Sociální inženýrství: co to je a proč funguje
Sociální inženýrství je soubor technik, kterými útočník manipuluje lidmi tak, aby provedli určitou akci nebo prozradili informace ve prospěch útočníka. Místo zneužívání přímých technických zranitelností využívá kognitivní zkratky, autoritu, strach, zvědavost či ochotu pomoci. Úspěšný útok často kombinuje OSINT (sběr veřejně dostupných informací) s přesvědčivým příběhem, načasováním a kanálem, kterému cíl důvěřuje.
Psychologické páky a kognitivní zkreslení
- Naléhavost a strach: „okamžitě jednejte“, „bude vám odpojen účet“, „hrozí pokuta“ → zkracuje čas na ověření.
- Autorita a hierarchie: předstírání statusu (CEO, policie, banka) → vyvolává automatickou poslušnost.
- Vzácnost a zisk: „poslední šance“, „dárek“ → aktivuje impulzivní rozhodování.
- Reciprocita a pomoc: žádost „jen na chvíli“, „můžete mi pomoci?“ → snižuje obrannou ostražitost.
- Konzistence a závazek: malá žádost dnes → větší žádost zítra (technika „foot-in-the-door“).
- Familiarita a halo efekt: známá loga, interní žargon, jména kolegů → pocit legitimity.
Životní cyklus útoku
- Průzkum (OSINT): LinkedIn, sociální sítě, tiskové zprávy, veřejné registry, metadata v dokumentech.
- Příprava příběhu a kanálu: výběr cíle, tvorba pretextu, registrace domén, generování falešných profilů.
- První kontakt a eskalace: e-mail, telefonát, SMS, chat, osobní schůzka; testování reakcí.
- Exfiltrace nebo akce: vylákání přihlašovacích údajů, převod peněz, instalace malwaru, získání fyzického přístupu.
- Zakrývání stop a pokračování: přesměrování komunikace, další žádosti („úprava faktury“, „nový IBAN“).
Typické scénáře: elektronická komunikace
- Phishing (hromadný): e-mail s žádostí o přihlášení, reset hesla nebo potvrzení platby; odkaz vede na falešnou přihlašovací stránku.
- Spear-phishing a whaling: cílené útoky na konkrétní osoby (účetní, manažeři, členové představenstva) s využitím interního jazyka a detailů.
- Smishing (SMS) a messaging aplikace: doručenky, balíky, bankovní varování, ověření; odkazy nebo žádosti o kód.
- Vishing (hlasové hovory): napodobení banky, IT podpory či policie; často s falešným číslem (caller-ID spoofing).
- QRishing: podvržené QR kódy na plakátech, fakturách nebo v e-mailech směřující na phishingové stránky.
- Deepfake hlas a video: imitace hlasu nadřízeného či klienta s požadavkem „okamžitého“ převodu nebo sdílení dokumentu.
Typické scénáře: osobně a fyzická bezpečnost
- Tailgating / piggybacking: vstup do budovy „na cizí ID“ s nákladem v rukách, apel na pomoc.
- Pretexting technika/kurýr: „jsem z technické podpory/pošty“ → žádost o přístup do serverovny nebo předání zařízení.
- Baiting: nechtěné USB „nalezené“ nebo nabíječka v lobby, která ve skutečnosti obsahuje implantát.
Podvody v podnikání: peníze a fakturace
- BEC / CEO fraud: e-mail z domény podobné firemní (typo-squatting) nebo z kompromitovaného účtu s pokynem k urgentnímu převodu.
- Invoice redirection: změna bankovního účtu dodavatele; přiložený „aktualizovaný“ PDF formulář.
- Dodavatelský řetězec: kompromitovaný partner posílá legitimně vyhlížející objednávky nebo přílohy.
Útoky na autentifikaci
- MFA fatigue: opakované push notifikace, dokud uživatel omylem schválí.
- Token-relay a reverse-proxy phishing: proxování reálného přihlášení, získání session cookie.
- SIM-swap socializace: vylákání údajů u operátora, přesměrování SMS kódů.
Red flags: indikátory, že něco nesedí
- Náhlý tlak na čas, „tajné“ instrukce, zákaz konzultace s kolegy.
- Nekonzistentní doména, mírné „překlepové“ adresy a odkazy; nesoulad podpisu a skutečné role.
- Žádost o kódy z autentifikace, jednorázová hesla, záložní kódy nebo export hesel.
- Změna rutiny: nový IBAN bez předchozího upozornění, obcházení oficiálních kanálů.
- Nepřiměřená oprávnění nebo přístup „jen na minutu“ do citlivých prostor.
Protipožární opatření pro jednotlivce
- Ověřování druhým kanálem: u peněz a hesel vždy zavolejte zpět na nezávisle získané číslo.
- Bezpečné přihlašování: používejte správce hesel a fyzické bezpečnostní klíče (FIDO2/WebAuthn) místo SMS kódů.
- Hygiena odkazů a příloh: nikdy nezadávejte heslo po kliknutí v e-mailu; raději otevřete web ručním zadáním adresy.
- Ochrana identity: minimalizujte veřejné informace (pracovní tituly, projekty, plánované cesty) na sociálních sítích.
- „Stop and think“ rutina: u naléhavých situací si udělejte krátkou pauzu a zkontrolujte fakta; podvodník chce zkrátit přemýšlení.
Protipožární opatření pro organizace: procesy
- Call-back policy: změny platebních údajů nebo velké platby se schvalují telefonicky na číslo z CRM, nikoli z e-mailu.
- Segregace povinností: zadání platby ≠ schválení platby; dvojí schválení nad stanovený limit.
- Standardní kanály: zákaz pokynů přes osobní e-maily nebo chaty mimo firemní infrastrukturu.
- Change-management: formulář a workflow pro změnu IBAN, kontaktů a přístupů s auditem.
- Incident response playbook: jasný postup pro hlášení, zablokování účtů, odvolání plateb, komunikaci s bankou a policií.
Protipožární opatření pro organizace: technologie
- Silná autentifikace: zavést FIDO2 bezpečnostní klíče, number-matching při push MFA, geofencing a podmíněný přístup.
- Ochrana e-mailu: SPF, DKIM, DMARC v režimu karantény/odmítnutí; bezpečnostní brány se sandboxem příloh a detekcí URL-proxy.
- Ochrana prohlížení: izolované prohlížeče pro neznámé domény, blokátory trackingu a skriptů.
- Detekce a monitoring: anomálie v přihlašování, pravidla DLP, varování při nových pravidlech přeposílání pošty.
- Telefonní kanály: varování před spoofingem, dohodnuté bezpečnostní fráze pro helpdesk a VIP.
Vzdělávání a kultura bezpečnosti
- Pravidelná školení s praxí: simulované phishingy, vishing role-play, rozpoznávání deepfake.
- Nízký práh hlášení: jednoduché tlačítko „Nahlásit podezřelý e-mail“, bez postihu za omyl.
- Metodické materiály: krátké checklisty, vizuální příklady podvodů, skripty pro zpětné ověření.
- Měření: procento nahlášených pokusů, čas do reakce, míra kliknutí, pokles incidentů.
Speciální rizikové skupiny a opatření
- Finanční a účetní týmy: přísná pravidla verifikace plateb, whitelisty účtů, omezené přístupy.
- Top management (whaling): dedikované bezpečnostní klíče, oddělené komunikační kanály, asistent s právem „stop“.
- Podpora a helpdesk: challenge-response ověření identity (ID ticketu, kódové slovo), zákaz resetu hesla přes neověřené kanály.
- Remote work: politika domácích návštěv „techniků“, ověřování kurýrů, zákaz zveřejňování ID badge na fotografiích.
Praktická protiopatření: skripty a rituály
- Ověřovací skript u peněz: „Děkuji, ověřím požadavek přes náš oficiální kanál a ozvu se zpět.“ → ukončit hovor, vytočit číslo z CRM.
- Challenge-response pro helpdesk: „Prosím, uveďte interní kódové slovo a číslo ticketu.“ Pokud není, žádost odmítnout.
- „Dvousekundová pauza“ před kliknutím: zkontrolovat doménu, přejít kurzorem nad odkaz, ověřit certifikát ručním zadáním adresy.
Co dělat, pokud jste podezření přehlédli
- Okamžitě odpojte zařízení od sítě při podezřelé příloze nebo odkazu; kontaktujte IT/bezpečnost.
- Změňte heslo a zrušte aktivní relace; zapněte nebo posilte MFA.
- Informujte banku a partnery o finančním převodu; požádejte o vrácení transakce.
- Zaznamenejte čas, kanál, obsah komunikace a všechny identifikátory (telefonní čísla, e-maily, URL).
Checklist pro jednotlivce
- Při naléhavých žádostech vždy ověřuji jiným kanálem.
- Nevkládám hesla přes odkazy z e-mailu/SMS; přihlašuji se ručním zadáním adresy.
- Používám bezpečnostní klíč FIDO2 pro klíčové účty.
- Nezveřejňuji zbytečné pracovní detaily na sociálních sítích.
- Nikdy neposílám kódy z autentifikace, záložní kódy ani exporty hesel.
Checklist pro firmy
- DMARC v režimu enforcement, brána e-mailové bezpečnosti a izolace příloh.
- Politika call-back a dvojího schvalování plateb.
- FIDO2 pro administrátory a VIP; detekce anomálií přihlášení.
- Tlačítko „Nahlásit phishing“, měsíční školení a čtvrtletní cvičení.
- Playbook pro incidenty, kontakty na banky a orgány činné v trestním řízení.
Shrnutí
Sociální inženýrství cílí na lidský faktor – na naše rutiny, ochotu pomoci a respekt k autoritě. Obrana proto stojí na kombinaci procesů (ověření jiným kanálem, segregace povinností), technologií (FIDO2, e-mailová ochrana, monitoring) a kultury (trénink, bezpečné návyky, rychlé hlášení). Systematické přijetí těchto opatření dramaticky snižuje pravděpodobnost úspěchu útoku a minimalizuje dopady, pokud k incidentu přesto dojde.
