Co je sociální inženýrství a proč je tak účinné
Sociální inženýrství je soubor technik, které útočník používá k manipulaci s lidmi, aby odhalili informace, provedli určitou akci nebo oslabili zabezpečení organizace. Útočník zneužívá kognitivní zkratky, emoce a sociální normy – nikoliv zranitelnosti softwaru. V praxi to znamená, že i dokonale záplatovaná infrastruktura padne, pokud osoba klikne na škodlivý odkaz, schválí převod nebo vpustí cizince do prostor.
Psychologické principy, na kterých útoky stojí
- Autorita: „Jsem auditor/ředitel/technik – potřebuji okamžitý přístup.“
- Naléhavost a strach: „Váš účet bude zablokován, pokud nepotvrdíte do 10 minut.“
- Reciprocita: malý dárek, pomoc či „výjimka“ vytváří pocit závazku.
- Nedostatek: „Posledních 5 míst – potvrďte hned.“
- Společenský důkaz: „Toto již schválil tým XY.“
- Sympatie a podobnost: sdílené zájmy, dialekt, firemní slang.
- Rutina a únava pozornosti: zneužití návyků (klikací reflexy, přehlížení detailů).
Typologie útoků sociálního inženýrství
- Phishing (e-mail): podvržené e-maily s odkazy či přílohami.
- Spear-phishing a whaling: cílené útoky na konkrétní osoby (např. CFO, HR).
- Smishing: SMS a chat zprávy s malwarem nebo falešnými ověřeními.
- Vishing: telefonáty napodobující banku, IT podporu, kurýra.
- Pretexting: vymyšlený příběh (audit, incident, průzkum) k vylákání údajů.
- Quid pro quo: nabídka služby/výhody výměnou za přístup nebo informace.
- Baiting: návnada (USB v lobby, „zdarma“ účet), která spustí škodlivou akci.
- Tailgating/Piggybacking: fyzický průnik za oprávněnou osobou.
- Consent phishing/OAuth podvod: žádost o udělení oprávnění třetí aplikaci.
- MFA fatigue: zahlcení push notifikacemi s cílem vylákat schválení.
- Deepfake/voice cloning: syntetický obraz/hlas nadřízeného k urychlení plateb.
- Business Email Compromise (BEC): kompromitovaný či napodobený firemní e-mail na změnu IBAN/platby.
Typické scénáře z praxe
- „IT podpora“ žádá heslo: volající tvrdí, že potvrzuje incident; žádá OTP/MFA kód „pro ověření“.
- Falešná faktura s naléhavostí: e-mail „od dodavatele“ mění číslo účtu; použitý firemní tón a šablona.
- Personalizovaný onboarding: nováček obdrží „balíček nástrojů“ s trojanem a odkazem na falešné SSO.
- „Kurýr“ u recepce: potřebuje „jen podepsat převzetí“ v zóně s badge; žádá o otevření dveří.
- Grant/konference: pozvánka na prestižní akci vyžaduje přihlášení skrz podvržené přihlašování.
Červené vlajky: jak rozpoznat manipulaci
- Porušená gramatika nebo neobvyklý styl; netypické podpisy a domény.
- Naléhavost a hrozby („okamžitě“, „jinak“), obcházení standardních procesů.
- Žádost o soukromý kanál mimo oficiální nástroje (WhatsApp, osobní e-mail).
- Nesoulad URL a zobrazeného textu; zkrácené odkazy bez kontextu.
- Nevyžádané přílohy (makra, .zip/.iso) a žádost o vypnutí bezpečnostních prvků.
Ochrana pro jednotlivce: návyky s vysokou návratností
- Ověřujte druhým kanálem: při penězích nebo účtech vždy volejte zpět na známé číslo/SSO chat.
- Neklikejte naslepo: zastavte se, zjistěte kontext, v prohlížeči manuálně zadejte doménu.
- MFA, ale rozumně: preferujte FIDO2/bezheslové přihlášení; vypněte „auto-approve“ push notifikace.
- Nikdy nesdílejte tajemství: OTP/MFA kódy, recovery kódy a hesla nikdy neposílejte.
- Správce hesel: odhalí falešné domény (nenaplní přihlašovací údaje).
- Digitální stopa: omezte veřejné informace (funkce, projekty, organizační schéma), které útočník využije.
Ochrana pro organizace: vícevrstvá strategie
- Policy a procesy: závazná pravidla pro změny IBAN, onboarding dodavatelů, reset hesel, vydávání přístupů.
- Princip nejmenších práv a segregace: schvalování plateb čtyřočkem, omezená práva, JIT přístup.
- Bezpečné kanály: jednotné SSO, schvalování přímo v důvěryhodném klientovi, blokování OAuth třetích stran bez auditu.
- Technické kontroly: DMARC/DKIM/SPF, izolace příloh, přepisování URL s detekcí, sandboxing, EDR/XDR, anti-impersonation.
- Awareness školení: krátká, pravidelná, scénářová; měřte spíše time-to-report než „click rate“.
- Simulované útoky: etické phishingové kampaně, vishingová cvičení, fyzické red-teaming testy vstupů.
- Vizuální kultura: „Chraň firmu – nahlas“: jednoduché tlačítko v e-mailovém klientovi, chat bot na hlášení.
Incident response při sociálním inženýrství (playbook)
- Detekce a eskalace: centralizované hlášení; automatická korelace IOC (domény, čísla, fráze).
- Obsáhnutí: blokace domén/odkazů, odvolání tokenů, reset přístupů, dočasná blokace účtů a schvalování.
- Forenzika: logy OAuth, e-mailové záhlaví, IP, MFA události, finanční toky (okamžité kontaktování banky).
- Notifikace: právní tým, DPO, vedení, dotčené osoby; rozhodnutí o povinných oznámeních.
- Eradikace a obnova: záplaty, změny procesů, dodatečná ověření; poučení a aktualizace playbooku.
Specifika vybraných útoků a cílená opatření
| Útok | Kritický signál | Okamžitá reakce | Prevence |
|---|---|---|---|
| BEC (změna IBAN) | Žádost o změnu účtu „nucná dnes“ | Zastavit platbu, zpětné ověření na známé číslo | Čtyřočko, call-back, allowlist účtů |
| MFA fatigue | Desítky push žádostí | Zablokovat účet, ověřit průnik | FIDO2, číselné výzvy, rate-limit, geofencing |
| Consent phishing (OAuth) | Neznámá aplikace žádá „plný přístup k mailu“ | Odvolat token, reset hesla | Allowlist aplikací, granular scopes, CASB |
| Vishing „banka“ | Žádají OTP/3D Secure kód | Ukončit hovor, volat zpět na oficiální číslo | Nikdy nesdílet OTP, limity převodů, notifikace |
| Tailgating | „Zapomněl jsem kartu, podržte dveře“ | Odmítnout, přesměrovat na recepci | Turnikety, školení, návštěvnické průkazy |
Dodavatelský a třetí-stranný kontext
- Ověřování partnerů: due diligence, bezpečnostní požadavky ve smlouvách (audity, reporty, SLA na incidenty).
- Minimální přístupy: oddělené účty pro dodavatele, časově omezená práva, monitoring aktivit.
- Jednotná komunikace: všechny změny účtů/dodávek přes definované kanály s dvojím ověřením.
Rizika spojená se sociálními sítěmi a OSINT
- Přílišná transparentnost: z životopisů, příspěvků a fotografií útočník sestavuje pretext.
- Falešné profily: „recruiter/partner“ buduje důvěru a proniká do DM.
- Geolokace a kalendáře: informace o nepřítomnosti/skupinových akcích zvyšují úspěšnost BEC.
Měření a KPI (nejen „kliknul/nekliknul“)
- Time-to-report (TTR): čas od přijetí po nahlášení podvodu.
- Pokrytí školení: procento zaměstnanců, kteří absolvovali scénářové cvičení za posledních 6 měsíců.
- Mean time to contain (MTTC): čas do blokace domén/tokenů/účtů.
- Dodržování procesů: podíl plateb ověřených call-backem.
- OAuth hygiena: počet neautorizovaných aplikací a „high-risk scopes“ v tenantovi.
Právní a compliance aspekty
- Ochrana osobních údajů: minimalizovat citlivá data v procesech ověřování; audit přístupů při incidentu.
- Záznam o školeních a testech: prokazatelnost „přiměřených opatření“ při vyšetřováních a po incidentech.
- Hlášení incidentů: povinnosti vůči dozorčím orgánům a klientům dle povahy úniku.
Checklist rychlé odolnosti (2týdenní plán)
- Zaveďte čtyřočko a call-back pro změny účtů a velké platby.
- Vynucujte FIDO2 a zrušte „push-only“ MFA, nastavte číselné výzvy.
- Zapněte DMARC s politikou „reject“, izolaci příloh a ochranu URL.
- Vyčistěte OAuth: vypněte self-service registraci a zaveďte allowlist.
- Spusťte mikrotrénink: 15min scénáře + tlačítko „Nahlásit phishing“ v klientech.
- Upravte recepční a fyzické SOP: žádné vpouštění bez karty, návštěvnické badge.
- Definujte playbook: kontakty, eskalace, bankovní SLA při BEC.
AI-posílené hrozby a jejich mitigace
- Deepfake hlas/video: vyžadujte „shared secret“/callback při finančních pokynech; školení rozpoznání anomálií.
- Generované texty: používejte stylometrické detekce opatrně – spoléhejte raději na procesy a ověření.
- Automatizované OSINT: omezte veřejné organizační schéma a metadata; interní sociální sítě za SSO a s DLP.
Lidé jako první i poslední linie
Sociální inženýrství neprojde firewallem. Útočníci cílí na lidi, procesy a návyky. Účinná obrana kombinuje psychologickou gramotnost uživatelů, striktní procesy při citlivých operacích, technické kontroly zachycující anomálie a rychlou reakci na incidenty. Firmy, které měří čas do nahlášení, omezují oprávnění, posilují autentifikaci a kultivují bezpečnostní kulturu „ověř a nahlas“, výrazně snižují pravděpodobnost úspěšného útoku i jeho dopady.
