Mi az a social engineering: a támadás menete és a kontrollált teszt

A támadás ritkán kezdődik kóddal. A támadó előbb elolvassa az álláshirdetést, amelyben a cég maga sorolja fel a használt rendszereket, végignézi a szakmai profilokat, hogy lássa, ki kinek a beosztottja, és felhív valakit, aki éppen segíteni akar. A social engineering – magyarul pszichológiai manipuláció – az, amikor a támadó nem a rendszert töri fel, hanem az embert veszi rá arra, amit technikailag nem érne el: hogy elmondja a jelszavát, rákattintson egy linkre, átírja a bankszámlaszámot a számlán, vagy megtartsa neki az ajtót.

Az eszköz gyakran banális. Az ürügy hitelessége dönt.

Végigvesszük, hogyan épül fel egy ilyen támadás, melyik technika a leggyakoribb, miért nem elég ellene a szűrő és a kétfaktoros hitelesítés, és hogyan zajlik egy kontrollált vizsgálat – azzal a két kérdéssel együtt, amely magyar cégeknél mindig felmerül.

Mi az a social engineering

A social engineering az emberek befolyásolása azért, hogy információt, belépési adatot vagy pénzt adjanak ki. A támadó nem a védelmet töri át, hanem eléri, hogy valaki kinyissa neki.

A phishinget (adathalászatot) sokan az egész kategóriával azonosítják, pedig csak az egyik módszer: az, amelyik írott üzenettel dolgozik. Ugyanide tartozik a vishing telefonon – ez a hangalapú adathalászat –, a smishing SMS-ben, a pretexting egy kitalált szerep mögül, és a hétköznapi tailgating, amikor valaki egyszerűen besétál a munkatárs mögött a beléptetőn. A közös bennük az, hogy a cél az ember döntése, nem a szerver.

Miért működik a pszichológiai manipuláció?

Nem azért, mert a munkatársak figyelmetlenek. Azért, mert a támadó pontosan azokra a reflexekre épít, amelyek a munkanap többi részében hasznosak:

• Tekintély. A felülről jövő utasítást ritkábban kérdőjelezik meg. Erre épül a hamis vezetői utasítás is.
• Időnyomás. „16:00-ig, különben elúszik az utalás.” A sietség lerövidíti az ellenőrzést.
• Segítőkészség. A helpdesken azért fizetnek valakit, hogy megoldja a problémát, nem azért, hogy gyanakodjon a hívóra.
• Ismerős kontextus. Egy projektnév, egy hetek óta futó levelezés, a logó a megfelelő helyen. Egy stimmelő részlet elég ahhoz, hogy az ellenőrzés elmaradjon.
• Félelem a következménytől. „24 órán belül zároljuk a fiókot.”

A támadó oldalán a számítás prózai. Egy javítatlan hibához készített exploit időbe kerül, gyakran egyszer használható, és a következő frissítés után már nem működik. Egy hihető levél negyedóra, és utána is működik.

Hogyan épül fel egy támadás

1. Felderítés (OSINT). Ki hol dolgozik, ki kinek a beosztottja, milyen rendszert használ a cég, ki van éppen szabadságon. Az álláshirdetésből kiderül, milyen technológiát használnak, a sajtóközlemény témát ad az ürügyhöz, az automatikus távolléti válasz pedig mindennél pontosabban megmondja, ki mikor nincs bent. Erről külön írtunk az OSINT és az AI a támadó kezében című cikkben.
2. Ürügy (pretexting). Hihető szerep, hihető ok, hihető időpont. Gyakran egy ártalmatlan első üzenettel kezdődik, amely még semmit nem kér – csak azért van, hogy a következő levél már „folytatás” legyen.
3. Csatorna. E-mail, telefon, SMS, chat, néha személyes látogatás a recepción. A csatornát az ürügyhöz választják: a hamis számla levélben érkezik, a jelszó visszaállítását telefonon intézik, a csomag pótdíját SMS-ben kérik.
4. Cselekvés. A kattintás, a bejelentkezés egy hamis oldalon, az utalás, a jelszócsere, a megtartott ajtó. Utána a támadó berendezkedik: átirányítási szabályt vesz fel a postafiókban, letörli a nyomokat, beállít egy saját belépési módot. Ezen a szakaszon múlik, hogy két nap vagy fél év múlva derül ki az incidens.

A leggyakoribb technikák

A felsoroltak közül a BEC-csalás a legdrágább, mert semmilyen kártékony kódra nincs szüksége. A támadó egy valódi postafiókban ül, és egy valódi számlán írja át a bankszámlaszámot, egy hetek óta futó levelezésben. Nincs benne semmi, amit egy vírusirtó megfoghatna.

Az utolsó sor súlya nő a leggyorsabban. A hangklónozáshoz elég egy rövid felvétel egy webináriumból vagy egy hangpostaüzenetből, a videohívásokon pedig már nemcsak a hangot, hanem az arcot is hamisítják. Erről a hangalapú deepfake-csalásokról és a vishingről szóló cikkünkben írtunk.

Miért nem fogja meg ezt a technikai védelem?

• A szűrő tömeget mér. Egy cégre írt kampány, amely tiszta domainről érkezik, melléklet nélkül, ismert kártékony cím nélkül, egyszerűen nem akad fenn egyetlen szabályon sem.
• A BEC valódi fiókból jön. Az SPF, a DKIM és a DMARC ilyenkor igazat mond, mert a feladó tényleg az, akinek mondja magát – csak éppen már nem ő rendelkezik a postafiókja fölött.
• A második faktort tovább lehet adni. Az SMS-kódot és az egyszer használatos jelszót a támadó valós időben adja tovább egy közbeékelt hamis oldalon, az ismételt push kérésekre pedig előbb-utóbb rábólint valaki. Ezt a FIDO2 (WebAuthn) szabvány szerinti belépés zárja ki, amely ellenáll az adathalászatnak: a kulcs a valódi domainhez kötődik, és a hamis oldalon nem működik.
• Eltűnt a hamisítvány két legbiztosabb jele. A nyelvi hiba és a személytelen megszólítás már nem figyelmeztető jel: hibátlan magyar szöveget ingyen elő lehet állítani, ezer címzettre szabni pedig már nem kézi munka. Erről az AI-val írt adathalász levelekről szóló cikkben írtunk bővebben.

A gyakorlati következtetés egyetlen mondat: a levél tartalmából már nem lehet megbízhatóan felismerni a támadást. Ami működik, az a visszaellenőrzés egy második csatornán – a belső telefonkönyvből vett számon, nem azon, amely az üzenetben szerepel.

Mi segít valójában?

A technika oldalán:

• FIDO2 szerinti belépés az SMS-kód helyett.
• Számpárosítás a puszta push jóváhagyás helyett, hogy az MFA-fáradtság ne működjön.
• SPF, DKIM és DMARC elutasító házirenddel (p=reject), hogy a céges domain nevében senki ne írhasson.
• Látható jelölés a szervezeten kívülről érkező leveleken, a levél testében és nem a technikai fejlécben.
• Négy szem elve egy összeghatár fölötti kifizetésnél és minden bankszámlaszám-változásnál, akárki kéri is.
• Bejelentőgomb a levelezőprogramban, egyetlen kattintással.

A szervezet oldalán:

• Visszahívási eljárás, amelyről mindenki tud. A szokatlan utasítás azt jelenti, hogy telefonálni kell a belső telefonkönyvben szereplő számra. Ez szabály legyen, ne a munkatárs magánügye.
• Következmény nélküli bejelentés. Aki fegyelmitől tart, nem jelent – és akkor a cég a támadótól tudja meg, hogy incidense van.
• Rövid, ismétlődő biztonságtudatossági oktatás egyetlen kötelező éves esemény helyett. A gyakoriság számít, nem a hossz.

Hogyan zajlik egy kontrollált vizsgálat?

Találgatni nem érdemes, mert a szervezet ellenálló képessége a csapat összetételével együtt változik. A social engineering vizsgálat előre egyeztetett kampány az Ön munkatársai körében: a forgatókönyveket, a csatornákat, az időablakot és a kivételek listáját indulás előtt írjuk le, a végén pedig vizsgálati jelentést kap.

1. Rögzítjük a hatókört és a szabályokat. Mi megengedett, mi nem, kikre terjed ki, ki tud róla előre.
2. Elvégezzük az OSINT-felderítést. Pontosan azt, amit a támadó is elvégezne.
3. Forgatókönyveket írunk a cégre. Nem sablont választunk.
4. Megmérjük a reakciót. Nemcsak azt, ki kattintott, hanem azt is, ki jelentette be és mennyi idő alatt.
5. Név nélkül adjuk át az eredményt. A cél a folyamat javítása, nem a bűnbakkeresés.

Három szám a vizsgálat végén

• Kattintási arány – hányan nyitották meg a linket.
• Adatmegadási arány – hányan írták be a belépési adataikat. Itt kezdődik a tényleges kár.
• Bejelentési arány – hányan jelentették be a levelet, és mennyi idő alatt.

A harmadik a legfontosabb, és ez hiányzik a leggyakrabban. Az a cég, ahol sokan kattintanak, de a levél negyedórán belül a biztonsági csapat asztalán van, jobban áll annál, ahol kevesen kattintanak, és senki nem szól. Kattintani valaki mindig fog. A kérdés az, hogy időben megtudja-e.

A kampányokat a saját PhishGun platformunkon futtatjuk: a kockázatos kattintás után azonnal megnyílik egy rövid magyarázat, még mielőtt elülne az ijedtség. Az e-mail mellett telefont és SMS-t is tesztelünk, ahol pedig van értelme, a beléptetést is. Ha nem egyetlen kampányra kíváncsi, hanem a teljes támadási láncra – arra is, hogy a csapat észreveszi-e –, a következő lépés a Red Teaming, vagyis a célzott, ellenfél-szimulációs támadás. A technikai oldalról pedig a mi az a penetrációs teszt című cikkben írtunk.

Megtudják-e a munkatársak, hogy szimulációról van szó?

A kampány alatt nem, különben a teszt nem mérne semmit. A kattintás után igen: mindenki azonnal kap egy rövid magyarázatot arról, hogy ez ellenőrzött szimuláció volt, és arról is, miről lehetett volna felismerni a hamis üzenetet.

Azt viszont, hogy a cég egyáltalán futtat ilyen kampányokat, a munkatársaknak előre tudniuk kell. A munkavállalók ellenőrzésének Magyarországon önálló szabályai vannak, ezért a vizsgálat kereteit és a tájékoztatás módját indulás előtt egyeztetjük a HR-rel, az adatvédelmi tisztviselővel és a cég jogászával. A konkrét dátumot és a levél tartalmát nem kell előre bejelenteni – az már kérdőívvé változtatná a tesztet.

Árt-e ez a csapat hangulatának?

Akkor árt, ha bűnbakkeresésre használják. Ezért az eredményt összesítve, csapatokra bontva, név nélkül adjuk át, a tanulságot pedig az oktatásba visszük, nem a teljesítményértékelésbe.

Az a kampány, amelyik egyes embereket állít pellengérre, az ellenkezőjét éri el: a munkatársak abbahagyják a gyanús üzenetek bejelentését. Az pedig az egyetlen mutató, amelyik igazán számít. Ilyenkor a cég azért fizet, hogy kikapcsolja a saját korai jelzőrendszerét.

Mit mond erről a magyar jog?

A magyar szabályozás nevesíti ezt a szakterületet. Az 5/2025. (VI. 20.) SZTFH rendelet 3. § (2) bekezdés bd) alpontja a sérülékenységvizsgálatot végző szakértőtől elvárt szakmai képességek között nevezi meg a „pszichológiai manipulációs (social engineering) támadások tervezése és kivitelezése” kompetenciát.

Ennek két következménye van a gyakorlatban. Az egyik, hogy a social engineering vizsgálat Magyarországon nem marketingötlet, hanem olyan szakterület, amelyet a jogalkotó is nevesít. A másik, hogy érdemes elválasztani két dolgot: a jogszabály szerinti sérülékenységvizsgálat nyilvántartáshoz kötött, külön eljárás, míg az a social engineering vizsgálat, amelyet egy cég a saját szervezetére rendel meg, ettől független, kereskedelmi szolgáltatás. Hogy melyik szervezetre mi vonatkozik, arról a ki végezhet sérülékenységvizsgálatot című cikkünkben írunk részletesen.

Social engineering – gyakori kérdések

Kapcsolódó Haxoris-szolgáltatások: social engineering vizsgálat és phishing szimuláció · biztonságtudatossági oktatás munkatársaknak