Czym jest socjotechnika: jak powstaje atak i jak go przetestować

Atakujący rzadko zaczyna od kodu. Zaczyna od ogłoszenia o pracę, w którym firma sama wymienia używane systemy, od profili zawodowych, z których czyta strukturę działu, i od telefonu do kogoś, kto akurat chce pomóc. Socjotechnika to wpływanie na ludzi tak, żeby sami zrobili to, czego atakujący nie zdołałby zrobić technicznie: podali hasło, kliknęli w link, zmienili numer rachunku na fakturze albo przytrzymali drzwi. Narzędzia bywają banalne. Rozstrzyga wiarygodność pretekstu.

Poniżej pokazujemy, jak taki atak powstaje krok po kroku, które techniki są dziś najczęstsze, dlaczego filtry i uwierzytelnianie dwuskładnikowe ich nie zatrzymują, jak wygląda kontrolowana symulacja i jak przeprowadzić ją zgodnie z RODO oraz Kodeksem pracy.

Czym jest socjotechnika

Socjotechnika to manipulowanie ludźmi po to, żeby wydali informacje, dane logowania albo pieniądze. Zamiast pokonywać zabezpieczenie, atakujący doprowadza do tego, że ktoś otwiera je za niego.

Phishing bywa mylony z całą kategorią, a jest tylko jedną z jej metod – tą, którą prowadzi się pisaną wiadomością. Do tej samej rodziny należą vishing przez telefon, smishing SMS-em, pretexting oparty na wymyślonej roli i zwykłe wejście do budynku za czyimiś plecami. Łączy je jedno: celem jest człowiek i jego decyzja, nie serwer.

Dlaczego ataki socjotechniczne działają

Nie dlatego, że ludzie są nieuważni. Dlatego, że atakujący celowo wykorzystują odruchy, które przez resztę dnia pracy są przydatne:

• Autorytet. Polecenie z góry rzadziej podlega weryfikacji. Na tym stoi całe oszustwo na prezesa.
• Presja czasu. „Do 16:00, inaczej transakcja przepada”. Presja skraca sprawdzanie.
• Chęć pomocy. Pracownik wsparcia dostaje wynagrodzenie za rozwiązywanie problemów, nie za podejrzliwość wobec dzwoniących.
• Znajomy kontekst. Nazwa projektu, trwający wątek e-mailowy, logo we właściwym miejscu. Szczegół, który się zgadza, zastępuje weryfikację.
• Strach przed konsekwencjami. „Konto zostanie zablokowane w ciągu 24 godzin”.

Rachunek po stronie atakującego jest prozaiczny. Exploit na niezałataną podatność wymaga czasu, bywa jednorazowy i przestaje działać po najbliższej aktualizacji. Wiarygodny e-mail kosztuje kwadrans i działa dalej.

Jak powstaje atak

1. Rekonesans (OSINT). Kto gdzie pracuje, kto komu podlega, jakich systemów firma używa, kto jest akurat na urlopie. Ogłoszenia rekrutacyjne wymieniają stos technologiczny wprost, komunikaty prasowe podpowiadają temat, a autorespondery informują o nieobecności lepiej niż jakikolwiek wywiad. Jak wygląda to w szczegółach, opisaliśmy w artykule o OSINT i AI po stronie atakującego.
2. Pretekst. Wiarygodna rola, wiarygodny powód, wiarygodny moment. Często zaczyna się od niewinnego pierwszego kontaktu, który o nic nie prosi i ma jedynie ustawić kolejną wiadomość jako „ciąg dalszy”.
3. Kanał. E-mail, telefon, SMS, komunikator, czasem wizyta w recepcji. Kanał dobiera się do pretekstu: fałszywa faktura idzie mailem, reset hasła załatwia się telefonem, dopłata do przesyłki SMS-em.
4. Działanie. Kliknięcie, logowanie na podstawionej stronie, przelew, reset hasła, przytrzymane drzwi. Zaraz po nim atakujący porządkuje sobie dostęp: zakłada regułę przekierowania w skrzynce, kasuje ślady, dopisuje własną metodę logowania. To ten etap decyduje, czy incydent wyjdzie na jaw po dwóch dniach, czy po pół roku.

Najczęstsze techniki

Najdroższy z tej listy jest BEC, bo nie potrzebuje żadnego szkodliwego oprogramowania. Atakujący siedzi w prawdziwej skrzynce i podmienia numer rachunku na prawdziwej fakturze, w wątku, który trwa od tygodni. Nie ma tam niczego, co mógłby wychwycić antywirus.

Osobno rośnie kategoria z ostatniego wiersza. Klonowanie głosu wymaga dziś kilkunastu sekund nagrania z webinaru albo z poczty głosowej, a skok z głosu na twarz w wideokonferencji już nastąpił – opisaliśmy to w tekście o deepfake, vishingu i oszustwie na prezesa.

Dlaczego zabezpieczenia techniczne tego nie zatrzymują

• Filtr ocenia masę. Kampania napisana pod jedną firmę, wysłana z czystej domeny, bez załącznika i bez znanego złośliwego adresu, nie ma czym wyzwolić reguły.
• BEC przychodzi z prawdziwego konta. SPF, DKIM i DMARC potwierdzają wtedy nadawcę zgodnie z prawdą, bo nadawca faktycznie jest tym, za kogo się podaje – tyle że nie panuje już nad swoją skrzynką.
• Drugi składnik da się przekazać dalej. Kod z SMS-a i hasło jednorazowe atakujący przepisuje w czasie rzeczywistym na podstawionej stronie pośredniczącej, a pytania push w końcu ktoś zatwierdzi. Zatrzymują to dopiero metody uwierzytelniania odporne na phishing (ang. phishing-resistant) zgodne z FIDO2 (WebAuthn), bo klucz jest związany z prawdziwą domeną.
• Zniknęły dwie najpewniejsze oznaki fałszywki. Błędy językowe i brak personalizacji przestały być sygnałem ostrzegawczym: poprawna polszczyzna jest dostępna za darmo, a dopasowanie treści do tysiąca odbiorców nie jest już pracą ręczną. Rozwinęliśmy ten wątek w artykule o phishingu tworzonym przez AI.

Praktyczny wniosek jest jeden: rozpoznawanie ataku po treści przestało być wiarygodne. Działa weryfikacja drugim kanałem – i to numerem z wewnętrznej książki adresowej, nie tym, który podano w wiadomości.

Co naprawdę pomaga

Po stronie technicznej:

• Uwierzytelnianie odporne na phishing zgodne z FIDO2 zamiast kodów SMS.
• Porównywanie numeru zamiast zwykłego zatwierdzania push, żeby zmęczenie MFA przestało działać.
• SPF, DKIM i DMARC z polityką odrzucania (p=reject), żeby nikt nie podszył się pod firmową domenę.
• Widoczne oznaczanie wiadomości spoza organizacji, w treści, a nie w nagłówku technicznym.
• Zasada dwóch par oczu przy płatnościach powyżej progu i przy każdej zmianie numeru rachunku, niezależnie od tego, kto o nią prosi.
• Przycisk zgłoszenia podejrzanej wiadomości w kliencie poczty, jednym kliknięciem.

Po stronie organizacyjnej:

• Procedura oddzwaniania, którą znają wszyscy. Nietypowe polecenie oznacza telefon na numer z wewnętrznej książki adresowej. To ma być reguła, a nie prywatna decyzja pracownika.
• Zgłaszanie bez kosztu. Kto boi się nagany, ten nie zgłosi – i wtedy o incydencie dowiadujesz się z raportu atakującego.
• Krótkie i powtarzalne szkolenia z cyberbezpieczeństwa zamiast jednego obowiązkowego wydarzenia w roku. Liczy się częstotliwość, nie długość.

Jak wygląda kontrolowany test

Zgadywanie tu nie wystarcza, bo odporność na socjotechnikę zmienia się razem ze składem zespołu. Testy socjotechniczne to uzgodniona wcześniej kampania wymierzona w Twoich pracowników: scenariusze, kanały, okno czasowe i lista wyłączeń spisane przed startem, wyniki zebrane w raporcie.

Trzy liczby, które z tego wychodzą

• Click rate – ile osób otworzyło link.
• Wskaźnik podania danych – ile osób wpisało dane logowania. Tu zaczyna się realna szkoda.
• Report rate – ile osób zgłosiło wiadomość i po jakim czasie.

Trzecia liczba jest najważniejsza i najczęściej jej brakuje. Firma, w której klika 12% ludzi, ale 60% zgłasza wiadomość w kwadrans, jest odporniejsza niż taka, w której klika 4% i nie zgłasza nikt. Ktoś kliknie zawsze. Pytanie brzmi, czy dowiesz się o tym na czas.

Kampanie prowadzimy na własnej platformie PhishGun, która po ryzykownym kliknięciu od razu otwiera krótkie szkolenie – jeszcze zanim opadną emocje. Poza e-mailem testujemy telefon i SMS, a tam, gdzie ma to sens, także wejście do budynku. Jeśli celem jest sprawdzenie całego łańcucha ataku razem ze zdolnością zespołu do wykrycia go, kolejnym krokiem jest red teaming.

Dwa warunki decydują o tym, czy test pomoże, czy zaszkodzi: wyniki ocenia się zbiorczo, a nie imiennie, a kampanię uzgadnia się wcześniej z zarządem, działem HR i inspektorem ochrony danych. Kampania, która piętnuje pojedyncze osoby, trwale obniża report rate. Płaci się wtedy za wyłączenie własnego systemu wczesnego ostrzegania.

Jak przeprowadzić symulację zgodnie z prawem

Tutaj najczęściej blokuje się cały projekt – i zwykle niepotrzebnie. Warto rozdzielić dwie sprawy.

Testowanie zabezpieczeń jest obowiązkiem, nie fanaberią

RODO w art. 32 ust. 1 lit. d wymaga regularnego testowania, mierzenia i oceniania skuteczności środków bezpieczeństwa. Nie jest to przepis martwy: Prezes UODO nakładał kary, wskazując w uzasadnieniu właśnie brak regularnego testowania – tak było w decyzji dotyczącej Morele.net (DKN.5130.2484.2019).

Podobnie brzmi to w nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, gdzie „testowanie systemu informacyjnego” wymieniono wprost w art. 8 ust. 1 pkt 2 lit. b. Symulacja socjotechniczna nie zastąpi testów technicznych, ale należy do tego samego porządku: sprawdza skuteczność zabezpieczeń, zamiast ją zakładać. Kto zaczyna od strony regulacyjnej, znajdzie terminy i zakres obowiązków w artykule co to jest test penetracyjny.

Monitorowanie pracowników ma własne reguły

Kampania phishingowa dotyka danych pracowników, więc obok RODO wchodzi tu Kodeks pracy. Art. 22² opisuje, jak wprowadza się monitoring: cele, zakres i sposób jego zastosowania ustala się w układzie zbiorowym pracy, w regulaminie pracy albo w obwieszczeniu, a pracowników trzeba poinformować nie później niż 2 tygodnie przed uruchomieniem. Przepis stosuje się odpowiednio do innych form monitorowania niż wizyjne. UODO stoi przy tym na stanowisku, że sama wzmianka w regulaminie nie wypełnia obowiązku informacyjnego wobec załogi.

W praktyce układa się to w krótką listę, którą warto mieć zamkniętą przed pierwszą wysyłką:

• Załoga wie, że firma prowadzi symulacje phishingu. Nie zna daty ani treści – i to jest w porządku, bo zapowiedź konkretnej kampanii zamieniłaby test w ankietę.
• Podstawa przetwarzania danych, zakres zbieranych informacji i czas ich przechowywania są opisane przed startem, a nie po fakcie.
• Raport pokazuje wyniki zbiorczo. Nazwisk nie ma ani w raporcie, ani w rozmowie z przełożonym.
• Kliknięcie nie pociąga za sobą konsekwencji kadrowych. Inaczej znika zgłaszanie, czyli jedyna rzecz, którą naprawdę chcemy zbudować.

Socjotechnika – najczęstsze pytania

Powiązane usługi Haxoris: testy socjotechniczne i symulacje phishingowe · szkolenia z cyberbezpieczeństwa dla pracowników · Red Teaming – symulacja realnego ataku na organizację