняются быстрее, чем любой разовый курс.

Что такое предлог?

Выдуманная история, используемая для получения информации или доступа. Злоумышленник завоевывает доверие, создавая правдоподобный сценарий, например, звонок в службу поддержки, а затем просит пароль, оплату или придержать дверь.

Когда начать

Выберите один пример и обсудите его на следующем командном собрании. Если у вас есть время только на один пример, сделайте его с помощью видеозвонков, а затем спросите всех, что бы они сделали в следующей неожиданной ситуации.