Sociální inženýrství
Útočníci nemusí prolamovat firewally ani luštit šifry. Stačí jim zavolat nebo napsat e-mail a nechat vás, abyste jim dveře otevřeli sami. Přesně tak funguje sociální inženýrství.
Co je sociální inženýrství
Sociální inženýrství (anglicky „social engineering“) je manipulativní technika, při které útočník zneužívá lidskou důvěřivost, strach nebo zvědavost, aby z oběti vylákal citlivé údaje nebo ji přiměl k určité akci. Může jít o prozrazení hesla, zadání údajů k platební kartě nebo převod peněz na podvodný účet.
Rada Evropské unie ho definuje jako „strategii spočívající v manipulaci a klamání, jejímž cílem je přimět lidi, aby odhalili citlivé informace“.
Nejčastější techniky sociálního inženýrství
|
Technika |
Kanál |
Příklad |
|
Phishing |
|
Podvodný e-mail od „banky“ s odkazem na falešnou přihlašovací stránku |
|
Vishing |
Telefon |
Falešný bankéř volá, že váš účet je ohrožen |
|
Smishing |
SMS |
Zpráva o „nedoručeném balíku“ s odkazem na podvodný web |
|
Pretexting |
Různé |
Útočník se vydává za IT technika a žádá vzdálený přístup |
|
Baiting |
Fyzický / online |
Infikovaný USB disk „zapomenutý“ na chodbě firmy |
Phishing je zdaleka nejrozšířenější formou. Útočníci rozesílají tisíce podvodných e-mailů, aby příjemce přiměli ke kliknutí na škodlivý odkaz.
Jak se bránit sociálnímu inženýrství
NÚKIB doporučuje tato pravidla:
- Ověřujte identitu volajícího – zavěste a zavolejte zpět na oficiální číslo instituce.
- Nespěchejte – časový nátlak je varovný signál.
- Nesdílejte citlivé údaje – hesla ani údaje ke kartě nikdy nesdělujte po telefonu, e-mailu nebo SMS.
- Kontrolujte odesílatele – u e-mailů ověřte doménu za zavináčem, u odkazů skutečnou URL adresu.
- Zapněte dvoufaktorové ověření (2FA) – i pokud útočník získá heslo, bez druhého faktoru se k účtu nedostane.
Útoky sociálního inženýrství se zdokonalují díky umělé inteligenci. Útočníci pomocí AI generují jazykově bezchybné e-maily a vytvářejí deepfake hlasové nahrávky.
FAQ – Často kladené otázky
Co patří mezi techniky sociálního inženýrství?
Patří sem phishing (podvodné e-maily), vishing (podvodné telefonáty), smishing (podvodné SMS), pretexting (falešné scénáře) a baiting (vábení pomocí infikovaných USB disků).
Co je hlavním cílem útoku sociálního inženýrství?
Cílem je přimět oběť, aby sama odhalila citlivé informace nebo provedla akci ve prospěch útočníka. Útočníci cílí na lidskou psychologii, ne na technické systémy.
Jaký je rozdíl mezi sociálním inženýrstvím a phishingem?
Sociální inženýrství je zastřešující pojem pro všechny manipulativní techniky v kybernetické bezpečnosti. Phishing je jednou z jeho forem.
Související pojmy
- Phishing – nejznámější forma sociálního inženýrství, podvodné e-maily napodobující důvěryhodné instituce.
- Vishing – hlasová forma sociálního inženýrství prováděná podvodnými telefonáty.
- Smishing – SMS forma sociálního inženýrství využívající podvodné textové zprávy.
- Spoofing – falšování identity odesílatele, často používané při útocích sociálního inženýrství.
- Deepfake – AI technologie pro tvorbu falešných hlasů a videí zvyšující účinnost útoků.
Zdroje
https://nukib.gov.cz/cs/infoservis/doporuceni/1497-socialni-inzenyrstvi/
https://www.consilium.europa.eu/cs/policies/cybersecurity/cybersecurity-social-engineering/
https://cs.wikipedia.org/wiki/Soci%C3%A1ln%C3%AD_in%C5%BEen%C3%BDrstv%C3%AD_(bezpe%C4%8Dnost