Co je to sociální inženýrství? Základy, které byste měli znát

Co je sociální inženýrství? 

Sociální inženýrství, ve své širší definici, je manipulace lidí s cílem získat informace nebo je přimět k určité akci. Využívá psychologické triky, jako jsou důvěra, autorita nebo strach, aby ovlivnil rozhodování oběti.

V kontextu kybernetické bezpečnosti je sociální inženýrství oblíbenou taktikou podvodníků a hackerů. Místo složitého nabourávání systémů jednoduše zneužívají lidskou důvěřivost. Jejich cílem je přimět vás, abyste jim sami prozradili své heslo, údaje o platební kartě nebo jim nevědomky umožnili přístup k vašemu účtu.

Jak sociální inženýrství funguje?

Útočníci hrají na emoce, důvěru a zvyky lidí. Vydávají se za autority, využívají naléhavost nebo lákavé nabídky, aby oběť přiměli k neuváženému kroku.

Může to být e-mail s odkazem na „důležité přihlášení“, telefonát od falešného technika nebo podvodná SMS. Cílem je donutit člověka kliknout, stáhnout škodlivý soubor nebo prozradit citlivé údaje.

S praktikami sociálního inženýrství se setkáváme všichni a denně. Příkladem jsou média, weby a e-shopy, které běžně využívají psychologické techniky k ovlivnění našeho chování. Omezené nabídky, vytváření tlaku a strachu jsou běžnou součástí marketingových strategií. Zvažte, jak na vás působí oznámení o „posledním kusu na skladě“, záplava pozitivních recenzí nebo časově omezené slevy.

Tyto taktiky nás často přimějí jednat impulzivně, aniž bychom si vše důkladně promysleli.

Jak sociální inženýrství ohrožuje kybernetickou bezpečnost firem?

Stačí jedno špatné rozhodnutí a útočníci mohou získat přístup k firemním účtům, citlivým datům nebo finančním prostředkům. Sociální inženýrství je často prvním krokem k rozsáhlému kybernetickému útoku – otevírá dveře pro šíření malwaru, ransomwaru nebo odcizení identit zaměstnanců.

Proč je pro firmy tak nebezpečné?

• Ztráta důvěrných dat: útočníci mohou získat přístup k interním dokumentům, zákaznickým databázím nebo strategickým informacím.
• Finanční škody: podvodné e-maily a falešné faktury mohou vést k neoprávněným platbám nebo přímým ztrátám.
• Kompromitace firemních systémů: stažení škodlivého souboru může způsobit šíření ransomwaru, který ochromí celou infrastrukturu.
• Poškození reputace: únik citlivých informací může vést ke ztrátě důvěry zákazníků i obchodních partnerů.

Na rozdíl od technických zranitelností, které lze opravit aktualizací softwaru, lidskou chybu nelze záplatovat jedním kliknutím.

TIP: Přečtěte si článek Kybernetický bezpečnostní incident – co to je a jaké druhy známe?

Nejohroženější firmy: Jste jednou z nich? 

Nejčastějším terčem kyberútoků jsou zdravotnická zařízení, banky a velké instituce s cennými daty. Jak se ale ukazuje, v ohrožení může být kdokoliv:

„Útočníci se stále častěji zaměřují i na menší firmy, které bývají zranitelnější. Často totiž nemají tak robustní zabezpečení jako velké korporace. Z profesí jsou pak nejvíce ohroženi lidé s rozhodovací pravomocí a zaměstnanci s vyššími oprávněními, protože právě jejich účty mohou útočníkům otevřít cestu k citlivým informacím nebo klíčovým systémům,“ říká Lucie Jahnová, expertka na kyberbezpečnost, v rozhovoru o kyberútocích v českých firmách.

Metody sociálního inženýrství

Phishing

Phishing je nejjednodušší cesta, jak se útočníci dostanou k vašim datům – a právě proto je tak nebezpečný.

Stačí jediný podvodný e-mail, SMS nebo falešná stránka, která vypadá jako zpráva od banky, státního úřadu nebo dokonce vašeho IT oddělení. Zaměstnanec klikne, zadá heslo nebo stáhne škodlivý soubor – a útočníci mají volnou cestu do firemního systému. Napadení virem v důsledku phishingu přiznává 58 % zaměstnanců. 

„Nejčastější typy kybernetických útoků se pořád točí kolem phishingu – to je taková nestárnoucí klasika. Navíc se začínají objevovat i nové varianty, a to díky novým technologiím, jako je klonování hlasu nebo umělá inteligence. Díky těmto technologiím působí phishing důvěryhodněji, než kdy dříve,“ říká Lucie Jahnová.

Data jasně ukazují rostoucí četnost phishingových útoků. Například Zpráva o kybernetické bezpečnosti za rok 2023 upozorňuje, že nejen dochází k jejich nárůstu, ale ve srovnání s roky 2021 a 2022 se tato metoda využívá stále intenzivněji.

^{Rostoucí výskyt a sofistikovanost phishingu  v letech 2021 – 2023. Zdroj dat: Zpráva o stavu kybernetické bezpečnosti České republiky za rok 2023}

Data české společnosti Etnetera Activate jsou ještě znepokojivější. Podle dat jejich klientů vzrostl počet cílených phishingových e-mailových útoků v České republice dokonce o 70 %.

E-mailové podvody jsou jen špičkou ledovce. Phishing má mnoho podob – kromě klasických podvodných e-mailů mezi běžné taktiky patří například spear-phishing (cílené útoky na konkrétní osoby nebo firmy), vishing (hlasové podvody přes telefon) nebo smishing (phishing prostřednictvím SMS).

TIP: Přečtěte si také Phishing: Co potřebujete vědět pro ochranu vaší firmy a zaměstnanců

Spear-phishing

Spear-phishing je cílený podvodný útok, který útočníci šijí na míru konkrétní osobě nebo firmě. Nejde o masově rozesílané e-maily – útočník si předem zjistí informace o oběti, aby zpráva působila důvěryhodně.

Může se vydávat za vašeho nadřízeného, obchodního partnera nebo IT podporu a přimět vás k otevření škodlivé přílohy, sdílení hesla nebo odeslání peněz.

Právě proto je spear-phishing tak nebezpečný – zpráva působí naprosto věrohodně a může jí naletět kdokoliv.

Vishing

Podobně jako smishing, i vishing je formou sociálního inženýrství a zároveň typem phishingu, který probíhá prostřednictvím telefonních hovorů.

Útočníci se vydávají za důvěryhodné osoby – například bankovní pracovníky, technickou podporu nebo zástupce státních institucí – a snaží se oběť zmanipulovat k prozrazení citlivých údajů. Často vytvářejí pocit naléhavosti nebo ohrožení, aby oběť jednala bez přemýšlení.

Na rozdíl od e-mailového phishingu působí vishing osobněji a přesvědčivěji, protože útočníci dokážou napodobit skutečné firemní call centrum, měnit telefonní čísla nebo dokonce využívat klonování hlasu.

Podvodné telefonáty od „Microsoftu“: Vishingová hrozba v roce 2022

V roce 2022 se v Česku masivně rozšířily vishingové podvody, při nichž podvodníci volali lidem a vydávali se za technickou podporu společnosti Microsoft. Tvrdili, že jejich počítač byl napaden virem, a nabízeli „okamžitou pomoc“.

Ve skutečnosti se snažili oběti přesvědčit, aby jim umožnily vzdálený přístup k zařízení pomocí speciálního softwaru. Jakmile získali kontrolu nad počítačem, mohli krást citlivé údaje, například přístupy k bankovním účtům nebo platebním kartám.

Smishing

Smishing je forma phishingu a zároveň typ sociálního inženýrství, který využívá podvodné SMS zprávy k vylákání citlivých údajů. Útočníci se vydávají za banky, úřady nebo známé firmy a snaží se oběť přimět ke kliknutí na falešný odkaz nebo sdílení osobních informací. Smishing je nebezpečný, protože SMS zprávám lidé často důvěřují a reagují na ně rychleji než na e-maily.

Smishingový útok na klienty VZP v roce 2023

V roce 2023 se podvodníci zaměřili na klienty VZP prostřednictvím falešných SMS zpráv. Ty slibovaly finanční příspěvek a obsahovaly odkaz na podvodnou stránku, která napodobovala oficiální web pojišťovny. Jakmile oběť zadala své údaje, útočníci je okamžitě zneužili.

TIP: Přečtěte si také Vishing a smishing: co firmy musí vědět

Baiting

Baiting využívá lidskou zvědavost nebo chamtivost k oklamání oběti. Útočníci nabízejí zdánlivě atraktivní odměnu – například zdarma dostupný software, infikované USB disky nebo falešné inzeráty, které vedou ke stažení škodlivého souboru. Jakmile oběť podlehne „návnadě“, může poskytnout citlivé údaje nebo nechtěně otevřít útočníkům přístup k systému.

Pretexting

Pretexting je podvod, při kterém se útočník vydává za důvěryhodnou osobu, například bankéře, IT specialistu nebo úředníka, aby získal osobní údaje, přihlašovací informace nebo kopie dokladů. Tvrdí, že jde o ověření identity nebo bezpečnostní kontrolu, a používá věrohodné podklady k přesvědčení oběti.

Scareware

Scareware využívá falešná bezpečnostní upozornění, která se snaží oběť přesvědčit, že její zařízení bylo napadeno virem nebo že její data jsou ohrožena.

Nejčastěji se objevuje ve formě vyskakovacích oken na webových stránkách nebo podvodných e-mailů, které nabízejí „okamžité řešení“ v podobě stahování bezpečnostního softwaru – který je ve skutečnosti malwarem.

Honeytrap

Honeytrap (medová past) je forma sociálního inženýrství, při kterém útočník předstírá romantický zájem, aby získal důvěru oběti a vylákal z ní peníze, citlivé údaje nebo firemní přístupy. Často se objevuje na seznamkách a sociálních sítích, kde podvodníci využívají falešné identity nebo smyšlené životní příběhy k manipulaci obětí.

Dobře známým příkladem je „Podvodník z Tinderu“, který předstíral luxusní životní styl, získal si důvěru obětí a pod různými záminkami z nich vylákal statisíce dolarů. Tento případ jasně ukazuje, jak silným nástrojem může být manipulace přes emocionální vazby.

Honeytrap ale neohrožuje jen jednotlivce – cílem mohou být i firmy. Útočníci si vyhlédnou zaměstnance s přístupem k důležitým informacím nebo firemním financím, navážou s nimi vztah a postupně je zmanipulují k prozrazení citlivých údajů nebo provedení finančních transakcí.

TIP: Metody sociálního inženýrství se neustále vyvíjejí. Podívejte se na nové trendy, které budou ohrožovat firmy v nejbližších letech. 

8 způsobů, jak se bránit technikám sociálního inženýrství 

„Důvěřuj, ale prověřuj.“ V případě sociálního inženýrství je lepší spíše nedůvěřovat. Hackeři spoléhají na lidskou nepozornost a důvěřivost. Nejlepší obranou je tedy neustálá ostražitost a znalost rizik, která se skrývají za zdánlivě neškodnými zprávami. 

Chcete-li tato rizika minimalizovat, řiďte se základními bezpečnostními doporučeními: 

1. Ověřujte e-maily a přílohy: před otevřením neznámého e-mailu nebo přílohy si vždy ověřte odesílatele. Zkontrolujte celou e-mailovou adresu, nejen zobrazenou hlavičku.
2. Neklikejte na odkazy z neznámých zdrojů: i když jste zvědaví, zda jste opravdu zdědili 10 milionů eur od příbuzného z Anglie.
3. Nikdy nesdílejte hesla ani bankovní údaje: pokud si nejste jisti volajícím nebo webem. Zavěste nebo ukončete činnost a sami aktivně kontaktujte svou banku.
4. Používejte silná a jedinečná hesla: ze statistik vyplývá, že máme tendenci volit snadno zapamatovatelná hesla spojená s naším životem, jako je jméno mazlíčka, datum svatby nebo oblíbený tým, a překvapivě stále i „12345“. Taková hesla jsou pro útočníky snadno odhalitelná.
5. Pravidelně aktualizujte software: aktualizace a antivirové programy jsou nejjednodušším způsobem ochrany před známými hrozbami.
6. Ověřujte zabezpečení webových stránek: před zadáním citlivých údajů si vždy zkontrolujte, zda je webová stránka legitimní a zabezpečená (URL začínající na „https“ a ikonka zámku v adresním řádku).
7. Používejte dvoufaktorové nebo vícefaktorové ověřování: i když to může být nepohodlné, 2FA/MFA je klíčové pro ochranu účtů. I když útočník získá vaše heslo, iez druhého faktoru se do účtu nedostane. Proto je důležité jej aktivovat pro online platby, e-mailové účty a další klíčové aplikace, kde je ochrana dat zásadní.
8. Buďte obezřetní vůči naléhavým žádostem: nepodléhejte nátlaku – podvodníci často využívají zastrašování a časový tlak. Pamatujte, že nic není zadarmo a podezřele výhodné nabídky se mohou vymstít.

TIP: Zjistěte, jak na detekci kyberútoků ve vaší firmě.

Jak chránit svou firmu před sociálním inženýrstvím 

Sociální inženýrství může ohrozit i vaši firmu, a to prostřednictvím vašich zaměstnanců. Pokud ji nebudete adekvátně chránit, riskujete únik citlivých dat, finanční ztráty a poškození dobrého jména. Existují dvě hlavní cesty, jak se efektivně bránit. 

Komplexní ochrana vaší informační bezpečnosti

Chraňte svou firmu řešením, které zajišťuje systematickou a efektivní ochranu. V Seyforu se kyberbezpečnosti věnujeme už od roku 2003 a náš stabilní tým odborníků s mnohaletými zkušenostmi je připraven vás ochránit před hrozbami sociálního inženýrství. Přečtěte si více o našem řešení a zajistěte bezpečnost své firmy. 

Chci svou firmu chránit

Vzdělávání sebe a svých zaměstnanců 

Investujte do vzdělávání a posilujte bezpečnostní povědomí ve vaší firmě. Například na Knowee najdete užitečné články a kurzy, včetně kurzu kyberbezpečnosti pro koncové uživatele, které vám a vašim zaměstnancům pomohou lépe se bránit hrozbám sociálního inženýrství. 

Chci se proškolit