Exempel på social ingenjörskonst: 15 attacker och hur man stoppar dem

Social ingenjörskonst är, enligt den amerikanska myndigheten Cybersecurity and Infrastructure Security Agency (CISA), en attack där "en angripare använder mänsklig interaktion (sociala färdigheter) för att få tag på eller kompromettera information om en organisation eller dess datorsystem"Det fungerar eftersom det riktar sig mot människor, inte programvara. Verizons rapport om utredningar av dataintrång från 2026 fann att Den mänskliga faktorn var närvarande i 62 % av intrången, en ökning från 60 % året innan.

Här är 15 exempel på social ingenjörskonst i 3 set om 5. Varje exempel har en varningssignal att leta efter och en stoppåtgärd att vidta. Set 1 täcker nätfiske, set 2 täcker förevändningar och identitetsstölder, och set 3 täcker fysiska attacker och lockbete. Varje set avslutas med en Vår pick, exemplet vi skulle träna först, med en enradig anledning.

Alla exempelföretag, personer och meddelanden nedan är påhittade.

Set 1: Nätfiskefamiljen

1. E-postnätfiske. Ett meddelande som ser ut att komma från en bank, en leverantör eller ditt eget IT-team ber dig klicka på en länk och logga in. CISA säger att nätfiskeattacker använder e-post eller skadliga webbplatser för att begära in personlig information genom att utge sig för att vara en pålitlig organisation. Röd flagga: en avsändaradress som imiterar ett riktigt företag, en generisk hälsning som "Bästa värderade kund" eller en länk vars adress inte matchar texten när du håller muspekaren över den. Stopp: klicka inte. Gå till webbplatsen genom att skriva adressen själv, eller rapportera meddelandet.
2. Spear phishing. Samma trick, riktat mot en person. Avsändaren använder ditt namn, din chefs namn och ett projekt du verkligen arbetar med, vilket kan pusslas ihop från offentlig information. Röd flagga: en förfrågan som är märkligt specifik men ändå olik karaktär, till exempel "skicka mig Atlas-kontraktet idag". Stopp: fråga avsändaren på en annan kanal, till exempel ett samtal till ett nummer du redan har.
3. Smishing. Nätfiske via sms. CISA beskriver smishing som social manipulation som utnyttjar SMS-meddelanden, med länkar, nummer eller adresser som öppnar en webbläsare eller ringer ett samtal när de trycks på. Röd flagga: ett "paket spärrat"- eller "konto låst"-meddelande med en kort länk. Stopp: radera den och öppna den riktiga appen eller webbplatsen själv.
4. Visning. Nätfiske via rösten. CISA säger vishing använder röstsamtal och att nummerpresentatören kan förfalskas, så ett samtal som visar ett bekant namn bevisar ingenting. Röd flagga: en uppringare som skapar påtryckningar och ber om en kod eller ett lösenord. Stopp: lägg på och ring tillbaka på numret som står tryckt på ett kontoutdrag eller företagets webbplats.
5. QR-kodsnätfiske. En QR-kod döljer adressen den leder till. FBI har varnat för oönskade paket som innehåller en QR-kod som ber mottagaren om personlig och finansiell information eller installerar programvara som stjäl data. Röd flagga: en kod du inte förväntade dig, utan avsändarinformation. Stopp: Skanna inte QR-koder från okänt ursprung.

Vårt val: exempel 4, vishing. Verizon fann att i nätfiskesimuleringar var medianklickfrekvensen i mobilcentrerade vektorer som röst- och textmeddelanden var 40 % högre än via e-post. Människor har lärt sig att misstro e-post snabbare än de har lärt sig att misstro ett telefonsamtal.

Set 2: Förevändningar och imitation av person

Verizon definierar pretexting som en angripartaktik där en förtroendefull relation byggs upp genom påhittade scenarier att lura användaren till en handling som komprometterar organisationen, ofta via röstsamtal men även via e-post eller sms. Det nådde 6 % av alla intrång i 2026 års rapport, jämfört med 16 % för nätfiske.

6. VD-bedrägeri och kompromiss med företags-e-post. FBI:s klagomålscentral för internetbrott (IC3) definierar affärse-postkompromiss (BEC) som en bluff som riktar sig mot företag och använder komprometterade e-postkonton och annan kommunikation för att orsaka obehöriga överföringar av medel. År 2025 registrerade IC3 24 768 BEC-klagomål och rapporterade förluster på cirka 3.05 miljarder dollar. Röd flagga: en brådskande begäran från en högre chef om att betala eller köpa presentkort, med en "berätta inte för någon"-fras. Stopp: bekräfta eventuella betalningsförfrågningar per telefon eller personligen.
7. Falsk IT-support. Någon påstår sig vara från helpdesk och behöver ditt lösenord eller din fjärråtkomst "för att åtgärda ett problem". IC3 mottogs 47 794 klagomål gällande teknisk support år 2025, med rapporterade förluster på över 2.1 miljarder dollar. Röd flagga: IT kontaktar dig först och ber om ett lösenord eller en engångskod. Stopp: Riktiga IT-team behöver inte ditt lösenord. Lägg på och skicka ett ärende via vanlig väg.
8. Ändring av leverantörsfaktura. Ett e-postmeddelande, tydligen från en vanlig leverantör, säger att deras bankuppgifter har ändrats. IC3:s BEC-definition omfattar bedrägerier som riktar sig mot företag som arbetar med leverantörer och regelbundet gör banköverföringar. Röd flagga: nya bankuppgifter med en betalningsfrist. Stopp: Ring leverantören på ett nummer som redan finns registrerat innan du ändrar något.
9. Falsk rekryterare. En "rekryterare" kontaktar en medarbetare med en roll som ser ut som en befordran och ber sedan om personliga dokument eller en testuppgift som behöver laddas ner. IC3 mottogs. 24 688 klagomål om anställningsbedrägerier år 2025. Röd flagga: ett erbjudande du inte sökte, med snabba steg. Stopp: kolla rekryteraren via företagets egen karriärsida och installera aldrig programvara inför en intervju.
10. Djupförfalskningsröst. En klonad röst som låter som om din regissör ber om en brådskande betalning. IC3 säger Röstkloning kan användas för att begära bankbetalning och att företag rapporterade förluster på över 30 miljoner dollar år 2025 på grund av BEC-bedrägerier med AI. Röd flagga: ett röstmeddelande eller samtal som uppmanar dig att agera innan du hinner kontrollera. Stopp: komma överens om ett kodord eller en återuppringningsregel för betalningar, så en övertygande röst räcker inte.

Vårt val: exempel 6, VD-bedrägeri och BEC. Det är det dyraste exemplet här, till och med före teknisk supportbedrägerier i IC3:s siffror för 2025, och stoppåtgärden är billig: ett telefonsamtal till ett känt nummer innan några pengar flyttas.

Set 3: Fysiska attacker och agn

Dessa attacker kräver inget tangentbord. De är viktiga eftersom en främling i byggnaden kan nå det som en brandvägg skyddar.

11. Tailgating. Någon följer efter dig genom en säker dörr "för att de har fullt upp". Röd flagga: en person utan namnbricka som är avslappnad och vänlig. Stopp: be dem artigt att komma in med brickan själva, eller följ dem till receptionen.
12. Bete med USB-minnen. Ett USB-minne märkt "Löneöversyn 2027" lämnas på parkeringen eller i lobbyn. Röd flagga: alla flyttbara enheter du inte köpt. Stopp: Koppla aldrig in en upphittad enhet. Lämna den till IT-avdelningen, som kan inspektera den på ett säkert sätt.
13. Axelsurfing. Någon läser din skärm eller tittar på när du skriver in en PIN-kod på ett tåg eller vid en hot desk. Röd flagga: en person som står för nära eller vinklar en telefon mot din skärm. Stopp: använd ett integritetsfilter, lås skärmen när du kliver bort och sitt med ryggen mot väggen.
14. Dykning i containern. Utskrivna e-postmeddelanden, organisationsscheman och mötesanteckningar som slängs i en vanlig papperskorg ger en angripare namn, telefonnummer och projekttitlar för nästa samtal. Röd flagga: papper med namn eller nummer i en öppen låda. Stopp: Använd en dokumentförstörare eller en låst papperskorg och håll skrivbordet tömt.
15. Falsk leverans. En kurir i märkesjacka ber om att få komma in förbi receptionen eller att lämna ett paket i serverrummet. Röd flagga: en leverans som ingen beställt, eller en som inte kan gå till receptionen. Stopp: Ta den i receptionen och kontrollera oväntade paket med personen som är namngiven på etiketten.

Vårt val: exempel 11, tailgating. Det kräver ingen skicklighet och kostar ingenting, och det är gott uppförande som får det att fungera. Ge personalen ett artigt manus, så att det känns normalt och inte oartigt att utmana någon.

Hur man stoppar alla 15

De 15 exemplen har en sak gemensamt: de uppmanar dig att agera snabbt och att agera själv. Tre vanor bryter det.

1. Verifiera via en andra kanal. Om en begäran gäller pengar, ett lösenord, en kod eller åtkomst, bekräfta den på ett annat sätt med hjälp av kontaktuppgifter du redan har. CISA rekommenderar att om du är osäker på om en begäran är verklig, verifiera det genom att kontakta företaget direkt, och inte med kontaktuppgifterna som anges i meddelandet.
2. Rapportera det. CISAs råd vid misstänkt nätfiske är att rapportera meddelandet och sedan radera det. Gör det till en vana att rapportera med ett enda klick, utan att klandra, så att den första personen som upptäcker något varnar alla andra.
3. Sakta ner. CISA-listor brådskande eller känslomässigt tilltalande språk bland de vanliga tecknen på nätfiske. CISA noterar också att perfekt grammatik inte längre är ett bevis på säkerhet, eftersom vissa e-postmeddelanden nu har perfekt stavning tack vare AI. När ett meddelande kräver hastighet är det signalen att pausa.

Träning är hur vanor fastnar. Med den mänskliga faktorn närvarande i 62 % av intrången, per Verizons rapport för 2026, ett team som har övat på att identifiera dessa 15 exempel är en viktig del av ditt försvar. För ett bredare program, se vår guide till utbildning om cybersäkerhet.

Sätt att hålla en social ingenjörskonstsession med AhaSlides

Kör de 15 exemplen live, i ett rum eller i ett videosamtal, med svaren på skärmen medan deltagarna svarar.

1. Välj svar: "Äkta eller nätfiske?" Visa ett påhittat meddelande för varje exempel och fråga om det är äkta. Avslöja varningssignalen och diskutera.
2. Ordmoln: "Bedrägeriet du får mest". Det största ordet visar vad man ska öva på först.
3. Betygsskala: "Hur säker är du på att upptäcka en förfalskning?" Be om ett betyg från 1 till 5 före och efter sessionen och jämför medelvärdena.
4. Öppet slut: "Ett misstänkt meddelande jag fick". Samla verkliga exempel, utan namn, och använd det bästa som scenario för nästa omgång.

Kursmallen för nätfiske och social ingenjörskonst ger dig färdiga bilder att anpassa, och mallen för medvetenhet om hot från Insider är en bra uppföljning för hela teamet.

Vanliga frågor och svar

Vilka är exempel på social ingenjörskonst?

Nätfiske, pretexting, baiting och tailgating är de viktigaste. Det här inlägget listar 15, från e-postnätfiske och vishing till falsk IT-support, USB-baiting och falska leveranser.

Vilken är den vanligaste typen av social ingenjörskonst?

Nätfiske. Verizons rapport från 2026 uppger att nätfiske står för 16 % av alla dataintrång, jämfört med 6 % för förevändningar, och IC3 mottog 191 561 klagomål om nätfiske och förfalskning under 2025.

Hur förhindrar man social ingenjörskonst?

Verifiera förfrågningar via en andra kanal och rapportera misstänkta sådana. Lägg till kort, regelbunden träning, eftersom attackerna förändras snabbare än någon engångskurs.

Vad är förevändning?

En påhittad historia som används för att få information eller åtkomst. Angriparen bygger förtroende genom ett trovärdigt scenario, till exempel ett samtal till helpdesk, och ber sedan om ett lösenord, en betalning eller att en dörr ska hållas öppen.

Var ska man börja

Välj en uppsättning och kör den på nästa teammöte. Om du bara har tid för ett exempel, gör det till en vision och fråga sedan alla vad de skulle göra vid nästa oväntade samtal.