Čo je sociálne inžinierstvo a prečo je tak účinné
Sociálne inžinierstvo je súbor techník, ktorými útočník manipuluje ľudí, aby prezradili informácie, vykonali akciu alebo oslabilo sa zabezpečenie organizácie. Útočník zneužíva kognitívne skratky, emócie a sociálne normy – nie zraniteľnosti softvéru. V praxi to znamená, že aj dokonale záplatovaná infraštruktúra padne, ak osoba klikne na škodlivý odkaz, schváli prevod alebo vpustí cudzinca do priestorov.
Psychologické princípy, na ktorých útoky stoja
- Autorita: „Som auditor/riaditeľ/technik – potrebujem okamžitý prístup.“
- Naliehavosť a strach: „Vaše konto bude zablokované, ak nepotvrdíte do 10 minút.“
- Recipročnosť: malý darček, pomoc či „výnimka“ vytvára pocit záväzku.
- Nedostatok: „Posledných 5 miest – potvrďte teraz.“
- Spoločenský dôkaz: „Toto už schválil tím XY.“
- Sympatia a podobnosť: zdieľané záujmy, dialekt, firemný slang.
- Rutina a únavová slepota: zneužitie návykov (klikacie reflexy, prehliadanie detailov).
Typológia útokov sociálneho inžinierstva
- Phishing (e-mail): podvrhnuté e-maily s odkazmi/ prílohami.
- Spear-phishing a whaling: cielené útoky na konkrétne osoby (napr. CFO, HR).
- Smishing: SMS a chat správy s malwarom alebo falošnými overeniami.
- Vishing: telefonáty napodobňujúce banku, IT podporu, kuriéra.
- Pretexting: vymyslený príbeh (audit, incident, prieskum) na vylákanie údajov.
- Quid pro quo: ponuka služby/výhody výmenou za prístup alebo informácie.
- Baiting: návnada (USB v lobby, „zadarmo“ účet), ktorá spustí škodlivú akciu.
- Tailgating/Piggybacking: fyzické vniknutie za oprávnenou osobou.
- Consent phishing/OAuth podvod: žiadosť o udelenie oprávnení tretej aplikácii.
- MFA fatigue: zahltenie push notifikáciami s cieľom vylákať schválenie.
- Deepfake/voice cloning: syntetický obraz/hlas nadriadeného na urýchlenie platieb.
- Business Email Compromise (BEC): kompromitovaný či napodobnený firemný e-mail na zmenu IBAN/platby.
Typické scenáre z praxe
- „IT podpora“ žiada heslo: volajúci tvrdí, že potvrdzuje incident; žiada OTP/MFA kód „pre overenie“.
- Falošná faktúra s naliehavosťou: e-mail „od dodávateľa“ mení číslo účtu; použitý firemný tón a šablóna.
- Personalizovaný onboarding: nováčik dostane „balíček nástrojov“ s trojanom a link na falošný SSO.
- „Kurýr“ pri recepcii: potrebuje „len podpísať preberák“ v zóne s badgingom – požiada o otvorenie dverí.
- Grant/konferencia: pozvánka na prestížne podujatie vyžaduje prihlásenie cez podvrhnuté prihlasovanie.
Červené vlajky: ako rozpoznať manipuláciu
- Narušená gramatika alebo neobvyklý štýl; netypické podpisy a domény.
- Naliehavosť a hrozby („okamžite“, „inak“), obchádzanie bežných procesov.
- Žiadosť o súkromný kanál mimo oficiálnych nástrojov (WhatsApp, osobný e-mail).
- Nesúlad URL a zobrazeného textu; skrátené odkazy bez kontextu.
- Nežiadané prílohy (makrá, .zip/.iso) a žiadosť o vypnutie bezpečnostných prvkov.
Obrana pre jednotlivcov: návyky s vysokou návratnosťou
- Overujte kanálom číslo 2: pri peniazoch alebo účtoch vždy volajte späť na známe číslo/SSO chat.
- Neklikajte naslepo: zastavte sa, zistite kontext, v prehliadači manuálne zadajte doménu.
- MFA, ale rozumne: preferujte FIDO2/bezheslové prihlásenie; vypnite „auto-approve“ pushy.
- Never share secrets: OTP/MFA kódy, recovery kódy a heslá nikdy neposielajte.
- Správca hesiel: odhalí falošné domény (nevyplní prihlasovacie údaje).
- Digitálna stopa: zredukujte verejné informácie (funkcie, projekty, org-chart), ktoré útočník využije.
Obrana pre organizácie: viacvrstvová stratégia
- Policy a procesy: záväzné pravidlá pre zmeny IBAN, dodávateľské onboardingy, reset hesiel, vydávanie prístupov.
- Least privilege & segregácia: schvaľovanie platieb 4-očným princípom, limitované práva, JIT prístup.
- Bezpečné kanály: jednotné SSO, schvaľovanie priamo v dôveryhodnom klientovi, blokovanie OAuth tretích strán bez auditu.
- Technické kontroly: DMARC/DKIM/SPF, izolácia príloh, URL rewriting s detekciou, sandboxing, EDR/XDR, anti-impersonation.
- Awareness tréningy: krátke, pravidelné, scenárové; merajte skôr time-to-report než „click rate“.
- Simulované útoky: etické phishingové kampane, vishing cvičenia, fyzické red-teaming testy vstupov.
- Vizuálna kultúra: „Chráň firmu – nahlás“: jednoduché tlačidlo v e-mailovom klientovi, chat bot na reporty.
Incident response pri sociálnom inžinierstve (playbook)
- Detekcia a eskalácia: centralizované nahlasovanie; automatická korelácia IOC (domény, čísla, frázy).
- Obsiahnutie: blok domén/odkazov, odvolanie tokenov, reset prístupov, dočasná blokácia účtov a schvaľovaní.
- Forenzika: logy OAuth, e-mailové hlavičky, IP, MFA udalosti, finančné toky (okamžité kontaktovanie banky).
- Notifikácie: právny tím, DPO, vedenie, dotknuté osoby; rozhodnutie o povinných oznámeniach.
- Eradikácia a obnova: záplaty, zmeny procesov, dodatočné overovania; poučenie a update playbooku.
Špecifiká vybraných útokov a cielené opatrenia
| Útok | Kritický signál | Okamžitá reakcia | Prevencia |
|---|---|---|---|
| BEC (zmena IBAN) | Žiadosť o zmenu účtu „súrne dnes“ | Stop platbe, spätné overenie na známe číslo | 4-očný princíp, call-back, allowlist účtov |
| MFA fatigue | Desiatky push žiadostí | Zablokovať účet, overiť prienik | FIDO2, číslicové výzvy, rate-limit, geofencing |
| Consent phishing (OAuth) | Neznáma app žiada „plný prístup k mailu“ | Revoke token, reset hesla | App allowlist, granular scopes, CASB |
| Vishing „banka“ | Žiadajú OTP/3D Secure kód | Ukončiť hovor, volať späť na oficiálne číslo | Never share OTP, limity prevodov, notifikácie |
| Tailgating | „Zabudol som kartu, podržte dvere“ | Odmietnuť, presmerovať na recepciu | Turnikety, školenie, návštevnícke preukazy |
Dodávateľský a tretí-stranový kontext
- Overovanie partnerov: due diligence, bezpečnostné požiadavky v zmluvách (audity, reporty, incident SLA).
- Minimálne prístupy: oddelené účty pre vendorov, časovo obmedzené práva, monitoring aktivít.
- Jednotná komunikácia: všetky zmeny účtov/dodávok cez definované kanály s dvojitým overením.
Riziká spojené so sociálnymi sieťami a OSINT
- Prílišná transparantnosť: zo životopisov, postov a fotiek útočník skladá pretext.
- Falošné profily: „recruiter/partner“ buduje dôveru a preniká do DM.
- Geolokácie a kalendáre: informácie o neprítomnosti/skupinových akciách zvyšujú úspešnosť BEC.
Meranie a KPI (nie len „klikol/neklikol“)
- Time-to-report (TTR): čas od prijatia po nahlásenie podvodu.
- Coverage tréningu: percento zamestnancov, ktorí absolvovali scenárové cvičenie za posledných 6 mesiacov.
- Mean time to contain (MTTC): čas do blokácie domén/tokanov/účtov.
- Process adherence: podiel platieb preverených call-backom.
- OAuth hygiene: počet neautorizovaných aplikácií a „high-risk scopes“ v tenantovi.
Právne a compliance aspekty
- Ochrana osobných údajov: minimalizovať citlivé dáta v procesoch overovania; audit prístupov pri incidente.
- Záznam o školeniach a testoch: preukázateľnosť „primeraných opatrení“ pri vyšetreniach a po incidentoch.
- Reporting incidentov: povinnosti voči dozorným orgánom a klientom podľa povahy úniku.
Checklist rýchlej odolnosti (2-týždňový plán)
- Zaveďte 4-očný princíp a call-back pre zmeny účtov a veľké platby.
- Vynútite FIDO2 a zrušte „push-only“ MFA, nastavte číslicové výzvy.
- Zapnite DMARC s politikou „reject“, izoláciu príloh a URL ochranu.
- Vyčistite OAuth: vypnite self-service registráciu a urobte allowlist.
- Spustite mikro-tréning: 15-min scenáre + tlačidlo „Nahlásiť phishing“ v klientoch.
- Upravte recepčné a fyzické SOP: žiadne vpúšťanie bez karty, návštevnícke badge.
- Definujte playbook: kontakty, eskalácia, bankové SLA pri BEC.
AI-zosilnené hrozby a ich mitigácia
- Deepfake hlas/video: vyžadujte „shared secret“/callback pri finančných pokynoch; tréning rozpoznania anomálií.
- Generované texty: používajte stylometrické detekcie opatrne – spoliehajte sa skôr na procesy a overenia.
- Automatizované OSINT: limitujte verejné org-chart a metadata; interné sociálne siete nech sú za SSO a s DLP.
Ľudia ako prvá aj posledná línia
Sociálne inžinierstvo sa nezastaví na firewalle. Útočníci cielia na ľudí, procesy a zvyky. Účinná obrana kombinuje psychologickú gramotnosť používateľov, striktné procesy pri citlivých operáciách, technické kontroly na zachytenie anomálií a rýchly incident response. Firmy, ktoré merajú čas do nahlásenia, znižujú povolenia, posilňujú autentifikáciu a kultivujú bezpečnostnú kultúru „over a nahlás“, výrazne znižujú pravdepodobnosť úspešného útoku aj jeho dopady.
