Sociální inženýrství je druh podvodu, který se spoléhá na sociální, nikoli digitální podněty. Podvodníci využívají důvěrné znalosti o vaší firmě, vašich zaměstnancích, vašich projektech a dalších věcech k tomu, aby vás přesvědčili k resetování hesla nebo ke schválení platby. Tyto znalosti často kombinují s naléhavostí a nutí vás k rychlému rozhodnutí.

Žádný seznam varovných signálů na to člověka nepřipraví, protože k manipulaci nedochází prostřednictvím technologií. Odehrává se v něčí hlavě při rozhodování.

Už jsme se podrobně věnovali tomu, co je sociální inženýrství na základní úrovni: definicím, běžným kategoriím útoků a obecným mechanismům manipulačních útoků v porovnání s čistě technickými. Vytvoření efektivního programu bezpečnostního povědomí, jak strukturovat školení, nastavit jejich četnost a měřit, zda to vůbec funguje, je samostatné téma, o kterém jsme také psali.

Tento článek stojí někde mezi nimi. Místo definic nebo návrhu programu se zaměřuje na to, co musí být skutečným obsahem školení zaměstnanců: psychologické mechanismy, na které útočníci spoléhají, a jak vypadá skutečná odolnost ve chvíli, kdy člověk takové situaci reálně čelí, a ne když si o ní jen čte na snímku prezentace.

Proč sociální inženýrství funguje: šest pák, jedno slepé místo

Sociální inženýrství neslaví úspěch proto, že by zaměstnanci byli neopatrní. Funguje, protože si vypůjčuje mentální zkratky, které lidský mozek denně využívá k rychlému běžnému rozhodování, a zaměřuje je na nesprávný cíl. Výzkum Roberta Cialdiniho v oblasti přesvědčování identifikoval sedm těchto zkratek už před desítkami let a šest z nich popisuje téměř každý pokus o sociální inženýrství, se kterým se firma může setkat:

  • Reciprocita
  • Vzácnost
  • Autorita
  • Konzistence
  • Sociální schválení
  • Sounáležitost

Autorita

Podvodníci spoléhají nejčastěji na autoritu. Lidé vyhoví žádosti mnohem rychleji, pokud se zdá, že pochází od někoho z vedení, od správce IT nebo externího orgánu, jako je regulátor či dodavatel – a často si vůbec neověří, zda je tato autorita skutečná.

Naléhavost

Naléhavost to ještě umocňuje: termín uzávěrky, uzamčený účet nebo platba, která musí odejít dříve, než banka zavře, tlačí lidi k okamžitému jednání a odvádí je od ověřování. Zastavit se a věc zkontrolovat totiž vyvolává pocit, že by to mohlo způsobit právě ten problém, kterým útočník hrozí.

Vzácnost

Vzácnost funguje stejným způsobem v jiném převleku: časově omezená nabídka, jednorázové přístupové okno, zpráva naznačující, že váhání znamená promarněnou příležitost.

Sociální schválení

Sociální schválení přesvědčuje lidi o tom, že požadavek je legitimní, protože s ním zřejmě ostatní už souhlasili: „zbytek finančního oddělení už to schválil“ nebo vlákno, které vypadá jako skutečná interní konverzace. Oblíbenost pak zneužívá vzájemné sympatie: útočník, který je přátelský, lichotí nebo se zdá být obeznámen s firemní kulturou, otupí ostražitost cíle jednoduše tím, že je příjemné s ním jednat.

Reciprocita

Reciprocita je z této šestice nejméně nápadná: malá laskavost, zdánlivě užitečná informace nebo kompliment nabídnutý jako první vytváří mírný, často nevědomý pocit povinnosti toto gesto oplatit.

Žádná z těchto pák není nijak sofistikovaná. Jsou to stejné instinkty, které umožňují běžnou spolupráci na pracovišti. Jakýkoli požadavek využívající jeden nebo více těchto principů vypadá jako normální, mírně naléhavá žádost – přesně taková, na kterou jsou lidé po celou svou kariéru zvyklí reagovat rychle a ochotně.

Útoky, se kterými se zaměstnanci ve firemním prostředí skutečně setkávají

Většina organizací se zaměřuje na opatření proti phishingu a my jsme již psali o obraně proti phishingovým útokům. Školení sociálního inženýrství, které končí u e-mailu, však opomíjí většinu toho, čemu zaměstnanci ve skutečnosti čelí, zejména v kancelářském nebo hybridním pracovním prostředí, kde jsou telefonní hovory, návštěvy a fyzický přístup stále součástí každodenní rutiny.

Vishing

Hlasový phishing neboli vishing spoléhá na falešné telefonní hovory nebo hlasové zprávy. Volající se může vydávat za IT podporu žádající potvrzení hesla před aktualizací systému, za banku ověřující transakci nebo za kurýra potřebujícího jednorázový kód k doručení zásilky.

Lidský hlas dodává naléhavost a autoritu, kterou text nedokáže přesvědčivě napodobit. Právě proto zůstává účinný i proti lidem, kteří se považují za ostražité vůči phishingovým e-mailům. Útočníci navíc stále častěji využívají nástroje pro klonování hlasu k napodobení hlasu skutečného kolegy nebo vedoucího pracovníka, což organizace NCSC označila za rostoucí riziko(nové okno) pro jednotlivce i organizace. Psali jsme také o prevenci deepfake.

Pretexting

Pretexting spočívá ve vytvoření smyšleného příběhu (záminky), který útočník použije k odůvodnění neobvyklého požadavku. Může se vydávat za nového dodavatele, který potřebuje údaje o účtu k nastavení platby, auditora požadujícího přístupové logy nebo uchazeče o zaměstnání žádajícího personalistu o potvrzení osobních údajů pro prověrku minulosti.

Scénář je často poskládán z drobných veřejně dostupných informací, jako je pracovní pozice a název dodavatele spojené dohromady tak, aby zněly věrohodně.

Baiting

Baiting nabízí něco, co zaměstnanec chce: bezplatný zdroj, firemní USB disk nebo pevný disk, dokument s názvem Přehled mezd za 3. čtvrtletí, a to výměnou za akci, která kompromituje zařízení nebo účet. Funguje to proto, že nevyžaduje důvěru tak jako phishingový e-mail; místo toho spoléhá na to, že práci odvede zvědavost.

Tailgating

Tailgating neboli piggybacking je jediný útok na tomto seznamu, který nemá nic společného s obrazovkou. Útočník projde za zaměstnancem dveřmi zabezpečenými vstupní kartou, přičemž často nese krabice, má na sobě něco, co vypadá jako uniforma, nebo si svůj příchod jednoduše načasuje na okamžik, kdy podržet dveře je otázkou slušnosti. Přímo tak zneužívá zdvořilost na pracovišti, a právě proto bývá školení fyzické bezpečnosti v programech zaměřených výhradně na e-mailové schránky často opomíjeno.

Jak ve skutečnosti vypadá odolnost vůči útokům sociálního inženýrství

Pouhé sdělení zaměstnancům, aby „byli podezřívavější“, pod skutečným tlakem neobstojí. Podezření je pocit a útočníci se jej záměrně snaží potlačit. Školení musí tento vágní pokyn nahradit konkrétními, opakovatelnými vzorci chování, které nezávisí na tom, zda si člověk v danou chvíli všimne, že je s ním manipulováno.

Vždy ověřujte

Ověření prostřednictvím samostatného kanálu je tím nejužitečnějším návykem, který může firma zavést. Pokud požadavek dorazí e-mailem, potvrďte si ho telefonicky nebo osobně s využitím čísla či kontaktu, který již máte v evidenci, nikoli toho, který je uveden v samotné zprávě. Tento jediný návyk zmaří velkou část pokusů o vydávání se za někoho jiného bez ohledu na to, jak přesvědčivý byl původní kontakt, protože zbavuje útočníka kontroly nad fází ověření.

Zpomalte

Naléhavost musí být chápána jako signál ke zpomalení, nikoli jako důvod k přeskočení nějakého kroku. Zaměstnanci by měli být vyškoleni k tomu, aby zpozorněli, když je na ně vyvíjen nátlak na úkor stanovených postupů, protože takový tlak je jen zřídka náhodný. Skutečně naléhavý a legitimní požadavek dvouminutový ověřovací hovor snese; požadavek, který takové zpoždění nesnese, by měl vyvolat podezření bez ohledu na to, od koho zdánlivě přichází.

Vyžádejte si potvrzení

Požadavky týkající se financí a přihlašovacích údajů by měly standardně vyžadovat potvrzení druhou osobou, nikoli jen jako výjimka vyhrazená pro velké transakce. Tím se odstraní sociální tlak, na který útočník spoléhá, když izoluje jednoho zaměstnance a žádá ho, aby jednal sám. Zaměstnanec tak navíc získá přímočarou možnost říct bez obav z výčitek „musím to ještě s někým zkontrolovat“, aniž by působil neochotně nebo nedůvěřivě.

Hlašte incidenty, ke kterým málem došlo

Hlášení situací, kdy k incidentu málem došlo, celý proces uzavírá. Zaměstnanec, který vyhověl části požadavku, váhal, ale nakonec ustoupil, nebo si později uvědomil, že něco nebylo v pořádku, by měl být povzbuzen k tomu, aby to nahlásil i dodatečně – a to i v případě, že se zdánlivě nic nestalo. Tato hlášení jsou pro firmu často nejranějším varováním, že se stala terčem útoku, a objeví se pouze v kultuře, kde hlášení nepřináší rozpaky ani obviňování.

Stejný přístup platí i ve chvíli, kdy již peníze nebo data skutečně odešly: Action Fraud(nové okno), britské národní centrum pro hlášení podvodů a kyberkriminality, existuje proto, že čím dříve je incident nahlášen, tím užitečnější je to pro všechny ostatní, kteří se stanou terčem stejného scénáře.

Proč prezentace odolnost nevybudují, ale simulace ano

Čtení o šesti pákách přesvědčování je užitečné pro pochopení kontextu, ale nezmění to, jak se člověk zachová pod skutečným tlakem – stejně jako vás pouhé čtení o požárním cvičení nepřipraví na nalezení nejbližšího východu. Odolnost vůči manipulaci je natrénovaná dovednost, nikoli fakt zapamatovaný ze snímků prezentace, a proto se nejúčinnější školení sociálního inženýrství spoléhá na simulaci, nikoli pouze na poučování.

Efektivní simulace vystavuje zaměstnance realistické verzi tlaku, kterému budou skutečně čelit: simulovanému telefonátu od dodavatele požadujícího změny na účtu, smyšlené naléhavé žádosti od někoho, kdo se vydává za manažera, nebo fingovanému návštěvníkovi, který žádá o vpuštění přes zabezpečené dveře – a následně poskytuje okamžitou a konkrétní zpětnou vazbu namísto pouhého hodnocení prospěl/neprospěl.

Cílem je umožnit zaměstnancům zažít okamžik nátlaku v bezpečném prostředí, všimnout si, jakou pákou na ně bylo působeno, a vybudovat si reflex se pozastavit a vše ověřit dříve, než o něco půjde.

Obtížnost by se měla postupně zvyšovat a scénáře by měly odpovídat skutečným rolím. Někdo z finančního oddělení čelí jiným záminkám než někdo na recepci a cvičení by mělo končit rozborem, který vysvětlí použitý mechanismus, nikoli pouze to, zda daná osoba uspěla.

Když se simulace provede správně, promění těchto šest psychologických pák ve srozumitelné a snadno rozpoznatelné koncepty, což je hlavním smyslem školení, které má obstát i mimo školicí místnost.

Školení lidí, nejen zásad

Sociální inženýrství slaví úspěch tím, že cílí na instinkty, které umožňují běžnou týmovou spolupráci: důvěru v autoritu, reakci na naléhavost a nepříjemný pocit ze zpochybňování někoho, kdo působí nadřízeně nebo přátelsky. Školení, které tyto útoky pouze definuje nebo vyjmenovává jejich kategorie, ponechává zaměstnance stejně zranitelné jako dříve, protože rozpoznat definici a rozpoznat živý pokus o manipulaci jsou zcela odlišné dovednosti.

Školicí plán, který pojmenovává šest psychologických pák, ukazuje, jak se vishing, pretexting, baiting a tailgating skutečně projevují v pracovním prostředí, a dává zaměstnancům konkrétní, nacvičené vzorce chování (ověřit nezávisle jinou cestou, považovat naléhavost spíše za varovný signál než za termín, zapojit druhou osobu, nahlásit i těsná vyhnutí), dává lidem do rukou něco, co mohou pod tlakem skutečně použít.

Pokud je to posíleno simulací namísto prezentací a podpořeno jedinečnými hesly a MFA, které omezují, k čemu se může úspěšný pokus dostat, právě tato kombinace promění povědomí ve skutečnou odolnost.

Nic z toho nenahrazuje práci na samotné tvorbě školicího programu: jeho frekvenci, strukturu, pravidelnost opakování ani to, jak měříte jeho úspěšnost. Těmto tématům se věnuje náš doplňující průvodce o vytvoření programu pro budování bezpečnostního povědomí. Sem patří to, co leží pod tímto programem: psychologie, které zaměstnanci ve skutečnosti čelí, a konkrétní, nacvičené návyky, které obstojí, jakmile je tlak skutečný, a nikoli pouze hypotetický.

Tým, který dokáže pojmenovat taktiku přesvědčování ve chvíli, kdy je na něj uplatňována, a přesně ví, komu dalšímu zavolat, než podnikne nějaké kroky, je zásadně těžším terčem než ten, kterému bylo pouze řečeno, aby zůstal ostražitý. A právě tuto mezeru můžete pomocí tohoto typu školení zacelit.

Spojitost s přihlašovacími údaji: Proč na omezení škod po chybě stále záleží

Školení snižuje míru úspěšnosti sociálního inženýrství, ale nedokáže toto číslo srazit na nulu. Program postavený na tomto cíli vždy selže. Někdo v určitém okamžiku předá heslo po telefonu, proklikne se přes podvrženou přihlašovací stránku nebo potvrdí detail, který neměl. To, co v takové chvíli omezí škody, není povědomí – jsou to jakékoli mechanismy řízení přístupu, které byly zavedeny ještě před začátkem hovoru.

Přihlašovací údaje získané pomocí sociálního inženýrství jsou pro útočníka mnohem méně užitečné, pokud jsou jedinečné pro jedinou službu a chráněné vícefaktorovým ověřením (MFA). Jedinečná hesla zabraňují tomu, aby byly jedny kompromitované přihlašovací údaje znovu použity k přístupu k dalším službám, zatímco MFA může zabránit tomu, aby samotné odcizené heslo umožnilo přístup i k účtu, ke kterému patří.

Jde o stejnou logiku omezení škod, jakou popisujeme v našich průvodcích pro budování silné firemní kultury bezpečnosti a vytváření spolehlivých zásad pro hesla. Zde stojí za to ji zopakovat, protože sociální inženýrství a hygiena hesel se obvykle řeší jako oddělené problémy, ačkoli jde ve skutečnosti o dvě fáze téhož útoku.

Firemní správce hesel, jako je Proton Pass for Business, umožňuje toto omezení škod realisticky udržovat ve velkém měřítku, aniž by vše záviselo na tom, zda si jednotliví zaměstnanci vzpomenou na dodržování zásad.

Když jsou přihlašovací údaje ukládány, generovány a bezpečně sdíleny prostřednictvím spravovaného trezoru na hesla namísto paměti, prohlížečů nebo tabulek, jeden úspěšný pokus o sociální inženýrství přestává být vstupní branou do každého systému, se kterým zaměstnanec pracuje.

Proton Pass for Business usnadňuje správu přihlašovacích údajů pro každého člena týmu, nejen pro vaše IT oddělení:

Snižte zranitelnost svého týmu vůči sociálnímu inženýrství pomocí bezpečného firemního správce hesel.