Sociálne inžinierstvo

Čo to znamená

Sociálne inžinierstvo je súbor manipulačných techník, ktorými útočník presvedčí človeka, aby mu prezradil informácie, umožnil prístup alebo urobil platbu. Namiesto prelomenia techniky využíva ľudskú dôveru, ochotu pomôcť, autoritu, časový tlak či strach.

Najznámejšou formou je phishing cez e-mail alebo SMS. Ďalšie sú telefonické podvody, keď sa útočník vydáva za banku alebo IT podporu, podvod v mene riaditeľa, ktorý urgentne žiada platbu, podvrhnuté faktúry so zmeneným účtom či fyzický prienik do budovy za zamestnancom.

Útočníci si často pripravia informácie z webu firmy, sociálnych sietí a verejných registrov. Vďaka tomu pôsobia dôveryhodne, poznajú mená kolegov, dodávateľov aj prebiehajúce projekty a dokážu vytvoriť presvedčivý príbeh.

Ako to funguje v praxi

Obranou sú najmä jasné pravidlá. Pri platbách platí, že zmena bankového účtu dodávateľa alebo naliehavá žiadosť o okamžitú platbu sa vždy overí telefonicky na známom čísle a väčšie platby schvaľujú dvaja ľudia.

Technicky pomáha dvojfaktorové prihlasovanie, správca hesiel a prístup podľa princípu zero trust, pri ktorom sa ani vnútorným požiadavkám automaticky neverí. Samotná technika však nestačí, ak človek útočníkovi heslo či kód sám povie.

Pravidelne školíme vlastných ľudí a odporúčame to aj klientom. Najúčinnejšie sú krátke praktické ukážky skutočných podvodov a jednoduché pravidlo: kto má pochybnosti, zastaví sa a overí si požiadavku iným kanálom.

Na čo si dať pozor

Útoky cielia na ľudí, ktorí majú prístup k peniazom alebo dátam: účtovníkov, asistentky, finančných riaditeľov. Práve pri nich by mali byť pravidlá overovania najprísnejšie a nemali by sa obchádzať ani pri naliehaní nadriadeného.

Sociálne inžinierstvo ohrozuje aj obchodné tajomstvo a osobné údaje. Únik údajov o klientoch môže znamenať povinnosť ohlásiť incident podľa GDPR a poškodiť dôveru, ktorá sa buduje roky.