Ataki inżynierii społecznej wykorzystują podstęp i manipulację psychologiczną, aby nakłonić ludzi do ujawnienia poufnych informacji, przelania pieniędzy, otwarcia złośliwych plików lub udzielenia nieautoryzowanego dostępu. Zamiast polegać wyłącznie na lukach technicznych, atakujący wykorzystują zaufanie, strach, ciekawość, poczucie pilności, autorytet i chęć pomocy.

Do typowych form należą e-maile phishingowe, fałszywe telefony, oszustwa SMS-owe, podszy się pod kierownictwo, oszustwa typu business email compromise oraz podszywanie się z użyciem głosu lub wideo generowanego przez AI. Ataki te mogą dotknąć osoby prywatne, firmy, agencje rządowe, placówki opieki zdrowotnej, instytucje edukacyjne oraz użytkowników kryptowalut.

Najskuteczniejsza obrona łączy świadomość bezpieczeństwa z niezależną weryfikacją, uwierzytelnianiem wieloskładnikowym (MFA), silną kontrolą dostępu i jasnym procesem zgłaszania podejrzanych działań. Ponieważ inżynieria społeczna często nadużywa legalnych procesów biznesowych, weryfikacja powinna być wbudowana w procesy płatnicze, odzyskiwania kont, dostępu i udostępniania danych, a nie pozostawiona wyłącznie indywidualnemu osądowi.

Czym jest atak inżynierii społecznej?

Atak inżynierii społecznej to próba manipulacji, która ma skłonić kogoś do podjęcia działania zagrażającego bezpieczeństwu. Atakujący może podszyć się pod zaufaną osobę, wymyślić nagły wypadek, zaoferować kuszącą nagrodę lub stworzyćonującą fałszywą stronę internetową, aby uzyskać poświadczenia, pieniądze, poufne informacje lub dostęp do systemu.

W przeciwieństwie do klasycznego ataku technicznego, który bezpośrednio wykorzystuje lukę w oprogramowaniu, inżynieria społeczna często przekonuje ofiarę do wykonania działania, które umożliwia włamanie. Na przykład pracownik może otrzymać e-mail wyglądający, jakby pochodził od dyrektora finansowego firmy, z prośbą o pilną płatność na nowe konto dostawcy. Jeśli pracownik wykona polecenie bez niezależnej weryfikacji, organizacja może stracić pieniądze, nawet jeśli jej systemy są zabezpieczone.

Kluczowe cechy inżynierii społecznej

• Wykorzystywanie zaufania: Atakujący podszywa się pod kogoś, kogo ofiara rozpoznaje lub szanuje.
• Poczucie pilności: Wiadomość naciska na ofiarę, aby działała przed sprawdzeniem faktów.
• Strach: Atakujący grozi zawieszeniem konta, konsekwencjami prawnymi lub stratą finansową.
• Ciekawość: Wiadomość lub załącznik obiecuje interesujące, poufne lub nieoczekiwane informacje.
• Autorytet: Atakujący twierdzi, że reprezentuje kierownictwo, wsparcie techniczne, bank lub agencję rządową.
• Manipulowanie motywacją: Ofierze oferuje się pieniądze, pomoc, dostęp lub nagrodę w zamian za współpracę.

Inżynieria społeczna może służyć do kradzieży poświadczeń, oszustw finansowych, instalacji złośliwego oprogramowania, ułatwiania ataków ransomware lub pozyskiwania poufnych informacji biznesowych.

10 przykładów ataków inżynierii społecznej

Poniższe przykłady opisują działanie popularnych technik, sposoby ich rozpoznawania i bezpieczną reakcję.

1. E-maile phishingowe

Phishing to technika inżynierii społecznej, w której atakujący wysyłają podstępne e-maile lub wiadomości wyglądające, jakby pochodziły od legalnych organizacji. Ich celem jest nakłonienie odbiorców do kliknięcia złośliwych linków, ujawnienia danych logowania, pobrania szkodliwych załączników lub przesłania danych płatniczych.

Na przykład pracownik może otrzymać e-mail twierdzą, że firmowe konto e-mail zostanie dezaktywowane, chyba że natychmiast zweryfikuje hasło. Wiadomość zawiera link do fałszywej strony logowania kopiującej branding firmy. Po wpisaniu poświadczeń atakujący może je przechwycić i spróbować uzyskać dostęp do prawdziwego konta.

Sygnały ostrzegawcze obejmują nieoczekiwane prośby o weryfikację haseł lub danych płatniczych, adresy nadawców naśladujące, ale niepasujące do legalnych domen, linki prowadzące do nieznanych lub błędnie zapisanych domen, nieoczekiwane załączniki, prośby o włączenie makr oraz wiadomości wywierające presję lub grożące natychmiastowymi konsekwencjami.

Aby zmniejszyć ryzyko, weryfikuj prośby zaufanym kanałem, przechodź bezpośrednio na oficjalne strony zamiast korzystać z niezamówionych linków i zgłaszaj podejrzane wiadomości odpowiedniemu zespołowi bezpieczeństwa. MFA i uwierzytelnianie odporne na phishing mogą dodatkowo zmniejszyć ryzyko przejęcia konta.

2. Spear phishing i whaling

Spear phishing to ukierunkowany atak phishingowy dopasowany do konkretnej osoby lub organizacji. Whaling to forma ukierunkowanego phishingu wymierzonego w seniorów kierownictwa lub inne cenne osoby.

Atakujący mogą badać stanowiska pracy, relacje biznesowe, publiczne ogłoszenia i profile w mediach społecznościowych, aby uczynić swoje wiadomości bardziej przekonującymi. Na przykład menedżer finansowy może otrzymać e-mail wyglądający, jakby pochodził od dyrektora finansowego. E-mail może odnosić się do niedawnego przejęcia firmy i prosić o zapoznanie się z rzekomo poufnym dokumentem. Dokument może prowadzić do fałszywej strony logowania, a wiadomość może bezpośrednio zmierzać do zdobycia poufnych informacji.

Sygnały ostrzegawcze obejmują nieoczekiwane prośby dotyczące poufnych dokumentów, wiadomości odwołujące się do prawdziwych projektów, ale wymagające nietypowych działań, żądania pominięcia standardowych procesów zatwierdzania oraz nietypowe polecenia od seniorów kierownictwa, nawet gdy styl pisania wydaje się autentyczny.

Nietypowe prośby należy weryfikować niezależnie, zwłaszcza gdy dotyczą poświadczeń, danych poufnych lub płatności. Organizacje powinny stosować procesy zatwierdzania, kontrolę dostępu opartą na rolach oraz ukierunkowane szkolenia bezpieczeństwa dla pracowników z uprawnieniami finansowymi lub administracyjnymi.

3. Smishing: fałszywe wiadomości SMS

Smishing phishing prowadzony przez SMS lub inne kanały wiadomości tekstowych. Atakujący mogą podszywać się pod firmy kurierskie, banki, agencje rządowe, platformy sprzedażowe lub zespoły wsparcia kont.

W typowym scenariuszu osoba otrzymuje SMS z informacją, że paczka nie może zostać dostarczona, dopóki nie zostanie uiszczona niewielka opłata. Link prowadzi do fałszywej strony płatności zbierającej dane karty i dane osobowe. Inne wiadomości twierdzą, że konto bankowe zostało zablokowane lub że podejrzana transakcja wymaga natychmiastowego potwierdzenia.

Sygnały ostrzegawcze obejmują nieoczekiwane powiadomienia o dostawie lub bezpieczeństwie konta, skrócone lub nieznane linki, prośby o hasła, dane kart płatniczych lub jednorazowe kody, oraz groźby zablokowania konta, jeśli odbiorca nie zareaguje natychmiast.

Nie klikaj nieoczekiwanych linków płatniczych. Sprawdzaj informacje o dostawie lub koncie poprzez oficjalną aplikację lub stronę dostawcy. Jeśli wiadomość twierdzi, że pochodzi z banku, skontaktuj się z bankiem przez zweryfikowany numer telefonu.

4. Vishing: phishing głosowy i oszustwa telefoniczne

Vishing wykorzystuje połączenia telefoniczne lub wiadomości głosowe, aby nakłonić ofiary do ujawnienia poufnych informacji, autoryzacji płatności lub udzielenia dostępu do konta. Atakujący mogą podawać się za pracowników banków, urzędników, agentów wsparcia technicznego lub kierowników firm. Niektórzy używają fałszowania identyfikatora rozmówcy (caller-ID spoofing), aby połączenie wyglądało na pochodzące z legalnej organizacji.

Na przykład rozmówca może twierdzić, że pracuje w departamencie zwalczania oszustw banku i powiedzieć, że konto odbiorcy jest atakowane. Prosi o jednorazowy kod, aby zatrzymać transakcję. Jeśli ofiara poda kod, atakujący może użyć go do autoryzacji dostępu do konta lub transakcji.

Sygnały ostrzegawcze obejmują prośby o hasła, jednorazowe kody lub kody odzyskiwania; presję na przelanie pieniędzy na rzekomo bezpieczne konto; polecenia zainstalowania oprogramowania zdalnego dostępu; groźby; żądania zachowania tajemnicy; lub prośby o pominięcie normalnych procedur.

Zakończ nieoczekiwane połączenia proszące o poufne informacje i skontaktuj się z organizacją niezależnie, używając jej oficjalnych danych kontaktowych. Nigdy nie udostępniaj kodów uwierzytelniających rozmówcom ani nie zatierdzaj logowania, którego nie zainicjowałeś.

5. Pretexting i podszywanie się

Pretexting polega na tym, że atakujący wymyśla wiarygodną tożsamość lub sytuację, aby nakłonić kogoś do przekazania informacji lub wykonania działania. Podszywanie się to powszechna metoda ustanawiania takiej fałszywej tożsamości. Atakujący może podawać się za technika IT, dostawcę, audytora, kolegę, rekrutera lub klienta.

Na przykład ktoś może skontaktować się z pracownikiem, podając się za członka wewnętrznego zespołu IT. Rozmówca mówi, że trwa migracja systemu i prosi o potwierdzenie danych logowania. Historia brzmi wiarygodnie, ponieważ organizacja rzeczywiście przeprowadza prace techniczne, ale tożsamość rozmówcy nie została zweryfikowana.

Sygnały ostrzegawcze obejmują prośby o informacje wykraczające poza normalne obowiązki proszącego, odmowę przestrzegania standardowych weryfikacji tożsamości, znajome nazwisko w połączeniu z nieznanym numerem telefonu lub adresem e-mail oraz prośby o poufne informacje pod pretekstem audytu lub nagłego wypadku.

Potwierdzaj tożsamość metodą kontaktu uzyskaną niezależnie. Stosuj udokumentowane procedury odzyskiwania konta, wsparcia technicznego i wniosków o dostęp. Pracowników należy zachęcać do kwestionowania nietypowych próśb bez obawy przed krytyką.

6. Business Email Compromise (BEC)

Business email compromise to forma oszustwa, w której atakujący wykorzystują skompromitowane konta e-mail lub przekonujące podszywanie się, aby manipulować płatnościami firmowymi lub zdobyć poufne informacje. Ataki BEC często wymierzone są w zespoły finansowe, kierownictwo, dostawców oraz pracowników odpowiedzialnych za listy płac lub rozrachunki z dostawcami.

Internet Crime Complaint Center FBI zgłosił około 55,5 miliarda dolarów narażonych strat związanych ze zgłoszonymi incydentami BEC na całym świecie od października 2013 do grudnia 2023 roku. Jest to skumulowana wartość oparta na skargach, a nie szacunek strat rocznych ani dowód, że każdy incydent wykorzystywał tę samą technikę.

Typowy przykład dotyczy pracownika rozrachunków z dostawcami, który otrzymuje e-mail wyglądający, jakby pochodził od stałego dostawcy. Wiadomość mówi, że dostawca zmienił konto bankowe i poleca przesłać kolejną płatność na nowe konto. E-mail mógł zostać wysłany zeompromitowanego konta dostawcy, co utrudnia odróżnienie prośby od legalnej korespondencji.

Sygnały ostrzegawcze obejmują zmiany danych bankowych dostawcy, nieoczekiwane prośby o pilne lub poufne przelewy, drobne zmiany w adresie e-mail lub domenie oraz prośby o utrzymanie transakcji w tajemnicy lub pominięcie normalnych zatwierdzeń.

Weryfikuj zmiany danych płatniczych przez wcześniej ustalony numer telefonu lub inny zaufany kanał. Wymagaj niezależnego zatwierdzenia przelewów o dużej wartości, stosuj podwójną autoryzację i analizuj anomalie płatnicze. Technologie uwierzytelniania e-mail, takie jak SPF, DKIM i DMARC, mogą pomóc chronić przed pewnymi formami fałszowania e-maili, ale nie eliminują ryzyka podszywania się ani skompromitowanych kont.

7. Baiting i złośliwe urządzenia USB

Baiting wykorzystuje ciekawość, bodźce finansowe lub chęć zdobycia czegoś użytecznego. Atakujący mogą oferować fałszywe pobrania, darmowe oprogramowanie, nagrody lub fizyczne urządzenia prowadzące do infekcji złośliwym oprogramowaniem lub kradzieży informacji.

Na przykład ktoś może znaleźć na parkingu biurowym pendrive z etykietą „Confidential Payroll