Sociální inženýrství: útočí se na člověka, ne na počítač

Nejslabší místo firemní bezpečnosti nesedí v serverovně, ale u stolu. Falešná IT podpora, kurýr s balíkem i USB na parkovišti: takhle vypadá útok na lidi.

Proč hackeři nehackují, ale telefonují

Sociální inženýrství je umění přimět člověka, aby útočníkovi sám otevřel dveře, doslova nebo digitálně. Proč složitě prolamovat firewall, když stačí zavolat, představit se a požádat o heslo? Útočník nevyužívá chyby v softwaru, ale spolehlivé lidské vlastnosti: ochotu pomoct, respekt k autoritě, strach z průšvihu a nechuť dělat scény. Nejlépe zabezpečená síť je k ničemu, když útočníkovi někdo podrží dveře.

Telefonát „z IT podpory"

Klasika žánru: zavolá příjemný hlas, představí se jako IT podpora či technik dodavatele a potřebuje „jen rychle vyřešit problém": sdělit heslo, nainstalovat program pro vzdálený přístup, přečíst kód z SMS. Mluví odborně, zná jména kolegů, tlačí na čas. Obrana je jednoduchá: skutečná IT podpora heslo nikdy nepotřebuje. Při jakékoli pochybnosti hovor ukončete a zavolejte podpoře zpět na oficiální číslo, které máte uložené.

Falešný kurýr a tailgating: útok fyzickými dveřmi

Sociální inženýrství se odehrává i naživo. Člověk v reflexní vestě s krabicí v ruce projde recepcí bez otázek, vždyť „veze zásilku". Technika zvaná tailgating je ještě prostší: útočník se prostě přilepí za zaměstnance, který mu ze slušnosti podrží dveře do zabezpečené části budovy. Pomáhají jasná pravidla: návštěvy vždy s doprovodem, nikoho nepouštět na cizí kartu a nebát se zeptat „Za kým jdete?". Zdvořilost není povinnost otevírat dveře cizím.

USB na parkovišti a další návnady

Najdete na parkovišti před firmou flash disk s nápisem „Mzdy 2026". Zvědavost velí podívat se, co na něm je. Přesně s tím útočník počítá: stačí jedno připojení a škodlivý kód je uvnitř firemní sítě. Stejně fungují „výherní" QR kódy nebo dárkové poukazy v e-mailu. Pravidlo je nekompromisní: nalezená ani darovaná média do firemního počítače nepatří. Odevzdejte je IT, ať je prověří v izolovaném prostředí.

Jak vycvičit tým, aby se nechytil

Jednorázové školení nestačí, protože ostražitost se buduje opakováním a kulturou. Funguje kombinace: krátká pravidelná školení s reálnými příklady, cvičné phishingové kampaně, jasné postupy pro ověřování požadavků a hlavně atmosféra, kde nahlášení podezření či vlastní chyby nikdo netrestá. Kdo se bojí přiznat kliknutí, mlčí. A mlčení dává útočníkovi náskok. Sociální inženýrství je ostatně vstupní branou většiny útoků včetně ransomwaru.

Nejlevnější obrana je, když lidé vědí, co mají čekat. Školení a nastavení pravidel děláme jako součást outsourcingu IT.

Bezpečnost je technika plus lidé

V MAGNAPRO stavíme obranu na obou pilířích. Prvním je technické zabezpečení sítě, e-mailu a přístupů, druhým školení lidí, kteří s nimi pracují. Zkušenosti sbíráme přes dvacet let ve firmách i zdravotnických provozech, kde je ochrana dat obzvlášť citlivá. Kontaktujte nás a společně z vašeho týmu uděláme nejsilnější článek obrany místo nejslabšího.

Nezávazná poptávka  ← Zpět na blog