Še tako dober požarni zid in protivirusni program ne pomagata, če napadalec vašega zaposlenega prepriča, naj mu odpre vrata. Socialni inženiring ne napada tehnologije, temveč ljudi – njihovo zaupanje, pripravljenost pomagati ali strah. Človek je pogosto najšibkejši člen varnostne verige in napadalci to dobro vedo.
Pri Haxorisu razmišljamo kot napadalci, da vas lahko zaščitimo. Naši etični hekerji s testom socialnega inženiringa preverijo vaše ekipe v realističnih simulacijah napadov, nato pa predlagajo konkretne korake, s katerimi okrepite svojo najmočnejšo obrambno linijo – ljudi.
Postopek je pregleden in strokoven, zasnovan pa tako, da od testa dobite čim več.
Skupaj določimo cilje testa in pripravimo scenarije napadov, ki ustrezajo grožnjam, pomembnim za vaše podjetje in panogo. Ker test pomeni obdelavo osebnih podatkov zaposlenih, se pred začetkom pogovorimo tudi o pogojih, ki jih Informacijski pooblaščenec navaja v neobvezujočem mnenju iz leta 2025 o phishing testih (št. 07121-1/2025/453): delodajalec med drugim potrebuje pravno podlago (praviloma zakonite interese z dokumentiranim testom zakonitega interesa), zaposlene mora vnaprej obvestiti, da se takšni testi lahko izvajajo, z izvajalcem pa skleniti pogodbo o obdelavi osebnih podatkov po 28. členu Splošne uredbe o varstvu podatkov (GDPR). Več o tem v članku Ali je phishing test zaposlenih zakonit?
Ob dogovorjenem času zaženemo simulirano kampanjo (phishing, vishing ali smishing). Vse interakcije spremljamo diskretno in varno.
Po kampanji prejmete podrobno poročilo. Ne le številke, temveč jasno analizo: katere skupine zaposlenih so se odzvale, kako in zakaj, kakšni so trendi in kje so največja tveganja.
Poročilo vsebuje konkretna priporočila za izboljšanje procesov in tehničnih ukrepov. Na podlagi rezultatov predlagamo in izvedemo ciljno izobraževanje zaposlenih, ki spremeni vedenje.
Prejmete konkretna priporočila za večjo varnost. Končno poročilo vsebuje kazalnike odziva, trende po skupinah zaposlenih ter predloge za ciljno izobraževanje in ozaveščanje. Ko veste, kje so šibke točke, lahko uvedete natančno usmerjene ukrepe in zmanjšate tveganje resničnih phishing napadov. Kot dobro prakso priporočamo zbirni prikaz rezultatov: namen testa je izboljšati varnost, ne iskati krivcev.
Dobro pripravljena ekipa je najučinkovitejša obramba pred socialnim inženiringom. Naše izobraževanje zaposlenih ni dolgočasna predstavitev o tem, kaj je phishing. To je interaktivna delavnica, ki izhaja iz rezultatov vaše simulirane kampanje.
Kaj se zaposleni naučijo?
Rezultat ni le teoretično znanje, temveč praktične veščine in samozavest, da napad prepoznajo in ustavijo, preden povzroči škodo.
Mnenja strank
Aktivna faza običajno traja 1–3 dni. Celoten projekt s pripravo, izvedbo in poročilom traja približno 1–2 tedna, odvisno od zahtevnosti scenarijev in števila vključenih zaposlenih.
Da pozornost ne popusti, priporočamo redne teste, najbolje 2–4-krat na leto. Napadalci nenehno spreminjajo taktike, zato morajo zaposleni svoje navade in pripravljenost redno obnavljati.
Ne klikajte povezav in ne odpirajte priponk. Ostanite mirni. Incident takoj prijavite ekipi IT ali osebi, pristojni za kibernetsko varnost, kot določajo interna navodila. Če ste prijavne podatke že vnesli, geslo zamenjajte povsod, kjer ga uporabljate, in o tem obvestite oddelek IT.
Tehnični ukrepi prestrežejo veliko groženj, odpovejo pa pri prefinjenih napadih, ki so videti legitimni. Socialni inženiring tehnologijo zaobide in meri na človeško psihologijo. To vrzel lahko zapreta le testiranje in izobraževanje.
