Sociální inženýrství: když útočník neútočí na systém, ale na člověka.

Když útočník neútočí na systém..

Přijde e-mail od nadřízeného s žádostí o rychlé zaplacení faktury. Zavolá pracovník banky a upozorní na podezřelou transakci. Technik potřebuje přístup do kanceláře, aby zkontroloval síťové zařízení. Kolega pošle odkaz na dokument, ke kterému se stačí přihlásit.

Každá z těchto situací může být naprosto legitimní. Stejně tak ale může jít o útok.

Sociální inženýrství využívá místo technické chyby především lidskou důvěru, strach, zvědavost nebo časový tlak. Útočník se nesnaží nutně prolomit zabezpečení systému. Snaží se přesvědčit člověka, aby mu přístup umožnil sám.

Právě proto patří sociální inženýrství mezi významné současné kybernetické hrozby. Technické zabezpečení může být velmi kvalitní, ale pokud útočník dokáže zmanipulovat člověka, může část ochranných mechanismů jednoduše obejít.

Útočník nemusí prolomit zabezpečení, pokud dokáže přesvědčit člověka, aby mu dveře otevřel sám.

Co je sociální inženýrství?

Sociální inženýrství je soubor technik, jejichž cílem je manipulovat člověka tak, aby provedl určitou akci nebo poskytl informace, které by za běžných okolností neposkytl.

Může jít například o:

• sdělení hesla nebo ověřovacího kódu,
• otevření škodlivé přílohy,
• přihlášení na podvodné webové stránce,
• odeslání peněz,
• změnu bankovního účtu dodavatele,
• zpřístupnění interních informací,
• instalaci programu,
• připojení neznámého zařízení,
• nebo umožnění fyzického vstupu do zabezpečeného prostoru.

Na rozdíl od čistě technického útoku se útočník zaměřuje především na lidské chování.

Snaží se vytvořit situaci, ve které jeho požadavek působí důvěryhodně, naléhavě nebo zcela běžně.

Proč sociální inženýrství funguje?

Moderní informační systémy mohou být chráněny firewally, šifrováním, vícefaktorovým ověřováním nebo sofistikovanými bezpečnostními nástroji.

Člověk ale během běžného pracovního dne reaguje na množství e-mailů, telefonátů, zpráv, požadavků kolegů i dodavatelů.

Právě této skutečnosti útočníci využívají.

Autorita

„Volám z IT oddělení.“

„Tady je vaše banka.“

„Potřebuje to okamžitě pan ředitel.“

Lidé mají přirozenou tendenci respektovat autoritu. Pokud požadavek vypadá, že přichází od nadřízeného, banky, policie nebo technické podpory, může být člověk méně obezřetný.

Časový tlak

„Platbu je nutné provést ještě dnes.“

„Účet bude během deseti minut zablokován.“

„Potřebuji ten kód okamžitě.“

Čím méně času má člověk na přemýšlení, tím větší je pravděpodobnost, že přehlédne varovné signály.

Strach

Velmi účinným nástrojem je obava ze ztráty peněz, pracovního problému nebo bezpečnostního incidentu.

Typickým příkladem je telefonát údajného pracovníka banky, který oběti oznámí, že je její účet právě napaden a peníze je potřeba okamžitě „zachránit“.

Důvěra

Útok může být výrazně přesvědčivější, pokud útočník zná jméno zaměstnance, jeho pozici, nadřízeného, dodavatele nebo aktuální projekt.

Velká část těchto informací přitom může být veřejně dostupná na firemním webu, LinkedInu nebo sociálních sítích.

Zvědavost

„Podívejte se na přiložené fotografie.“

„Tady je nový seznam odměn.“

„Dokument byl sdílen právě s vámi.“

I obyčejná zvědavost může být dostatečným důvodem k otevření škodlivého odkazu nebo přílohy.

Nejčastější formy sociálního inženýrství

Sociální inženýrství není jeden konkrétní typ útoku. Jde o širší skupinu metod, které se mohou navzájem kombinovat.

Phishing

Phishing patří mezi nejznámější formy sociálního inženýrství.

Útočník rozešle zprávu, která se snaží napodobit legitimní komunikaci banky, služby, zaměstnavatele nebo jiné známé společnosti.

Cílem může být přimět oběť:

• kliknout na odkaz,
• stáhnout přílohu,
• zadat přihlašovací údaje,
• potvrdit platbu,
• nebo nainstalovat škodlivý software.

Phishing přitom dávno nemusí vypadat jako špatně přeložený e-mail plný gramatických chyb.

Spear phishing

Spear phishing je cílenější varianta phishingu.

Útočník si předem zjistí informace o konkrétní osobě nebo společnosti a podle nich vytvoří mnohem přesvědčivější zprávu.

Může například znát:

• jméno nadřízeného,
• pracovní pozici zaměstnance,
• používaný software,
• obchodního partnera,
• probíhající projekt,
• nebo informace zveřejněné na sociálních sítích.

Čím více kontextu má útočník k dispozici, tím přirozeněji může jeho komunikace působit.

Smishing

Smishing využívá SMS nebo jiné textové zprávy.

Typickým příkladem jsou zprávy o:

• nedoručené zásilce,
• nedoplatku,
• problému s bankovním účtem,
• falešném přihlášení,
• nebo potřebě okamžitého ověření identity.

Odkaz následně může vést na podvodnou stránku napodobující legitimní službu.

Vishing

Vishing je sociální inženýrství prostřednictvím telefonu.

Útočník se může vydávat například za pracovníka:

• banky,
• policie,
• technické podpory,
• mobilního operátora,
• dodavatele,
• nebo interního IT oddělení.

Telefon má pro útočníka jednu velkou výhodu – oběť musí reagovat v reálném čase a má méně prostoru si informace ověřit.

Pretexting

Při pretextingu útočník vytvoří uvěřitelný příběh, který vysvětluje, proč určitou informaci nebo přístup potřebuje.

Může například tvrdit:

„Jsme externí IT dodavatel a potřebujeme ověřit konfiguraci vašeho zařízení.“

Samotný požadavek nemusí působit nijak podezřele. Úspěch útoku stojí právě na důvěryhodnosti vytvořeného příběhu.

Baiting

Baiting neboli použití návnady spoléhá na zvědavost nebo očekávanou odměnu.

Může jít například o zajímavě pojmenovaný soubor, falešnou nabídku nebo nalezené USB zařízení.

Pokud uživatel obsah otevře nebo zařízení připojí k počítači, může tím útočník získat další možnost útoku.

CEO fraud a Business Email Compromise

Velmi nebezpečnou variantou je vydávání se za vedení společnosti nebo obchodního partnera.

Účetní může například obdržet zprávu:

„Potřebuji dnes urgentně poslat tuto platbu. Jsem na jednání, nevolejte mi.“

V jiném případě se útočník snaží napodobit komunikaci dodavatele a požaduje zaplacení faktury na jiné číslo bankovního účtu.

Právě kombinace autority, časového tlaku a zdánlivě legitimního obchodního požadavku může být velmi účinná.

QR phishing

Takzvaný quishing využívá QR kódy.

QR kód může skrýt skutečnou adresu webové stránky. Oběť tak například naskenuje kód z e-mailu, dokumentu nebo letáku a dostane se na stránku napodobující přihlášení do Microsoft 365, internetového bankovnictví nebo jiné služby.

Na mobilním telefonu navíc bývá kontrola celé internetové adresy obtížnější než na počítači.

Sociální inženýrství nekončí u počítače

Sociální inženýrství bývá často spojováno pouze s phishingovými e-maily nebo telefonními podvody.

Ve skutečnosti může mít útok i zcela fyzickou podobu.

Představme si například člověka, který přijde do firmy jako servisní technik.

Zná jméno skutečného dodavatele. Ví, že společnost používá určitý typ zařízení. Na recepci vysvětlí, že byl zavolán kvůli problému s Wi-Fi, kamerovým systémem nebo jinou technologií.

Pokud není jeho totožnost ověřena, může získat přístup do prostor, kam by se jinak nedostal.

Odtud může získat přístup například k:

• síťové zásuvce,
• pracovní stanici,
• serverovně,
• dokumentům,
• přístupovým kartám,
• nebo dalším citlivým informacím.

Podobnou technikou je také tailgating, při kterém se neoprávněná osoba dostane přes zabezpečený vstup společně s oprávněným zaměstnancem.

Právě zde se začíná stírat hranice mezi kybernetickou a fyzickou bezpečností.

Dobře zabezpečená síť sama o sobě nestačí, pokud se k ní útočník může fyzicky dostat.

Umělá inteligence mění podobu sociálního inženýrství

Ještě před několika lety bylo možné řadu podvodných zpráv rozpoznat podle neobratné češtiny, špatného překladu nebo nepřirozeného stylu komunikace.

Na to už dnes není možné spoléhat.

Generativní umělá inteligence umožňuje rychle vytvářet:

• jazykově správné phishingové zprávy,
• komunikaci přizpůsobenou konkrétní osobě,
• překlady do různých jazyků,
• falešné fotografie,
• syntetický hlas,
• nebo deepfake video.

Útočník tak může vytvořit zprávu, která působí profesionálně, nebo se snažit napodobit způsob komunikace konkrétního člověka.

To může být zvlášť nebezpečné při útocích zaměřených na vedení společnosti, účetní oddělení nebo jiné pracovníky s možností provádět citlivé operace.

Gramatická chyba už proto není spolehlivým indikátorem podvodu.

Jak poznat pokus o sociální inženýrství?

Neexistuje jeden univerzální znak, podle kterého lze každý útok okamžitě rozpoznat.

Pozornost by ale měla vzbudit především kombinace několika okolností.

Neobvyklý časový tlak

Útočník nechce dát oběti čas situaci promyslet nebo ověřit.

Požadavek na obejití standardního postupu

Například platba bez obvyklého schválení nebo instalace programu bez vědomí IT oddělení.

Požadavek na heslo nebo ověřovací kód

Heslo ani jednorázový kód by neměl být předáván jiné osobě jen proto, že se vydává za technickou podporu, banku nebo kolegu.

Náhlá změna platebních údajů

Obzvláště u firem je potřeba zvýšená opatrnost při požadavku na změnu bankovního účtu dodavatele.

Neobvyklý komunikační kanál

Nadřízený, který běžně komunikuje e-mailem, najednou požaduje citlivou operaci například prostřednictvím WhatsAppu.

Požadavek na utajení

„Nikomu o tom zatím neříkejte.“

Snaha zabránit konzultaci s další osobou může být významným varovným signálem.

Příběh založený na strachu

Napadený účet, hrozící blokace, právní problém nebo jiná mimořádná situace může být vytvořena právě proto, aby člověk jednal rychle a bez ověření.

Jak se proti sociálnímu inženýrství chránit?

Technologie jsou důležité, ale samotný bezpečnostní software tento problém nevyřeší.

Účinná obrana musí kombinovat technická opatření, správně nastavené procesy a připravenost lidí.

Ověřujte požadavky jiným způsobem

Pokud kolega požaduje neobvyklou platbu nebo jinou citlivou operaci, ověřte požadavek například telefonicky.

Použijte ale číslo, které již znáte. Nikoli kontakt uvedený přímo v podezřelé zprávě.

Nastavte víceúrovňové schvalování plateb

Jeden podvodný e-mail by neměl stačit k odeslání vysoké částky.

Citlivé finanční operace je vhodné nastavit tak, aby vyžadovaly kontrolu další osoby.

Používejte vícefaktorové ověřování

Odcizené heslo pak samo o sobě nemusí útočníkovi umožnit přístup.

Ani vícefaktorové ověřování ale není všemocné. Uživatel by neměl potvrzovat přihlášení, které sám nevyvolal.

Omezujte přístupová oprávnění

Každý pracovník by měl mít pouze taková oprávnění, která skutečně potřebuje pro svoji práci.

Úspěšný útok na jeden účet pak nemusí automaticky znamenat přístup k celé infrastruktuře.

Školte zaměstnance na skutečných scénářích

Pouhé upozornění „neklikejte na podezřelé odkazy“ nestačí.

Zaměstnanci by měli vědět, jak reagovat například na:

• falešný telefonát banky,
• žádost vedení o nestandardní platbu,
• nečekanou návštěvu technika,
• požadavek na ověřovací kód,
• nebo podezřelou změnu fakturačních údajů.

Nastavte jasný postup při podezření na incident

Člověk musí vědět, komu může podezřelou situaci okamžitě oznámit.

Čím dříve organizace reaguje, tím větší je šance dopady případného útoku omezit.

Nezapomínejte na fyzickou bezpečnost

Kontrola návštěv, přístupových oprávnění, dodavatelů nebo možnosti připojení cizího zařízení do firemní infrastruktury je stejně důležitá jako ochrana e-mailu.

Nejlepší obranou není nedůvěra. Je jí ověřování.

Sociální inženýrství funguje právě proto, že využívá běžné lidské chování.

Pomoci kolegovi, reagovat na naléhavou situaci nebo důvěřovat známé společnosti není chyba.

Bezpečný přístup spočívá v něčem jiném:

U neobvyklého nebo citlivého požadavku si před provedením akce ověřit, že skutečně komunikujeme s tím, za koho se druhá strana vydává.

Několik desítek sekund věnovaných ověření telefonátu, platby nebo přístupu může zabránit incidentu s výrazně většími následky.

Bezpečnost je kombinací technologií, procesů a lidí

Moderní útoky mohou kombinovat více různých metod.

Technický útok může začít phishingovým e-mailem. Sociální inženýrství může navazovat na informace získané z veřejných zdrojů nebo předchozího úniku dat. Fyzický přístup může následně otevřít cestu k digitální infrastruktuře.

Proto má smysl dívat se na bezpečnost společnosti jako na celek.

Sentrea pomáhá firmám identifikovat slabá místa v technickém, kybernetickém i fyzickém zabezpečení.

Pokud si nejste jistí úrovní zabezpečení své společnosti, můžeme společně navrhnout vhodný rozsah bezpečnostního auditu nebo konzultace.

Poptat bezpečnostní audit

Sentrea | Váš bezpečný prostor.

ZDROJE

NÚKIB – doporučení a informace k sociálnímu inženýrství
ENISA – Threat Landscape a informace o kybernetických hrozbách
FBI – Business Email Compromise (BEC)

‍