Kaj je socialni inženiring? Tehnike, primeri in zaščita

Požarni zid ne dvigne telefona. Dvigne ga nekdo v računovodstvu, ki mora do konca dneva plačati še deset računov – in prav na to računa napadalec. Pri socialnem inženiringu ne išče napake v sistemu, temveč človeka, ki mu bo vrata odprl sam: povedal geslo, potrdil prijavo ali nakazal denar na nov račun.

Kaj je socialni inženiring

Socialni inženiring je skupno ime za tehnike, s katerimi napadalec človeka pripravi do tega, da razkrije podatke, omogoči dostop ali izvede plačilo. Namesto ranljivosti v sistemu izkoristi zaupanje, navade in časovno stisko nekoga, ki dostop že ima.

V vsakdanji rabi ga pogosto enačimo s phishingom, ki je njegova najbolj znana oblika, vendar ne edina: napadalec lahko pokliče po telefonu, pošlje SMS-sporočilo, se na recepciji predstavi kot serviser ali v avli pusti ključek USB. Kanal se menja, načelo ostaja isto – nekdo, ki se zdi vreden zaupanja, vas prosi za nekaj na videz povsem običajnega.

Zakaj socialni inženiring deluje

Zaposleni, ki hitro odgovori direktorju, pomaga sodelavcu v stiski in ne zavlačuje s plačili, dela natanko tako, kot podjetje od njega pričakuje. Socialni inženiring te vrline obrne proti organizaciji. Najpogosteje pritisne na štiri vzvode:

• Avtoriteta. Navodilo, ki je videti, kot da prihaja od direktorja, banke ali IT-oddelka, preveri redkokdo. Čim višje je pošiljatelj v hierarhiji, tem manj vprašanj sledi.
• Nujnost. Rok, ki se izteče »še danes«, ne pusti časa za klic ali vprašanje sodelavcu – in prav to je njegov namen.
• Zaupanje. Sporočilo v imenu znanega dobavitelja ali sodelavca, ki omeni resničen projekt, sprejmemo kot pristno. Ena točna podrobnost zadošča, da drugega ne preverimo.
• Radovednost. Dokument z naslovom »Reorganizacija – predlog« ali najdeni ključek USB vzbudi dovolj zanimanja, da previdnost za hip popusti.

Za napadalca je izbira preprosta: tehnični vdor v urejeno okolje zahteva znanje in čas, prepričljivo sporočilo pa nekaj minut.

Tehnike socialnega inženiringa s primeri

Primeri v preglednici so ponazoritve značilnih scenarijev, ne opisi resničnih dogodkov.

Phishing, ciljani phishing in smishing

Phishing je množičen: isto sporočilo gre na tisoče naslovov in računa na majhen delež naslovnikov, ki kliknejo. Pri ciljanem phishingu si napadalec vzame čas za enega človeka ali en oddelek ter sporočilo opremi z imeni, projekti in slogom iz javnih virov. Smishing isti prijem prenese na telefon, kjer je naslov povezave slabše viden. Kako je to zvrst spremenila generativna AI, opisujemo v članku kaj je AI phishing in kako ga prepoznati.

Vishing in pretexting

Glas vzbudi več zaupanja in več naglice kot besedilo. Klicatelj se predstavi kot tehnična podpora, dobavitelj ali sodelavec iz druge poslovne enote in ima pripravljeno zgodbo, zakaj podatek potrebuje prav zdaj. Tej zgodbi pravimo pretveza, tehniki pa pretexting. Dobra pretveza ne zahteva gesla v prvem stavku; začne se z nedolžnim vprašanjem.

Baiting in tailgating

Oba prijema sta fizična. Pri baitingu napadalec nastavi vabo – običajno nosilec podatkov z zanimivim napisom – in čaka, da ga nekdo iz radovednosti priklopi na službeni računalnik. Pri tailgatingu izkoristi vljudnost: v stavbo vstopi tik za zaposlenim, ki mu pridrži vrata.

Direktorska prevara in deepfake glas

Direktorska prevara meri neposredno na denar in ne potrebuje nobene zlonamerne programske opreme. Napadalec se predstavi kot član vodstva in od računovodstva zahteva nujno, zaupno plačilo. Novejša nadgradnja je deepfake glas: iz kratkega javnega posnetka je mogoče poustvariti glas, ki po telefonu zveni kot direktorjev. Več o tem v članku o deepfake prevarah in vishingu.

Kako poteka napad korak za korakom

Socialni inženiring ni eno samo sporočilo, temveč postopek v petih korakih:

1. Zbiranje podatkov (OSINT). Napadalec iz javnih virov sestavi sliko podjetja: imena in funkcije iz poslovnih omrežij, uporabljene sisteme iz zaposlitvenih oglasov, dobavitelje iz objavljenih referenc, obliko e-poštnih naslovov iz podpisov. Več v članku OSINT in AI: kako napadalci uporabljajo javne podatke.
2. Pretveza. Iz teh podatkov nastane zgodba z verodostojno vlogo in razlogom – in s trenutkom, ko jo je najtežje preveriti, na primer ko je direktor na službeni poti.
3. Prvi stik. Kanal sledi zgodbi: račun pride po e-pošti, »banka« pokliče, obvestilo o paketu prispe kot SMS-sporočilo. Prvo sporočilo pogosto ne zahteva ničesar; le pripravi teren za naslednje.
4. Dejanje. Žrtev vpiše geslo na lažni strani, potrdi zahtevo za prijavo, odpre priponko ali izvede nakazilo.
5. Izkoriščanje dostopa in prikrivanje sledi. Z ukradenim računom napadalec bere pošto, nastavi samodejno posredovanje sporočil in pošilja nove zahteve v imenu žrtve. Dlje ko ostane neopažen, večja je škoda.

Izmišljen, a značilen primer. Računovodstvo v četrtek popoldne prejme sporočilo »dobavitelja«: zaradi menjave banke naj prihodnja plačila nakazujejo na nov račun. Sporočilo je odgovor v obstoječi korespondenci, podpis je pravi, slog tudi. Naslednje plačilo odide napadalcu. Nobena tehnična zaščita ni odpovedala – manjkal je postopek, ki bi spremembo plačilnih podatkov preveril po neodvisni poti.

Kako prepoznati poskus socialnega inženiringa

Včasih je lažno sporočilo izdal jezik. Danes ne več: z generativno AI nastane tekoče, slovnično pravilno besedilo v nekaj sekundah. Zato ne ocenjujte oblike sporočila, temveč to, kar od vas zahteva. Pozorni bodite na:

• nepričakovano zahtevo s kratkim rokom
• prošnjo, da obidete običajni postopek: »tokrat izjemoma«, »brez naročilnice«
• zahtevo po zaupnosti: »o tem za zdaj ne govorite z nikomer«
• spremembo plačilnih podatkov ali novega prejemnika plačila
• zahtevo po geslu, kodi za prijavo ali potrditvi prijave, ki je niste sprožili sami
• naslov pošiljatelja ali povezave, ki se od pravega razlikuje za eno črko ali končnico

Zanesljiva obramba je preprosta: vsako nenavadno zahtevo preverite po drugem kanalu. Pokličite na številko, ki jo že imate, ne na tisto, ki jo ponuja sporočilo.

Kaj storiti ob sumu ali po kliku

Sumljivega sporočila ne brišite, temveč ga prijavite IT-oddelku ali osebi, odgovorni za varnost. Če ste prijavne podatke že vnesli, takoj zamenjajte geslo povsod, kjer ga uporabljate. Pri plačilni prevari šteje vsaka ura: nemudoma obvestite banko in policijo. Incident prijavite tudi nacionalnemu odzivnemu centru za kibernetsko varnost SI-CERT (cert.si).

Kaj lahko naredi organizacija

Posameznik lahko prepozna opozorilne znake, organizacija pa mora poskrbeti, da ena napačna odločitev še ne pomeni škode.

Izobraževanje zaposlenih

Navade se spreminjajo s ponavljanjem, ne z enim predavanjem na leto. Zaposleni si zapomnijo kratke, praktične vsebine z resničnimi primeri sporočil. Izobraževanje zaposlenih pri nas vodijo etični hekerji.

Simulacije phishing napadov

Znanje se utrdi šele z izkušnjo: simulirano sporočilo, ki mu takoj sledi pojasnilo, pusti več sledi kot predavanje. Za redne simulacije smo razvili platformo PhishGun: ob tveganem kliku odpre kratko lekcijo in meri, koliko ljudi je sporočilo prijavilo.

Kanal za prijavo

Prijava sumljivega sporočila mora biti preprosta – en gumb v poštnem odjemalcu – in brez posledic za tistega, ki je kliknil. Če klik pomeni grajo, bodo zaposleni o njem molčali, varnostna ekipa pa bo izgubila čas, v katerem bi napad še lahko ustavila. Dobra praksa je zato, da se rezultati simulacij obravnavajo skupinsko, ne po imenih.

Tehnični in procesni ukrepi

• Večfaktorska avtentikacija (MFA) za e-pošto in oddaljene dostope – najbolje z načini prijave, vezanimi na pravo domeno, kot so varnostni ključi FIDO2 in ključi za dostop (passkeys).
• SPF, DKIM in DMARC, nastavljeni tako, da prejemniki zavrnejo sporočila, ki zlorabljajo domeno podjetja.
• Oznaka »zunanje sporočilo« pri vsej pošti, ki ne prihaja iz organizacije.
• Dvojna potrditev plačil: nakazila nad dogovorjenim zneskom in vsako spremembo računa dobavitelja potrdita dve osebi.
• Povratni klic na že znano številko pri vsaki nenavadni zahtevi, tudi kadar prihaja od vodstva.

Kako poteka test socialnega inženiringa

Kako bi se zaposleni odzvali na resničen napad, pokaže šele preizkus. Test socialnega inženiringa je nadzorovana simulacija napada, ki jo z vami dogovorimo vnaprej. Poteka v štirih korakih:

1. Posvet in priprava scenarijev. Skupaj določimo cilje testa in pripravimo scenarije, ki ustrezajo grožnjam za vaše podjetje in panogo.
2. Izvedba kampanje. Ob dogovorjenem času sprožimo simulirano kampanjo – phishing, vishing ali smishing – ter diskretno in varno spremljamo odzive.
3. Analiza in poročilo. Poročilo poleg številk pojasni, kako so se zaposleni odzvali, kakšni so trendi po skupinah in kje so največja tveganja.
4. Priporočila in izobraževanje. Predlagamo izboljšave postopkov in tehničnih ukrepov ter na podlagi rezultatov izvedemo ciljno izobraževanje.

Aktivni del kampanje običajno traja 1 do 3 dni, celoten projekt s pripravo in poročilom pa 1 do 2 tedna. Priporočamo ponovitev dvakrat do štirikrat na leto.

Merimo, koliko zaposlenih klikne povezavo, vnese prijavne podatke ali prenese datoteko. Pri rednih kampanjah je še pomembnejši četrti podatek: koliko jih sporočilo prijavi in kako hitro. Klikov ni mogoče spraviti na nič, zgodnja prijava pa varnostni ekipi omogoči, da napad ustavi, preden klikne naslednji. Če želite preveriti celotno verigo napada skupaj z zaznavo in odzivom varnostne ekipe, je naslednji korak red teaming.

Pravni okvir testiranja zaposlenih

Simulacija phishing napada pomeni obdelavo osebnih podatkov zaposlenih, zato ni samoumevna: Informacijski pooblaščenec je leta 2021 organizacijam še priporočal, naj se takih preverjanj vzdržijo, v neobvezujočem mnenju iz leta 2025 (št. 07121-1/2025/453) pa je zapisal, da niso nedopustna, vendar mora zanje obstajati pravna podlaga. Praviloma so to zakoniti interesi po točki (f) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov (GDPR) z dokumentiranim testom zakonitega interesa; delodajalec mora poleg tega vse uporabnike vnaprej obvestiti o obdelavi in z zunanjim izvajalcem skleniti pogodbo o obdelavi (28. člen GDPR). Kaj od tega je zakonska zahteva in kaj dobra praksa, pojasnjujemo v članku o zakonitosti phishing testa zaposlenih.

Kaj o usposabljanju določa Zakon o informacijski varnosti (ZInfV-1)

Za zavezance po ZInfV-1 usposabljanje ni stvar dobre volje. Odgovorne osebe morajo po četrtem odstavku 20. člena zaposlenim zagotavljati redno usposabljanje, da znajo prepoznati tveganja za informacijsko in kibernetsko varnost. Med varnostnimi ukrepi 22. člen v 3. točki drugega odstavka navaja »osnovne prakse kibernetske higiene in usposabljanje na področju informacijske in kibernetske varnosti«.

Redno usposabljanje zaposlenih lahko izvede kateri koli izvajalec, usposabljanje odgovornih oseb pa samo Urad Vlade Republike Slovenije za informacijsko varnost (URSIV). Naše izobraževanje zaposlenih je zato podpora pri izpolnjevanju četrtega odstavka 20. člena in ne nadomešča usposabljanja odgovornih oseb; udeleženci prejmejo potrdilo o udeležbi.

Socialni inženiring – pogosta vprašanja

Povezane storitve: testi socialnega inženiringa in simulacije phishing napadov · izobraževanje zaposlenih o kibernetski varnosti · red teaming – simulacija resničnega napada