Приклади соціальної інженерії: 15 атак і як їх зупинити

Соціальна інженерія, за словами Агентства з кібербезпеки та безпеки інфраструктури США (CISA), — це атака, під час якої «Зловмисник використовує взаємодію з людьми (соціальні навички) для отримання або компрометації інформації про організацію чи її комп’ютерні системи»Це працює, тому що орієнтовано на людей, а не на програмне забезпечення. Звіт Verizon про розслідування витоків даних за 2026 рік показав, що людський фактор був присутній у 62% порушень, що більше, ніж 60% роком раніше.

Ось 15 прикладів соціальної інженерії, розділених на 3 набори по 5 штук. Кожен з них містить тривожний сигнал, на який слід звернути увагу, та дію, яку потрібно вжити. Набір 1 охоплює сімейство фішингових атак, набір 2 – використання претензій та видавання себе за іншу особу, а набір 3 – фізичні атаки та цькування. Кожен набір завершується… Наш вибір, приклад, який ми б навчили спочатку, з однорядковим поясненням.

Усі наведені нижче приклади компаній, людей та повідомлень є вигаданими.

Набір 1: Сім'я фішингу

1. Фішинг електронною поштою. Повідомлення, яке виглядає так, ніби його надіслано банком, постачальником або вашою власною ІТ-командою, пропонує вам перейти за посиланням і ввійти. CISA стверджує, що фішингові атаки використовують електронну пошту або шкідливі веб-сайти для… збирати персональну інформацію, видаючи себе за надійну організацію. Червоний прапор: адреса відправника, що імітує справжню компанію, загальне вітання, таке як «Шановний клієнте», або посилання, адреса якого не відповідає тексту під час наведення на нього курсора. Стій: Не натискайте. Перейдіть на сайт, самостійно ввівши адресу, або поскаржтеся на повідомлення.
2. Фішинг через спис. Той самий трюк, спрямований на одну людину. Відправник використовує ваше ім'я, ім'я вашого керівника та проект, над яким ви дійсно працюєте, що можна зібрати з публічної інформації. Червоний прапор: запит, який є дивно конкретним, але водночас нетиповим, наприклад, «надішліть мені контракт Atlas сьогодні». Стій: запитайте відправника по іншому каналу, наприклад, зателефонувавши на номер, який у вас вже є.
3. Посміхаючись. Фішинг за допомогою текстових повідомлень. CISA описує розмивання як соціальна інженерія, яка використовує SMS-повідомлення з посиланнями, номерами або адресами, що відкривають браузер або здійснюють дзвінок при натисканні. Червоний прапор: текстове повідомлення «посилка заблокована» або «рахунок заблоковано» з коротким посиланням. Стій: видаліть його та відкрийте справжній додаток або сайт самостійно.
4. Вішінг. Фішинг за допомогою голосу. CISA каже бідність використовує голосові дзвінки, і цей ідентифікатор абонента може бути підроблений, тому дзвінок, у якому відображається знайоме ім'я, нічого не доводить. Червоний прапор: абонент, який чинить тиск і просить код або пароль. Стій: покладіть слухавку та передзвоніть за номером, вказаним у виписці або на вебсайті компанії.
5. Фішинг за допомогою QR-кодів. QR-код приховує адресу, на яку він веде. ФБР попереджає про небажані посилки, що містять QR-код який запитує у одержувача особисту та фінансову інформацію або встановлює програмне забезпечення для крадіжки даних. Червоний прапор: код, якого ви не очікували, без інформації про відправника. Стій: Не скануйте QR-коди з невідомих джерел.

Наш вибір: приклад 4, Вішинг. Verizon виявила, що в симуляціях фішингу середній показник кліків у мобільно-орієнтовані вектори, такі як голосові та текстові повідомлення, були на 40% вищими ніж електронною поштою. Люди навчилися не довіряти електронній пошті швидше, ніж телефонним дзвінкам.

Набір 2: Використання претекстів та видавання себе за іншу особу

Verizon визначає використання претексту як тактику зловмисника, за якої Довірливі стосунки будуються за допомогою вигаданих сценаріїв щоб обманом змусити користувача вчинити дію, що скомпрометує організацію, часто за допомогою голосових повідомлень, а також електронної пошти чи текстових повідомлень. У звіті за 2026 рік цей показник досяг 6% усіх порушень, порівняно з 16% для фішингу.

6. Шахрайство з боку генерального директора та компрометація ділової електронної пошти. Центр скарг на інтернет-злочини (IC3) ФБР визначає компрометація ділової електронної пошти (BEC) як шахрайство, спрямоване на бізнес та працює через скомпрометовані облікові записи електронної пошти та інші засоби комунікації для здійснення несанкціонованих переказів коштів. У 2025 році IC3 зареєструвала 24 768 скарг на BEC та заявила про збитки на суму близько 3.05 мільярда доларів. Червоний прапор: термінове прохання від старшого керівника оплатити або купити подарункові сертифікати з позначкою «нікому не кажіть». Стій: підтверджуйте будь-який платіжний запит телефоном або особисто.
7. Фальшива ІТ-підтримка. Хтось стверджує, що він співробітник служби підтримки, і йому потрібен ваш пароль або віддалений доступ, «щоб вирішити проблему». IC3 отримав 47 794 скарги на технічну підтримку у 2025 році, із заявленими збитками понад 2.1 мільярда доларів. Червоний прапор: ІТ-відділ зв’язується з вами першим і запитує пароль або одноразовий код. Стій: Справжнім IT-командам не потрібен ваш пароль. Покладіть слухавку та надішліть запит звичайним способом.
8. Зміна рахунку-фактури постачальника. У електронному листі, очевидно, від звичайного постачальника, йдеться про зміну його банківських реквізитів. Визначення BEC від IC3 охоплює шахрайство, спрямоване на підприємства, що працюють з постачальниками та регулярно здійснюють банківські перекази. Червоний прапор: нові банківські реквізити з терміном платежу. Стій: Перш ніж щось змінювати, зателефонуйте постачальнику за номером, який уже є в файлі.
9. Фальшивий рекрутер. «Рекрутер» звертається до співробітника, посада якого виглядає як підвищення, а потім просить особисті документи або тестове завдання, яке потрібно завантажити. IC3 отримав 24 688 скарг на шахрайство при працевлаштуванні у 2025 році. Червоний прапор: пропозицію, на яку ви не подавали заявку, з швидкими кроками. Стій: перевіряйте рекрутера через сторінку вакансій компанії та ніколи не встановлюйте програмне забезпечення для співбесіди.
10. Глибокий фейковий голос. Клонований голос, який звучить так, ніби ваш директор вимагає термінового платежу. IC3 каже клонування голосу може бути використано для запиту банківського платежу і що підприємства повідомили про збитки понад 30 мільйонів доларів у 2025 році через шахрайство BEC за участю штучного інтелекту. Червоний прапор: голосове повідомлення або дзвінок, який спонукає вас діяти, перш ніж ви зможете перевірити. Стій: узгодьте кодове слово або правило зворотного виклику для платежів, тому переконливого голосу недостатньо.

Наш вибір: приклад 6, шахрайство з боку генерального директора та BEC. Це найдорожчий приклад тут, випереджаючи навіть шахрайство з технічною підтримкою за даними IC3 за 2025 рік, а зупинка є недорогою: один телефонний дзвінок на відомий номер, перш ніж будь-які гроші перейдуть.

Набір 3: Фізичні атаки та цькування

Ці атаки не потребують клавіатури. Вони важливі, тому що стороння людина в будівлі може дістатися до того, що захищає брандмауер.

11. Заїзд на територію з багажником. Хтось іде за вами через замкнені двері, «бо в нього зайняті руки». Червоний прапор: людина без бейджа, яка є розслабленою та доброзичливою. Стій: ввічливо попросіть їх самостійно принести бейдж або проведіть їх до рецепції.
12. Приманювання за допомогою USB-накопичувачів. USB-носій з написом «Перегляд зарплати 2027» залишається на парковці або у вестибюлі. Червоний прапор: будь-який знімний накопичувач, який ви не купували. Стій: Ніколи не підключайте знайдений пристрій. Передайте його ІТ-фахівцю, який зможе безпечно його оглянути.
13. Серфінг на плечах. Хтось читає ваш екран або спостерігає, як ви вводите PIN-код у поїзді чи за гарячим столом. Червоний прапор: людина, яка стоїть занадто близько або направляє телефон до вашого екрана. Стій: використовуйте фільтр конфіденційності, блокуйте екран, коли відходите, і сядьте спиною до стіни.
14. Дайвінг у сміттєвих контейнерах. Роздруковані електронні листи, організаційні схеми та нотатки зі зустрічей, викинуті у звичайний кошик, дають зловмиснику імена, номери телефонів та назви проектів для наступного дзвінка. Червоний прапор: папір з іменами або номерами у відкритому контейнері. Стій: використовуйте шредер або контейнер для сміття, що замикається, та дотримуйтесь звички прибирати на столі.
15. Фальшива доставка. Кур'єр у брендованій куртці просить впустити його повз рецепцію або залишити посилку в серверній. Червоний прапор: доставка, яку ніхто не замовляв, або така, яку не можна доставити на рецепцію. Стій: візьміть його на стійці реєстрації та перевірте неочікувані посилки у особи, ім'я якої зазначено на етикетці.

Наш вибір: приклад 11, їзда на виїзді з-за меж міста. Це не вимагає жодних навичок і нічого не коштує, а гарні манери – це те, що робить це ефективним. Надайте персоналу ввічливий сценарій, щоб виклик до когось сприймався як нормальне, а не грубе відчуття.

Як зупинити всі 15

Ці 15 прикладів мають одну спільну рису: вони спонукають вас діяти швидко та самостійно. Три звички цьому протистоять.

1. Перевірте через другий канал. Якщо запит стосується грошей, пароля, коду або доступу, підтвердьте його іншим способом, використовуючи контактну інформацію, яка у вас вже є. CISA радить, якщо ви не впевнені в реальності запиту, перевірте це, звернувшись безпосередньо до компанії, а не з контактною інформацією, наданою в повідомленні.
2. Повідомте про це. Поради CISA щодо підозри у фішингу: повідомити про повідомлення а потім видалити це. Зробіть повідомлення звичкою одним клацанням миші без звинувачень, щоб перша людина, яка щось помітить, попередила всіх інших.
3. Уповільнитись. Списки CISA термінова або емоційно приваблива мова серед поширених ознак фішингу. CISA також зазначає, що ідеальна граматика більше не є гарантією безпеки, оскільки деякі електронні листи тепер мають ідеальне правопис завдяки штучному інтелекту. Коли повідомлення вимагає швидкості, це сигнал для паузи.

Навчання – це спосіб формування звичок. З огляду на те, що людський фактор присутній у 62% порушень, за даними Звіт Verizon за 2026 рік, команда, яка потренувалася виявляти ці 15 прикладів, є реальною частиною вашого захисту. Щоб ознайомитися з ширшою програмою, дивіться наш посібник з навчання з обізнаності з кібербезпеки.

Способи проведення сесії соціальної інженерії з AhaSlides

Запустіть 15 прикладів у прямому ефірі, в кімнаті або під час відеодзвінка, з відповідями на екрані, коли люди відповідають.

1. Виберіть відповідь: «Справжній чи фішинговий?» Покажіть вигадане повідомлення для кожного прикладу та запитайте, чи воно справжнє. Відкрийте червоний прапорець та обговоріть.
2. Хмара слів: «Шахрайство, яке трапляється найчастіше». Найбільше слово показує, що потрібно практикувати в першу чергу.
3. Шкала оцінювання: «Наскільки ви впевнені у виявленні підробки?» Попросіть оцінити вас від 1 до 5 до та після сеансу та порівняйте середні показники.
4. Відкрите питання: «Я отримав підозріле повідомлення». Зберіть реальні приклади, видаливши імена, та використовуйте найкращий з них як сценарій наступного раунду.

Шаблон курсу «Фішинг та соціальна інженерія» надає вам готові слайди для адаптації, а шаблон «Обізнаність про внутрішні загрози» – це гарне продовження для всієї команди.

Часті питання

Які приклади соціальної інженерії?

Фішинг, передавання текстових запитів, цькування та переслідування клієнтів через хакерів – основні з них. У цій публікації перелічено 15 таких випадків, від фішингу електронною поштою та вішингу до фальшивої ІТ-підтримки, цькування через USB та фальшивих доставок.

Який найпоширеніший вид соціальної інженерії?

Фішинг. Згідно зі звітом Verizon за 2026 рік, фішинг становить 16% усіх порушень, тоді як підроблені текстові повідомлення становлять 6%, а IC3 отримала 191 561 скаргу на фішинг та спуфінг у 2025 році.

Як запобігти соціальній інженерії?

Перевіряйте запити через другий канал та повідомляйте про підозрілі. Додайте короткі, регулярні навчання, оскільки атаки змінюються швидше, ніж будь-який одноразовий курс.

Що таке претекстування?

Вигадана історія, що використовується для отримання інформації або доступу. Зловмисник будує довіру за допомогою правдоподібного сценарію, такого як дзвінок до служби підтримки, а потім просить пароль, платіж або притримує двері.

З чого почати

Виберіть один набір і покажіть його на наступній командній зустрічі. Якщо у вас є час лише на один приклад, зробіть його захопливим, а потім запитайте всіх, що б вони зробили під час наступного неочікуваного дзвінка.