Príklady sociálneho inžinierstva: 15 útokov a ako ich zastaviť

Sociálne inžinierstvo je podľa slov americkej Agentúry pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry (CISA) útok, pri ktorom „Útočník využíva ľudskú interakciu (sociálne zručnosti) na získanie alebo ohrozenie informácií o organizácii alebo jej počítačových systémoch“Funguje to, pretože sa zameriava na ľudí, nie na softvér. Správa spoločnosti Verizon o vyšetrovaní únikov údajov z roku 2026 zistila, že ľudský prvok bol prítomný v 62 % porušení, čo je nárast oproti 60 % v predchádzajúcom roku.

Tu je 15 príkladov sociálneho inžinierstva v 3 sadách po 5 kusoch. Každý z nich obsahuje varovný signál, na ktorý treba dávať pozor, a krok, ktorý treba podniknúť. Sada 1 sa zaoberá rodinou phishingových útokov, sada 2 sa zaoberá zámienkami a vydávaním sa za inú osobu a sada 3 sa zaoberá fyzickými útokmi a návnadami. Každá sada končí Náš výber, príklad, ktorý by sme trénovali ako prvý, s jednoriadkovým zdôvodnením.

Všetky nižšie uvedené príklady spoločností, ľudí a správ sú vymyslené.

Sada 1: Rodina phishingových útokov

1. Phishing e-mailov. Správa, ktorá vyzerá, akoby pochádzala od banky, dodávateľa alebo vášho vlastného IT tímu, vás žiada o kliknutie na odkaz a prihlásenie. CISA tvrdí, že phishingové útoky používajú e-mail alebo škodlivé webové stránky na vyžiadať si osobné údaje vydávaním sa za dôveryhodnú organizáciu. Červená vlajka: adresa odosielateľa, ktorá napodobňuje skutočnú firmu, všeobecný pozdrav ako „Vážený zákazník“ alebo odkaz, ktorého adresa nezodpovedá textu, keď naň podržíte kurzor myši. zastavenie: Neklikajte. Prejdite na stránku zadaním adresy sami alebo nahláste správu.
2. Phishingové útoky typu spear. Rovnaký trik, zameraný na jednu osobu. Odosielateľ použije vaše meno, meno vášho manažéra a projekt, na ktorom skutočne pracujete, čo sa dá poskladať z verejne dostupných informácií. Červená vlajka: požiadavka, ktorá je zvláštne špecifická, no zároveň netypická, napríklad „pošlite mi ešte dnes zmluvu s Atlasom“. zastavenie: opýtajte sa odosielateľa na inom kanáli, napríklad zavolaním na číslo, ktoré už máte.
3. Smishing. Phishing prostredníctvom textovej správy. CISA popisuje SMiShingových ako sociálne inžinierstvo, ktoré zneužíva SMS správy s odkazmi, číslami alebo adresami, ktoré po klepnutí otvoria prehliadač alebo vytočia hovor. Červená vlajka: textovú správu s krátkym odkazom o „pozastavení balíka“ alebo „uzamknutí účtu“. zastavenie: odstráňte ho a otvorte si skutočnú aplikáciu alebo stránku sami.
4. Vishing. Phishing hlasom. CISA tvrdí vishing používa hlasové hovory a táto identifikácia volajúceho môže byť sfalšovaná, takže hovor, ktorý zobrazuje známe meno, nič nedokazuje. Červená vlajka: volajúci, ktorý vyvíja nátlak a žiada o kód alebo heslo. zastavenie: zložte a zavolajte späť na číslo uvedené na výpise alebo na webovej stránke spoločnosti.
5. Phishing s QR kódmi. QR kód skrýva adresu, na ktorú vedie. FBI varovala pred... nevyžiadané balíky obsahujúce QR kód ktorý od príjemcu žiada osobné a finančné informácie alebo inštaluje softvér na krádež údajov. Červená vlajka: kód, ktorý ste neočakávali, bez informácií o odosielateľovi. zastavenie: Neskenujte QR kódy z neznámych zdrojov.

Náš výber: príklad 4, Vishing. Spoločnosť Verizon zistila, že v simuláciách phishingu bola mediánová miera kliknutí v mobilné vektory, ako sú hlasové a textové správy, boli o 40 % vyššie než prostredníctvom e-mailu. Ľudia sa naučili nedôverovať e-mailom rýchlejšie ako telefonátu.

Sada 2: Predstieranie a vydávanie sa za inú osobu

Verizon definuje zámienku ako útočnú taktiku, pri ktorej Dôveryhodný vzťah sa buduje prostredníctvom vymyslených scenárov oklamať používateľa a prinútiť ho k akcii, ktorá ohrozí organizáciu, často hlasom, ale aj e-mailom alebo textovou správou. V správe z roku 2026 dosiahol 6 % všetkých narušení v porovnaní so 16 % v prípade phishingu.

6. Podvod zo strany generálneho riaditeľa a kompromitácia firemných e-mailov. Centrum pre sťažnosti na internetovú kriminalitu (IC3) FBI definuje kompromitácia firemných e-mailov (BEC) ako podvod, ktorý sa zameriava na firmy a funguje prostredníctvom napadnutých e-mailových účtov a inej komunikácie s cieľom spôsobiť neoprávnené prevody finančných prostriedkov. V roku 2025 IC3 zaznamenala 24 768 sťažností na BEC a nahlásila straty vo výške približne 3.05 miliardy dolárov. Červená vlajka: naliehavá žiadosť od vedúceho pracovníka o zaplatenie alebo kúpu darčekových poukážok s poznámkou „nikomu to nehovorte“. zastavenie: potvrďte akúkoľvek žiadosť o platbu telefonicky alebo osobne.
7. Falošná IT podpora. Niekto tvrdí, že je z technickej podpory a potrebuje vaše heslo alebo vzdialený prístup „na vyriešenie problému“. IC3 dostal 47 794 sťažností na technickú podporu v roku 2025, s hlásenými stratami presahujúcimi 2.1 miliardy dolárov. Červená vlajka: IT oddelenie vás najskôr kontaktuje a požiada o heslo alebo jednorazový kód. zastavenie: Skutočné IT tímy vaše heslo nepotrebujú. Zaveste a odošlite požiadavku obvyklým spôsobom.
8. Zmena faktúry dodávateľa. V e-maile, zrejme od bežného dodávateľa, sa uvádza, že sa zmenili jeho bankové údaje. Definícia BEC od IC3 zahŕňa podvody, ktoré sú zamerané na firmy spolupracujúce s dodávateľmi a pravidelne vykonávajúce bankové prevody. Červená vlajka: nové bankové údaje s termínom platby. zastavenie: Predtým, ako čokoľvek zmeníte, zavolajte dodávateľovi na číslo, ktoré už má v záznamoch.
9. Falošný náborár. „Náborár“ osloví zamestnanca s pozíciou, ktorá vyzerá ako povýšenie, a potom ho požiada o osobné dokumenty alebo o testovaciu úlohu, ktorú je potrebné stiahnuť. IC3 dostal 24 688 sťažností na podvody v oblasti zamestnanosti v roku 2025. Červená vlajka: ponuka, o ktorú ste sa neuchádzali, s rýchlymi krokmi. zastavenie: Skontrolujte si náborára prostredníctvom stránky s kariérnymi ponukami danej spoločnosti a nikdy si neinštalujte softvér na pohovor.
10. Hlboko falošný hlas. Naklonovaný hlas, ktorý znie, akoby váš riaditeľ žiadal o urgentnú platbu. IC3 hovorí klonovanie hlasu sa dá použiť na vyžiadanie bankovej platby a že podniky v roku 2025 nahlásili straty vo výške viac ako 30 miliónov dolárov v dôsledku podvodov BEC zahŕňajúcich umelú inteligenciu. Červená vlajka: hlasová správa alebo hovor, ktorý vás núti konať skôr, ako si to stihnete skontrolovať. zastavenie: dohodnúť sa na kódovom slove alebo pravidle spätného volania pre platby, takže presvedčivý hlas nestačí.

Náš výber: príklad 6, podvod generálneho riaditeľa a BEC. Je to tu najnákladnejší príklad, v číslach IC3 z roku 2025 dokonca pred podvodmi s technickou podporou, a zastavenie je lacné: jeden telefonát na známe číslo predtým, ako sa peniaze presunú.

Sada 3: Fyzické útoky a návnady

Tieto útoky nepotrebujú klávesnicu. Sú dôležité, pretože cudzí človek v budove sa môže dostať k tomu, čo chráni firewall.

11. Zadná časť. Niekto vás nasleduje cez zabezpečené dvere, „pretože má plné ruky práce“. Červená vlajka: osoba bez odznaku, ktorá je uvoľnená a priateľská. zastavenie: Zdvorilo ich požiadajte, aby si sami priniesli preukaz, alebo ich odprevaďte na recepciu.
12. Návnady pomocou USB kľúčov. USB kľúč s označením „Prehľad platov 2027“ sa necháva na parkovisku alebo vo vstupnej hale. Červená vlajka: akýkoľvek vymeniteľný disk, ktorý ste si nekúpili. zastavenie: Nikdy nepripájajte nájdené zariadenie. Odovzdajte ho IT oddeleniu, ktoré ho môže bezpečne skontrolovať.
13. Surfovanie po ramenách. Niekto vám číta obrazovku alebo vás sleduje, ako píšete PIN kód vo vlaku či za preplneným stolom. Červená vlajka: osoba stojaca príliš blízko alebo nakláňajúca telefón k vašej obrazovke. zastavenie: používajte filter súkromia, uzamknite obrazovku, keď odídete, a sadnite si chrbtom k stene.
14. Potápanie v kontajneroch. Vytlačené e-maily, organizačné schémy a poznámky zo schôdzí vhodené do bežného koša poskytnú útočníkovi mená, telefónne čísla a názvy projektov pre ďalší hovor. Červená vlajka: papier s menami alebo číslami v otvorenom koši. zastavenie: používajte skartovačku alebo uzamykateľný kôš na odpad a dodržiavajte zvyk upratovať si stôl.
15. Falošné doručenie. Kuriér v značkovej bunde žiada, aby ho pustili dnu po recepcii alebo aby nechal balík v serverovni. Červená vlajka: donáška, ktorú si nikto neobjednal, alebo taká, ktorá nemôže ísť na recepciu. zastavenie: Vezmite si ho na recepcii a neočakávané balíky skontrolujte u osoby uvedenej na štítku.

Náš výber: príklad 11, predbiehanie. Nevyžaduje si to žiadne zručnosti, nič to nestojí a vďaka dobrým spôsobom to funguje. Dajte zamestnancom zdvorilý scenár, aby sa spochybňovanie niekoho cítilo normálne a nie neslušné.

Ako zastaviť všetkých 15

Týchto 15 príkladov má jednu spoločnú vec: nútia vás konať rýchlo a samostatne. Tri návyky to narúšajú.

1. Overte cez druhý kanál. Ak sa žiadosť týka peňazí, hesla, kódu alebo prístupu, potvrďte ju iným spôsobom pomocou kontaktných údajov, ktoré už máte. CISA odporúča, aby ste si v prípade pochybností o skutočnosti žiadosti overte si to priamym kontaktovaním spoločnostia nie s kontaktnými informáciami uvedenými v správe.
2. Nahláste to. CISA odporúča v prípade podozrenia z phishingu nahlásiť správu a potom to vymažte. Z nahlasovania urobte zvyk jedným kliknutím bez obviňovania, aby prvá osoba, ktorá si niečo všimne, varovala všetkých ostatných.
3. Spomaľ. Zoznamy CISA naliehavý alebo emocionálne príťažlivý jazyk medzi bežné znaky phishingu. CISA tiež poznamenáva, že dokonalá gramatika už nie je dôkazom bezpečnosti, pretože niektoré e-maily majú vďaka umelej inteligencii dokonalý pravopis. Keď správa vyžaduje rýchlosť, je to signál na pozastavenie.

Tréning je spôsob, akým sa návyky udržiavajú. Ľudský prvok je prítomný v 62 % porušení, podľa Správa spoločnosti Verizon za rok 2026, tím, ktorý si precvičil rozpoznávanie týchto 15 príkladov, je skutočnou súčasťou vašej obhajoby. Širší program nájdete v našom sprievodcovi školenie o kybernetickej bezpečnosti.

Spôsoby usporiadania stretnutia o sociálnom inžinierstve s AhaSlides

Spustite 15 príkladov naživo, v miestnosti alebo počas videohovoru, pričom odpovede sa zobrazujú na obrazovke, zatiaľ čo ľudia odpovedajú.

1. Vyberte odpoveď: „Skutočné alebo podvodné?“ Ukážte vymyslenú správu pre každý príklad a opýtajte sa, či je pravdivá. Odhaľte varovný signál a diskutujte.
2. Slovný mrak: „Podvod, ktorý zažívate najčastejšie“. Najväčšie slovo ukazuje, čo si treba precvičiť ako prvé.
3. Hodnotiaca stupnica: „Ako ste si istí, že dokážete odhaliť falzifikát?“ Pred a po sedení požiadajte o hodnotenie od 1 do 5 a porovnajte priemery.
4. Otvorené: „Dostal(a) som podozrivú správu“. Zhromaždite skutočné príklady bez mien a použite ten najlepší ako scenár pre ďalšie kolo.

Šablóna kurzu Phishing a sociálne inžinierstvo vám poskytuje hotové snímky na prispôsobenie a šablóna pre povedomie o hrozbách zvnútra je dobrým následným krokom pre celý tím.

Často kladené otázky

Aké sú príklady sociálneho inžinierstva?

Hlavnými sú phishing, zámienkové textové správy, návnady a falošné doručovanie. Tento príspevok uvádza 15 príkladov, od phishingu a vishingu s použitím e-mailov až po falošnú IT podporu, návnady cez USB a falošné doručenia.

Aký je najbežnejší typ sociálneho inžinierstva?

Phishing. Správa spoločnosti Verizon z roku 2026 uvádza, že phishing predstavuje 16 % všetkých narušení, oproti 6 % v prípade textových správ s výhovorkami, a spoločnosť IC3 v roku 2025 prijala 191 561 sťažností na phishing a spoofing.

Ako predchádzate sociálnemu inžinierstvu?

Overujte požiadavky cez druhý kanál a podozrivé nahlasujte. Pridajte krátke, pravidelné školenia, pretože útoky sa menia rýchlejšie ako akýkoľvek jednorazový kurz.

Čo je to zámienka?

Vymyslený príbeh používaný na získanie informácií alebo prístupu. Útočník si buduje dôveru prostredníctvom uveriteľného scenára, ako je napríklad telefonát na linku technickej podpory, a potom požiada o heslo, platbu alebo podržanie dverí.

Kde začať

Vyberte si jednu sadu a spustite ju na ďalšej tímovej porade. Ak máte čas len na jeden príklad, urobte ho podrobným a potom sa všetkých opýtajte, čo by urobili pri ďalšom neočakávanom hovore.