Co je sociální inženýrství a proč je tak účinné
Sociální inženýrství je soubor technik, jimiž útočník manipuluje lidmi, aby odhalili informace, provedli určitou akci nebo oslabil zabezpečení organizace. Útočník zneužívá kognitivní zkratky, emoce a sociální normy – nikoli softwarové zranitelnosti. V praxi to znamená, že i dokonale záplatovaná infrastruktura padne, pokud osoba klikne na škodlivý odkaz, schválí převod nebo vpustí cizince do prostor.
Psychologické principy, na kterých útoky stojí
- Autorita: „Jsem auditor/ředitel/technik – potřebuji okamžitý přístup.“
- Naléhavost a strach: „Váš účet bude zablokován, pokud nepotvrdíte do 10 minut.“
- Reciprocita: malý dárek, pomoc či „výjimka“ vytváří pocit závazku.
- Nedostatek: „Posledních 5 míst – potvrďte nyní.“
- Sociální důkaz: „Toto již schválil tým XY.“
- Sympatie a podobnost: sdílené zájmy, dialekt, firemní slang.
- Rutina a únava pozornosti: zneužití návyků (reflexy klikání, přehlížení detailů).
Typologie útoků sociálního inženýrství
- Phishing (e-mail): podvržené e-maily s odkazy/přílohami.
- Spear-phishing a whaling: cílené útoky na konkrétní osoby (např. CFO, HR).
- Smishing: SMS a chatové zprávy s malwarem nebo falešnými ověřeními.
- Vishing: telefonáty napodobující banku, IT podporu, kurýra.
- Pretexting: vymyšlený příběh (audit, incident, průzkum) na vylákání údajů.
- Quid pro quo: nabídka služby/výhody výměnou za přístup nebo informace.
- Baiting: návnada (USB v lobby, „zdarma“ účet), která spustí škodlivou akci.
- Tailgating/Piggybacking: fyzické vniknutí za oprávněnou osobou.
- Consent phishing/OAuth podvod: žádost o udělení oprávnění třetí aplikaci.
- MFA fatigue: zahlcení push notifikacemi s cílem vylákat schválení.
- Deepfake/voice cloning: syntetický obraz/hlas nadřízeného pro urychlení plateb.
- Business Email Compromise (BEC): kompromitovaný či napodobený firemní e-mail ke změně IBAN/plateb.
Typické scénáře z praxe
- „IT podpora“ žádá heslo: volající tvrdí, že potvrzuje incident; žádá OTP/MFA kód „pro ověření“.
- Falešná faktura s naléhavostí: e-mail „od dodavatele“ mění číslo účtu; použitý firemní tón a šablona.
- Personalizovaný onboarding: nováček dostane „balíček nástrojů“ s trojanem a odkaz na falešné SSO.
- „Kurýr“ u recepce: potřebuje „jen podepsat převzetí“ v zóně s badge – žádá otevření dveří.
- Grant/konference: pozvánka na prestižní událost vyžaduje přihlášení přes podvržené přihlašování.
Červené vlajky: jak rozpoznat manipulaci
- Narušená gramatika nebo neobvyklý styl; netypické podpisy a domény.
- Naléhavost a hrozby („okamžitě“, „jinak“), obcházení běžných procesů.
- Žádost o soukromý kanál mimo oficiální nástroje (WhatsApp, osobní e-mail).
- Rozpor URL a zobrazeného textu; zkrácené odkazy bez kontextu.
- Nevyžádané přílohy (makra, .zip/.iso) a žádost o vypnutí bezpečnostních prvků.
Obrana pro jednotlivce: návyky s vysokou návratností
- Ověřujte kanálem číslo 2: u peněz nebo účtů vždy volejte zpět na známé číslo/SSO chat.
- Neklikejte naslepo: zastavte se, zjistěte kontext, v prohlížeči ručně zadejte doménu.
- MFA, ale rozumně: preferujte FIDO2/bezheslové přihlášení; vypněte „auto-approve“ push notifikace.
- Nikdy nesdílejte tajemství: OTP/MFA kódy, recovery kódy a hesla nikdy neposílejte.
- Správce hesel: odhalí falešné domény (nevyplní přihlašovací údaje).
- Digitální stopa: omezte veřejné informace (funkce, projekty, org-chart), které útočník využije.
Obrana pro organizace: vícevrstvová strategie
- Policy a procesy: závazná pravidla pro změny IBAN, dodavatelské onboardingy, reset hesel, vydávání přístupů.
- Nejnižší práva & segregace: schvalování plateb principem 4 očí, limitovaná práva, JIT přístup.
- Bezpečné kanály: jednotné SSO, schvalování přímo v důvěryhodném klientovi, blokování OAuth třetích stran bez auditu.
- Technické kontroly: DMARC/DKIM/SPF, izolace příloh, přepis URL s detekcí, sandboxing, EDR/XDR, anti-impersonation.
- Awareness školení: krátká, pravidelná, scénářová; měřte spíše time-to-report než „click rate“.
- Simulované útoky: etické phishingové kampaně, vishing cvičení, fyzické red-teaming testy vstupů.
- Vizuální kultura: „Chraň firmu – nahlas“: jednoduché tlačítko v e-mailovém klientovi, chatbot pro hlášení.
Incident response při sociálním inženýrství (playbook)
- Detekce a eskalace: centralizované hlášení; automatická korelace IOC (domény, čísla, fráze).
- Obsáhnutí: blokace domén/odkazů, odvolání tokenů, reset přístupů, dočasná blokace účtů a schválení.
- Forenzika: logy OAuth, e-mailové hlavičky, IP, MFA události, finanční toky (okamžité kontaktování banky).
- Notifikace: právní tým, DPO, vedení, dotčené osoby; rozhodnutí o povinných oznámeních.
- Eradikace a obnova: záplaty, změny procesů, dodatečná ověření; poučení a aktualizace playbooku.
Specifika vybraných útoků a cílená opatření
| Útok | Kritický signál | Okamžitá reakce | Prevence |
|---|---|---|---|
| BEC (změna IBAN) | Žádost o změnu účtu „naléhavě dnes“ | Zastavit platbu, zpětné ověření na známé číslo | Princip 4 očí, call-back, allowlist účtů |
| MFA fatigue | Desítky push žádostí | Zablokovat účet, ověřit průnik | FIDO2, číselné výzvy, rate-limit, geofencing |
| Consent phishing (OAuth) | Neznámá aplikace žádá „plný přístup k mailu“ | Odvolat token, reset hesla | Allowlist aplikací, granulární rozsahy, CASB |
| Vishing „banka“ | Žádají OTP/3D Secure kód | Ukončit hovor, volat zpět na oficiální číslo | Nikdy nesdílejte OTP, limity převodů, notifikace |
| Tailgating | „Zapomněl jsem kartu, podržte dveře“ | Odmítnout, přesměrovat na recepci | Turnikety, školení, návštěvnické průkazy |
Dodavatelský a třetí-stranový kontext
- Ověřování partnerů: due diligence, bezpečnostní požadavky ve smlouvách (audity, reporty, SLA incidentů).
- Minimální přístupy: oddělené účty pro dodavatele, časově omezená práva, monitoring aktivit.
- Jednotná komunikace: všechny změny účtů/dodávek přes definované kanály s dvojím ověřením.
Rizika spojená se sociálními sítěmi a OSINT
- Přílišná transparentnost: z životopisů, příspěvků a fotografií útočník sestavuje pretext.
- Falešné profily: „náborář/partner“ buduje důvěru a proniká do DM.
- Geolokace a kalendáře: informace o nepřítomnosti/skupinových akcích zvyšují úspěšnost BEC.
Měření a KPI (ne jen „kliknul/nekliknul“)
- Time-to-report (TTR): čas od přijetí po nahlášení podvodu.
- Pokrytí školení: procento zaměstnanců, kteří absolvovali scénářové cvičení za posledních 6 měsíců.
- Mean time to contain (MTTC): čas do blokace domén/tokenů/účtů.
- Dodržování procesů: podíl plateb prověřených call-backem.
- OAuth hygiena: počet neautorizovaných aplikací a „high-risk scopes“ v tenantovi.
Právní a compliance aspekty
- Ochrana osobních údajů: minimalizovat citlivá data v procesech ověřování; audit přístupů při incidentu.
- Záznam o školeních a testech: prokazatelnost „přiměřených opatření“ při vyšetřováních a po incidentech.
- Reporting incidentů: povinnosti vůči dozorovým orgánům a klientům podle povahy úniku.
Checklist rychlé odolnosti (2-týdenní plán)
- Zaveďte princip 4 očí a call-back pro změny účtů a velké platby.
- Vynucujte FIDO2 a zrušte „push-only“ MFA, nastavte číselné výzvy.
- Zapněte DMARC s politikou „reject“, izolaci příloh a URL ochranu.
- Vyčistěte OAuth: vypněte self-service registraci a vytvořte allowlist.
- Spusťte mikrotréninky: 15min scénáře + tlačítko „Nahlásit phishing“ v klientech.
- Upravte recepční a fyzická SOP: žádné vpouštění bez karty, návštěvnické badge.
- Definujte playbook: kontakty, eskalace, bankovní SLA při BEC.
AI-zesílené hrozby a jejich mitigace
- Deepfake hlas/video: vyžadujte „shared secret“/callback při finančních pokynech; školení rozpoznání anomálií.
- Generované texty: používejte stylometrickou detekci opatrně – spoléhejte spíše na procesy a ověření.
- Automatizovaný OSINT: omezte veřejné org-chart a metadata; interní sociální sítě chraňte za SSO a s DLP.
Lidé jako první i poslední linie
Sociální inženýrství nezastaví žádný firewall. Útočníci cílí na lidi, procesy a zvyky. Účinná obrana kombinuje psychologickou gramotnost uživatelů, striktní procesy u citlivých operací, technické kontroly pro zachycení anomálií a rychlou reakci na incidenty. Firmy, které měří čas do nahlášení, snižují oprávnění, posilují autentifikaci a kultivují bezpečnostní kulturu „ověřuj a hlaste“, výrazně snižují pravděpodobnost úspěšného útoku i jeho dopady.
