Co je sociální inženýrství a jak se mu bránit

Sociální inženýrství je soubor technik, kterými útočník manipuluje člověka, aby dobrovolně provedl úkon nebo vydal informaci, kterou by jinak nevydal. Nejde o prolomení technologie. Jde o zneužití toho, jak lidé rozhodují pod tlakem, při autoritě a ve spěchu.

Je to nejúčinnější útočná technika, kterou v praxi vidíme – a zároveň jediná, proti které nepomůže lepší firewall.

Proč to funguje

Technické zabezpečení se za poslední roky výrazně zlepšilo. Prolomit dobře nakonfigurovanou infrastrukturu zvenku je drahé a časově náročné. Poslat tisíc e-mailů a čekat, až jeden člověk klikne, nestojí skoro nic.

Útočník nezneužívá hloupost. Zneužívá mechanismy, které v běžném životě fungují správně:

• Autorita. Požadavek od „jednatele“ nebo „IT oddělení“ se nezpochybňuje.
• Naléhavost. Časový tlak vypíná kritické myšlení. „Do konce dne“ je nejúčinnější věta v phishingu.
• Reciprocita. Kdo nám pomohl, tomu pomůžeme i my.
• Sociální důkaz. Když to udělali kolegové, bude to v pořádku.
• Strach. Hrozba sankce, zablokovaného účtu nebo problému s vedením.
• Zvědavost. Příloha s názvem „Mzdy 2026“ se otevře sama.

Tyto principy jsou starší než internet. Nové je jen to, jak levně se dají škálovat.

Čtyři fáze útoku

Sociální inženýrství v praxi není jeden e-mail. Je to proces.

1. Sběr informací (OSINT). Útočník zjišťuje, kdo ve firmě pracuje, jaké má postavení, s kým komunikuje, jaké nástroje firma používá. Zdroje jsou veřejné: LinkedIn, výroční zprávy, obchodní rejstřík, fotky z firemních akcí, metadata dokumentů na webu. Překvapivě mnoho se dá zjistit z podpisu v e-mailu a z fotky z konference.

2. Budování důvěry. Útočník vytvoří záminku – pretext. Není to hned žádost o heslo. Bývá to nezávazný kontakt, který působí legitimně: dotaz na fakturaci, žádost o cenovou nabídku, oznámení o změně v systému.

3. Zneužití. Až teď přijde samotný požadavek. Klik na odkaz, otevření přílohy, potvrzení přihlášení, změna bankovního účtu na faktuře, vpuštění do budovy.

4. Zahlazení stop. Dobrý útočník ukončí kontakt tak, aby oběť neměla důvod cokoli hlásit. Proto se mnoho incidentů zjistí až o týdny později.

Nejčastější techniky

Podvod s fakturou – tedy business e-mail compromise – je z tohoto seznamu finančně nejbolestivější. Nevyžaduje žádný malware, jen přesvědčivý e-mail ve správnou chvíli a změněné číslo účtu.

Co změnila umělá inteligence

Donedávna se phishing dal rozpoznat podle gramatiky. Špatná čeština byla nejspolehlivější indikátor. Tato pomůcka přestala platit.

Generativní modely dnes napíšou bezchybnou češtinu ve stylu konkrétní firmy, na základě veřejně dostupných textů. Hlasové modely dokážou napodobit hlas z krátké nahrávky – a nahrávka jednatele je často veřejně dostupná z podcastu nebo videa. Psali jsme o tom v článcích o deepfake podvodech a vishingu a o AI phishingu.

Praktický důsledek: rady typu „všímejte si překlepů“ jsou zastaralé. Obrana se musí přesunout od rozpoznávání formy k ověřování obsahu.

Co proti tomu funguje

Ověřovací kanál, ne ostražitost

Nejúčinnější opatření je procesní, ne lidské: žádná změna platebních údajů ani mimořádný převod se neprovede bez potvrzení druhým kanálem. E-mail se ověří telefonátem na známé číslo – ne na to, které je v e-mailu. Toto pravidlo zastaví většinu BEC útoků bez ohledu na to, jak přesvědčivý e-mail byl.

Přihlašování odolné proti phishingu

Klasické dvoufaktorové ověření přes SMS nebo kód z aplikace se dá obejít – útočník si kód jednoduše vyžádá. Bezpečnostní klíče a passkeys jsou vázané na doménu, takže na podvržené stránce nefungují. To je rozdíl mezi ztížením útoku a jeho znemožněním.

Kultura, ve které se dá přiznat chyba

Pokud zaměstnanec ví, že za přiznané kliknutí bude potrestán, incident nenahlásí. Firma se o kompromitaci dozví o měsíc později. Bezpečnostní povědomí stojí a padá na tom, jestli je nahlášení omylu bezpečné.

Školení navázané na měření

Roční školení, kde někdo odklikává prezentaci, nemění chování. Co mění chování, je konkrétní zkušenost: zaměstnanec klikne na simulovaný phishing, hned dostane vysvětlení, čeho si měl všimnout, a za měsíc vidí, že to už rozpoznal. My to řešíme kombinací phishingových simulací a školení pro zaměstnance.

Jak se odolnost testuje

Simulace sociálního inženýrství funguje podobně jako penetrační test, jen cílem není systém, ale proces a člověk. V praxi:

1. Dohodneme rozsah a pravidla. Co se smí a co ne, koho se to týká, kdo o tom předem ví.
2. Uděláme OSINT – přesně to, co by udělal útočník.
3. Připravíme scénáře na míru firmy, ne generické šablony.
4. Změříme reakci. Nejen kdo klikl, ale i kdo to nahlásil a za jak dlouho.
5. Předáme výsledky bez jmenného seznamu. Cílem je zlepšit proces, ne najít viníka.

Právě pátý bod rozhoduje o tom, jestli bude mít test efekt. Seznam jmen vede k defenzivě. Agregované číslo s vysvětlením vede ke změně.

Zajímavý detail z praxe: metrika, kterou se vyplatí sledovat, není míra kliknutí, ale míra nahlášení. Firma, kde klikne deset procent lidí a nahlásí polovina, je na tom lépe než firma, kde klikne pět procent a nenahlásí nikdo.

Pokud to řešíte kvůli regulaci

Školení a budování povědomí zaměstnanců patří mezi organizační opatření, která po povinných osobách žádá nový zákon o kybernetické bezpečnosti (zákon č. 264/2025 Sb.) s prováděcí vyhláškou i norma ISO 27001. Pokud řešíte soulad, technický podklad pro něj popisujeme u penetračních testů pro NIS2.

Chcete vědět, jak by dnes dopadla vaše firma? Napište nám – navrhneme rozsah simulace, která dá použitelná čísla a nikoho neshodí.

Sociální inženýrství – časté otázky

Související služby Haxoris: testování sociálního inženýrství a phishingu · školení kybernetické bezpečnosti pro zaměstnance · red teaming — simulace reálného útoku