Ang social engineering, sa mga salita ng US Cybersecurity and Infrastructure Security Agency (CISA), ay isang pag-atake kung saan "ginagamit ng isang umaatake ang pakikipag-ugnayan ng tao (mga kasanayang panlipunan) upang makakuha o makompromiso ang impormasyon tungkol sa isang organisasyon o mga sistema ng computer nito"Gumagana ito dahil tinatarget nito ang mga tao, hindi ang software. Natuklasan ng 2026 Data Breach Investigations Report ng Verizon na ang elementong pantao ay naroroon sa 62% ng mga paglabag, tumaas mula sa 60% noong nakaraang taon.
Narito ang 15 halimbawa ng social engineering sa 3 set ng 5. Ang bawat isa ay may kasamang pulang bandila na dapat hanapin at isang hakbang para mapigilan ang pag-atake. Ang Set 1 ay sumasaklaw sa pamilya ng phishing, ang set 2 ay sumasaklaw sa pretexting at panggagaya, at ang set 3 ay sumasaklaw sa mga pisikal na pag-atake at painting. Ang bawat set ay nagtatapos sa isang Ang aming pumili, ang halimbawang una naming sasanayin, na may isang linyang dahilan.
Ang lahat ng halimbawang kumpanya, tao, at mensahe sa ibaba ay pawang mga kathang-isip lamang.
Set 1: Ang pamilya ng phishing
- Pag-phishing ng email. Isang mensahe na mukhang galing sa bangko, supplier, o sarili mong IT team ang humihiling sa iyong mag-click ng link at mag-sign in. Ayon sa CISA, ang mga phishing attack ay gumagamit ng email o mga malisyosong website para humingi ng personal na impormasyon sa pamamagitan ng pagpapanggap bilang isang mapagkakatiwalaang organisasyon. pulang bandila: isang address ng nagpadala na gumagaya sa isang totoong negosyo, isang pangkalahatang pagbati tulad ng "Minamahal na Minamahal na Customer", o isang link na ang address ay hindi tugma sa teksto kapag ini-hover mo ito. Itigil: Huwag i-click. Pumunta sa site sa pamamagitan ng pag-type mismo ng address, o iulat ang mensahe.
- Sibat na phishing. Ang parehong panlilinlang, na naka-target sa isang tao. Ginagamit ng nagpadala ang iyong pangalan, pangalan ng iyong manager at isang proyektong talagang pinagtatrabahuhan mo, na maaaring pagsama-samahin mula sa pampublikong impormasyon. pulang bandila: isang kahilingan na kakaiba ngunit kakaiba ngunit hindi akma sa karakter, tulad ng "ipadala sa akin ang kontrata ng Atlas ngayon". Itigil: magtanong sa nagpadala sa ibang channel, tulad ng pagtawag sa numerong mayroon ka na.
- Smishing. Phishing sa pamamagitan ng text message. Inilalarawan ng CISA nakakainis bilang social engineering na nagsasamantala sa mga mensaheng SMS, gamit ang mga link, numero o address na nagbubukas ng browser o nagdi-dial ng tawag kapag tinapik. pulang bandila: isang tekstong "parcel on hold" o "account locked" na may maikling link. Itigil: Burahin ito at buksan mo mismo ang totoong app o site.
- Vishing. Phishing gamit ang boses. Sabi ng CISA nagbubuong gumagamit ng mga voice call at maaaring gayahin ang caller ID na iyon, kaya walang pinapatunayan ang isang tawag na nagpapakita ng pamilyar na pangalan. pulang bandila: isang tumatawag na lumilikha ng pressure at humihingi ng code o password. Itigil: ibaba ang telepono at tumawag muli sa numerong nakalimbag sa isang statement o sa website ng kumpanya.
- Pag-phishing ng QR code. Itinatago ng isang QR code ang address na pinatutunguhan nito. Nagbabala ang FBI tungkol sa mga hindi hinihinging pakete na naglalaman ng QR code na humihingi ng personal at pinansyal na impormasyon sa tatanggap o nag-i-install ng software na nagnanakaw ng data. pulang bandila: isang code na hindi mo inaasahan, na walang impormasyon ng nagpadala. Itigil: huwag i-scan ang mga QR code na hindi alam ang pinagmulan.
Ang aming pinili: halimbawa 4, vishing. Natuklasan ng Verizon na sa mga phishing simulation, ang median click rate sa Ang mga vector na nakasentro sa mobile tulad ng voice at text messaging ay 40% na mas mataas kaysa sa pamamagitan ng email. Mas mabilis na natuto ang mga tao na hindi magtiwala sa email kaysa sa natutunan nilang hindi magtiwala sa isang tawag sa telepono.
Set 2: Pagkukunwari at panggagaya
Tinutukoy ng Verizon ang pagkukunwaring taktika ng isang umaatake kung saan Ang isang mapagkakatiwalaang relasyon ay nabubuo sa pamamagitan ng mga inihandang senaryo upang linlangin ang gumagamit sa isang aksyon na makakasira sa organisasyon, kadalasan sa pamamagitan ng boses ngunit pati na rin sa pamamagitan ng email o text. Umabot ito sa 6% ng lahat ng paglabag sa ulat noong 2026, laban sa 16% para sa phishing.
- Pandaraya sa CEO at pagkompromiso sa email ng negosyo. Tinutukoy ng Internet Crime Complaint Center (IC3) ng FBI ang pagkompromiso sa email ng negosyo (BEC) bilang isang scam na tumatarget sa mga negosyo at gumagamit ng mga nakompromisong email account at iba pang komunikasyon upang magdulot ng hindi awtorisadong paglilipat ng mga pondo. Noong 2025, ang IC3 ay nakapagtala ng 24,768 na reklamo mula sa BEC at humigit-kumulang $3.05 bilyon na naiulat na pagkalugi. pulang bandila: isang agarang kahilingan mula sa isang nakatataas na pinuno na magbayad o bumili ng mga gift card, na may kasamang linyang "huwag sabihin kahit kanino". Itigil: kumpirmahin ang anumang kahilingan sa pagbabayad sa pamamagitan ng telepono o nang personal.
- Pekeng suporta sa IT. May nagsasabing galing siya sa help desk at kailangan ang password o remote access mo "para maayos ang problema". Natanggap na ang IC3. 47,794 na reklamo sa tech-support noong 2025, na may naiulat na pagkalugi na higit sa $2.1 bilyon. pulang bandila: Ang IT ang unang makikipag-ugnayan sa iyo, at hihingi ng password o one-time code. Itigil: Hindi kailangan ng mga totoong IT team ang password mo. Ibaba ang telepono at maglabas ng ticket sa karaniwang paraan.
- Pagbabago ng invoice ng nagbebenta. Isang email, na tila galing sa isang regular na supplier, ang nagsasabing nagbago ang mga detalye ng bangko nito. Saklaw ng kahulugan ng BEC ng IC3 ang mga scam na tumatarget mga negosyong nakikipagtulungan sa mga supplier at regular na gumagawa ng mga wire transfer. pulang bandila: mga bagong detalye ng bangko na may takdang oras ng pagbabayad. Itigil: Tawagan ang supplier sa numerong nakatala na bago mo baguhin ang anumang bagay.
- Pekeng recruiter. Isang "recruiter" ang lumalapit sa isang miyembro ng kawani na may posisyong mukhang promosyon, pagkatapos ay hihingi ng mga personal na dokumento, o ng isang gawain sa pagsusulit na kailangang i-download. Natanggap ang IC3 24,688 na reklamo ng employment-scam noong 2025. pulang bandila: isang alok na hindi mo inaplayan, na may mabibilis na hakbang. Itigil: Suriin ang recruiter sa pamamagitan ng sariling pahina ng mga karera ng kumpanya, at huwag kailanman mag-install ng software para sa isang interbyu.
- Malalim na pekeng boses. Isang kinokopyang boses na parang humihingi ng agarang bayad ang direktor mo. Sabi ng IC3 Maaaring gamitin ang voice cloning upang humiling ng wire payment at ang mga negosyo ay nag-ulat ng pagkalugi na mahigit $30 milyon noong 2025 dahil sa mga BEC scam na kinasasangkutan ng AI. pulang bandila: isang mensaheng boses o tawag na nagtutulak sa iyong kumilos bago ka pa makapag-check. Itigil: magkasundo sa isang code word o call-back rule para sa mga pagbabayad, kaya hindi sapat ang isang nakakakumbinsing boses.
Ang aming pinili: halimbawa 6, pandaraya sa CEO at BEC. Ito ang pinakamagastos na halimbawa rito, nangunguna pa nga sa mga panloloko sa tech-support sa mga datos ng IC3 noong 2025, at mura lang ang aksyong paghinto: isang tawag sa telepono sa isang kilalang numero bago gumalaw ang anumang pera.
Set 3: Mga pisikal na pag-atake at pang-aakit
Hindi kailangan ng keyboard ang mga pag-atakeng ito. Mahalaga ang mga ito dahil maaaring maabot ng isang estranghero sa gusali ang pinoprotektahan ng isang firewall.
- Paglalagay ng tailgating. May sumusunod sa iyo sa isang ligtas na pinto "dahil puno ang kanilang mga kamay". pulang bandila: isang taong walang badge na relaks at palakaibigan. Itigil: Magalang na hilingin sa kanila na mag-badge, o isama sila sa reception.
- Pang-iinis gamit ang mga USB drive. Isang USB stick na may markang "Salary review 2027" ang iniiwan sa parkingan o lobby. pulang bandila: anumang naaalis na drive na hindi mo binili. Itigil: Huwag na huwag isaksak ang natagpuang device. Ibigay ito sa IT, na siyang makakapag-inspeksyon nito nang ligtas.
- Pag-surf sa balikat. May nagbabasa ng screen mo o nanonood sa pagta-type mo ng PIN sa tren o sa hot desk. pulang bandila: isang taong nakatayo nang masyadong malapit o itinutok ang telepono sa iyong screen. Itigil: Gumamit ng privacy filter, i-lock ang screen mo kapag lumayo ka, at umupo nang nakasandal sa pader.
- Pagsisid sa dumpster. Ang mga naka-print na email, org chart, at mga tala ng pulong na itinapon sa isang ordinaryong basurahan ay nagbibigay ng mga pangalan, numero ng telepono, at pamagat ng proyekto ng umaatake para sa susunod na tawag. pulang bandila: papel na may mga pangalan o numero sa isang bukas na lalagyan. Itigil: gumamit ng shredder o nakakandadong basurahan, at panatilihing malinis ang mga basurahan sa mesa.
- Pekeng paghahatid. Isang courier na nakasuot ng branded jacket ang humihiling na papasukin siya sa reception, o kaya naman ay mag-iwan ng parsela sa server room. pulang bandila: isang delivery na walang nag-order, o isa na hindi maaaring pumunta sa reception. Itigil: Dalhin ito sa front desk, at i-check ang mga hindi inaasahang parsela sa taong nakapangalan sa label.
Ang aming pinili: halimbawa 11, tailgating. Hindi ito nangangailangan ng kasanayan at walang bayad, at ang mabuting asal ang siyang nagpapagana nito. Bigyan ang mga tauhan ng magalang na script, para ang paghamon sa isang tao ay maging normal at hindi bastos.
Paano ihinto ang lahat ng 15
Ang 15 halimbawa ay may isang bagay na magkakatulad: tinutulak ka ng mga ito na kumilos nang mabilis at kumilos nang mag-isa. Tatlong gawi ang sumisira niyan.
- I-verify sa pamamagitan ng pangalawang channel. Kung ang isang kahilingan ay may kinalaman sa pera, password, code o access, kumpirmahin ito sa pamamagitan ng ibang paraan, gamit ang mga detalye sa pakikipag-ugnayan na mayroon ka na. Ipinapayo ng CISA na kung hindi ka sigurado kung totoo ang isang kahilingan, patunayan ito sa pamamagitan ng direktang pakikipag-ugnayan sa kumpanya, at hindi kasama ang impormasyon sa pakikipag-ugnayan na ibinigay sa mensahe.
- Isumbong mo. Ang payo ng CISA para sa pinaghihinalaang phishing ay iulat ang mensahe at pagkatapos ay burahin ito. Gawing isang one-click lang ang pag-uulat at walang sisihan, para ang unang taong makakita ay makapagbabala sa lahat.
- Magdahan-dahan. Mga listahan ng CISA wikang apurahan o nakakaakit sa damdamin kabilang sa mga karaniwang senyales ng phishing. Binanggit din ng CISA na ang perpektong gramatika ay hindi na patunay ng kaligtasan, dahil ang ilang email ngayon ay mayroon nang perpektong spelling salamat sa AI. Kapag ang isang mensahe ay nangangailangan ng bilis, iyon ang hudyat para mag-pause.
Ang pagsasanay ang siyang paraan kung paano nananatili ang mga gawi. Dahil ang elementong pantao ay nasa 62% ng mga paglabag, bawat Ulat ng Verizon para sa 2026, ang isang pangkat na nagsanay sa pagtukoy sa 15 halimbawang ito ay isang tunay na bahagi ng iyong depensa. Para sa mas malawak na programa, tingnan ang aming gabay sa pagsasanay sa kamalayan sa cybersecurity.
Mga paraan para mag-host ng sesyon ng social engineering kasama ang AhaSlides
Patakbuhin ang 15 halimbawa nang live, sa isang kwarto o sa isang video call, kasama ang mga sagot sa screen habang sumasagot ang mga tao.
- Pumili ng Sagot: "Totoo o phish?" Magpakita ng isang gawa-gawang mensahe para sa bawat halimbawa at tanungin kung ito ay tunay. Ipakita ang pulang bandila at talakayin.
- Word Cloud: "Ang scam na pinakamadalas mong natatanggap". Ang pinakamalaking salita ay nagpapakita kung ano ang unang dapat pag-aralan.
- Rating Scale: "Gaano ka katiwala sa pagtukoy ng pekeng produkto?" Humingi ng rating mula 1 hanggang 5 bago at pagkatapos ng sesyon, at paghambingin ang mga average.
- Bukas na ang Lahat: "Isang kahina-hinalang mensahe ang natanggap ko". Mangalap ng mga totoong halimbawa, na inalis ang mga pangalan, at gamitin ang pinakamahusay bilang senaryo sa susunod na round.
Ang template ng kurso sa Phishing at social engineering ay nagbibigay sa iyo ng mga nakahandang slide na maaari mong iakma, at ang template ng Insider threat awareness ay isang magandang karugtong para sa buong team.
Mga madalas itanong
Ano ang mga halimbawa ng social engineering?
Ang phishing, pretexting, baiting, at tailgating ang mga pangunahin. Nakalista sa post na ito ang 15, mula sa email phishing at vishing hanggang sa pekeng IT support, USB baiting, at pekeng delivery.
Ano ang pinakakaraniwang uri ng social engineering?
Phishing. Ayon sa ulat ng Verizon noong 2026, ang phishing ay nasa 16% ng lahat ng paglabag, laban sa 6% para sa pagkukunwaring impormasyon, at ang IC3 ay nakatanggap ng 191,561 na reklamo tungkol sa phishing at spoofing noong 2025.
Paano mo mapipigilan ang social engineering?
I-verify ang mga kahilingan sa pamamagitan ng pangalawang channel at iulat ang mga kahina-hinala. Magdagdag ng maikli at regular na pagsasanay, dahil mas mabilis na nagbabago ang mga pag-atake kaysa sa anumang minsanang kurso.
Ano ang pagkukunwari?
Isang gawa-gawang kwento na ginagamit upang makakuha ng impormasyon o access. Ang umaatake ay bumubuo ng tiwala sa pamamagitan ng isang kapani-paniwalang senaryo, tulad ng isang tawag sa help-desk, pagkatapos ay humihingi ng password, isang bayad o isang pinto na buksan.
Saan magsisimula
Pumili ng isang set at isagawa ito sa susunod na miting ng inyong pangkat. Kung isa lang ang oras ninyo para sa isang halimbawa, gawin itong vishing, pagkatapos ay tanungin ang lahat kung ano ang gagawin nila sa susunod na hindi inaasahang tawag.
