Sociálne inžinierstvo

Prečo je sociálne inžinierstvo také účinné

Sociálne inžinierstvo je manipulácia ľudí s cieľom vylákať informácie, obísť technické opatrenia alebo prinútiť ich vykonať akciu v prospech útočníka. Útočníci neútočia len na systémy – útočia na kognitívne skratky: autorita, urgentnosť, reciprocita, zvedavosť, nedostatok, súlad so skupinou, empatia. Kombináciou psychológie a kontextových informácií (z verejných profilov, únikov, firemných webov) vytvárajú presvedčivé scenáre, ktoré technické kontroly nevedia vždy zastaviť.

Typické scenáre: od „bežného“ phishingu po špecializované útoky

• Phishing email: generické e-maily s odkazom na „reset hesla“, „nezrovnalosť v účte“, falošné faktúry.
• Spear-phishing: cielené e-maily upravené na mieru (použitie vášho mena, projektu, nadriadeného).
• Business Email Compromise (BEC): vydávanie sa za CEO/finančného riaditeľa s požiadavkou na urgentnú platbu alebo zmenu IBAN.
• Smishing a vishing: SMS alebo telefonát („kuriér”, „banka”, „IT podpora”), ktoré žiadajú kódy alebo inštaláciu appky.
• Consent phishing (OAuth): stránka nežiadane pýta prístup k pošte/drive; nežiada heslo, ale súhlas s právami.
• MFA fatigue/bombing: opakované push notifikácie MFA, až kým používateľ neklikne „Schváliť“.
• Baiting/quid-pro-quo: „darček” (USB, prístup k prémiovému obsahu) výmenou za akciu; alebo ponuka „pomoci“ od falošného technika.
• Tailgating/shoulder surfing: fyzické preniknutie cez dvere „s vami“, alebo odpozorovanie PIN/hesla.
• Deepfake a klonovanie hlasu: zmanipulované audio/video, ktoré vytvára dôveryhodné pokyny či „videohovor“ s manažérom.
• Falošné pracovné ponuky a HR podvody: vylákanie dokladov totožnosti, čísla účtu či poplatkov za „spracovanie“.
• Dodávateľské reťazce: kompromitovaný partner posiela „legitímny“ odkaz/faktúru zo skutočnej domény.

Mapovanie psychologických spúšťačov a protiopatrenia

Rozpoznávanie podvodu: červené vlajky v správach a hovoroch

• Nezhody v odosielateľovi: podobná, nie identická doména (@examp1e.com), zámenné písmená, neštandardná „Reply-To“ adresa.
• Neštandardná požiadavka: zmena účtu príjemcu, darčekové karty, zaslanie kódov MFA, zdieľanie obrazovky.
• Podivné formulácie a preklepy: strojový preklad, miešanie jazykov, atypická interpunkcia.
• URL maskovanie: odkaz vyzerá legitímne, no smeruje na iný host (skontrolovať skutočnú adresu bez klikania).
• Prílohy s makrami alebo archívmi: .zip, .rar, .html „faktúry“, ktoré spúšťajú kód/kradnú cookies.

Obrana pre jednotlivcov: praktický postup krok za krokom

1. Zastav sa, nadýchni sa: nič nie je tak urgentné, aby to nemohlo počkať 5 minút na overenie.
2. Over kanálom, ktorý si zvolíš ty: telefonát na číslo z oficiálneho webu, nie z e-mailu/SMS.
3. Neklikaj naslepo: skontroluj skutočnú URL; radšej otvor stránku ručne cez záložku.
4. Neposkytuj kódy: kódy MFA/obnovy nikomu nahlas; legitímna podpora ich nežiada.
5. Minimalizuj stopy: menej zdieľaných detailov na sociálnych sieťach = menej munície pre útočníka.
6. Aktualizácie a ochrana zariadení: patchuj OS, používaj prehliadačové izolácie, blokovanie skriptov podľa potreby.
7. Silná autentifikácia: FIDO2/passkeys alebo aspoň MFA s číselným párovaním a geolokačným kontextom.

Organizačná obrana: procesy, technológie a kultúra

• Policy „žiadne výnimky cez e-mail“: zmeny bankových údajov, darčekové karty a prenosy nad limit len cez schválené workflow s viacerými podpismi.
• Security awareness ako zručnosť: krátke, pravidelné tréningy zamerané na rozpoznávanie vzorcov; simulačné kampane bez hanby, s poučením.
• Technické kontroly: DMARC/SPF/DKIM, banner pre externých odosielateľov, izolácia prehliadača, sandbox príloh, detekcia anomálií v M365/Google Workspace, politiky tokenov OAuth (consent governance).
• Hardenované MFA: FIDO2, číslicové overenie, obmedzenie početnosti push notifikácií, detekcia MFA bombing.
• Least privilege & JIT prístupy: minimalizujte dopady kompromisu; segmentácia práv a sieťové mikrosegmenty.
• Vendor a dodávateľské riziká: hodnotenie bezpečnosti partnerov, podpis DPA, kontrola domén a digitálnych podpisov u dodávateľov.
• Bezpečnostná kultúra: oceňujte nahlasovanie podozrení; žiadne sankcie za „falošný poplach”.

Špecializované útoky a špecifické protiopatrenia

• BEC / fakturačné podvody: zaviesť call-back protokol a whitelist účtov; používať verifikáciu IBAN pri zmene dodávateľa.
• Consent phishing: obmedziť rozsahy OAuth, blokovať „vysokorizikové“ aplikácie, pravidelný audit udelených súhlasov.
• MFA fatigue: rate-limit, číslicové párovanie, geolokačné upozornenia; edukácia zamestnancov „nikdy neschvaľovať náhodné žiadosti“.
• Deepfake/voice spoofing: challenge-response frázy, ktoré poznajú len interné tímy; pri citlivých pokynoch povinné video s dohodnutým gestom a spätné overenie cez iný kanál.
• USB baiting: blokácia USB zariadení, auto-run vypnutý, bezpečné testovacie stanice v IT.

Incident response pre sociálne inžinierstvo

1. Okamžité nahlásenie: tlačidlo „Report phishing“ v klientovi, interný chat/číslo. Nahlásiť aj pokus, nielen úspech.
2. Obsahové kroky: odpojenie účtu/sesssion, reset hesla, odobratie OAuth súhlasov a API tokenov, zneplatnenie aktívnych cookies.
3. Forenzné kroky: logy prihlásení, prezeranie e-mailových pravidiel (auto-forward), audit zmien v účtoch a fakturačných údajoch.
4. Komunikácia: jasné oznámenie tímom/partnerom, čo sa stalo a čo robiť; bez obviňovania.
5. Poučenie: krátke post-mortem, aktualizácia tréningov a playbookov.

Šablóny overenia (praktické „miniskriptá“)

• Financie → zmena IBAN: „Potvrdzujem, že žiadosť prišla od vás. Overím to na telefonickom čísle uvedenom v zmluve. Do potvrdenia platbu neuskutočníme.”
• IT podpora → kódy/MFA: „Podľa politiky firmy nikdy nezdielam MFA kódy. Otvorím ticket cez portál; prosím o číslo tiketu.”
• HR → doklady totožnosti: „Osobné doklady posielame výhradne cez schválený bezpečný úložiskový link s časovým obmedzením.”

Meranie a zlepšovanie: ako zistiť, že obrana funguje

• Metric-driven awareness: miera nahlasovania podozrení, čas do reakcie, počet falošných pozitív.
• Simulácie a cvičenia: pravidelné phishing simulácie s rôznymi vektormi (email/SMS/telefonát), table-top cvičenia pre BEC.
• Kontinuálny audit práv: počet nadbytočných oprávnení, starnúce tokeny OAuth, auto-forward pravidlá.

Etická stránka a právny rámec

Testovanie odolnosti voči sociálnemu inžinierstvu musí rešpektovať dôstojnosť zamestnancov, zákony o ochrane osobných údajov a pracovnoprávne normy. Simulácie majú byť oznámené ako súčasť bezpečnostného programu, s jasným cieľom učiť – nie „nachytať“ a trestať. Spracúvanie výsledkov simulácií má prebiehať s minimalizáciou osobných údajov a transparentnosťou.

Kontrolný zoznam pre rýchlu sebaobranu

• Žiadosť mení peniaze/práva? → pauza + nezávislé overenie.
• Žiadajú kód MFA, zdieľanie obrazovky alebo heslo? → odmietni.
• URL/doména podozrivá? → neklikaj, otvor stránku ručne.
• Neštandardný tón „nadriadeného“? → over hlasom cez známe číslo.
• Neznáma príloha? → nahlás a nechaj overiť v sandboxe.

Zhrnutie

Sociálne inžinierstvo je disciplína, ktorá obchádza firewally a šifrovanie tým, že cieli na naše rozhodovanie. Obrana preto spája tri vrstvy: ľudia (tréning a kultúra bez hanby nahlasovať), procesy (overovanie, segregácia povinností, bezvýnimkové workflow) a technológie (silné identity, e-mailové autentizačné štandardy, kontrola súhlasov OAuth, izolácia obsahu). S dôsledným prístupom sa dá väčšina útokov odhaliť skôr, než spôsobia škodu – kľúčom je spomaliť, overiť a nenechať sa tlačiť do rýchlych rozhodnutí.