Sociální inženýrství: psychologie, taktiky a reálné útoky

Jak vypadají dnešní techniky sociálního inženýrství? 

Ne všechny techniky sociálního inženýrství jsou založeny na stejném principu. Právě jejich variabilita často oběti zaskočí. 

Klasické útoky 

Mezi základní metody manipulace lidí za účelem zisku patří: 

• Phishing – Podvodné e‑maily navržené tak, aby uživatele přiměly kliknout na phishingovou stránku, přihlásit se do falešného portálu nebo spustit stahování škodlivého kódu. 

• Spear phishing – Personalizovaná verze phishingu, obvykle s konkrétními informacemi o oběti, které mají zprávu učinit důvěryhodnější. Oběti jsou velmi často zaměstnanci firem. 

• Whaling – Spear phishing s velkým dopadem, který zpravidla cíli na vedení firmy.  

• Smishing – Podvodná komunikace přes SMS. Obvykle obsahuje škodlivý odkaz. 

• Vishing – manipulativní podvodná komunikace prostřednictvím telefonních hovorů, při které se útočník vydává za nějakou autoritu. 

• Pretexting – Technika podobná spear phishingu, která se ale spoléhá na vytvoření věrohodného scénáře pro získání důvěry oběti. Často se používá v útocích typu BEC (viz Pokročilé útoky níže). 

• Baiting – Zde hraje ústřední roli návnada, která oběť přiměje kliknout nebo sdílet citlivé informace výměnou za speciální nabídky, odměny nebo ceny. 

• Quid Pro Quo – Útočník nabízí falešný produkt či službu výměnou za přihlašovací údaje, kliknutí na odkaz apod. 

• Watering hole – Útočníci kompromitují stránky, které oběti často navštěvují. Při jedné z dalších návštěv si nevědomky nakazí své zařízení.  

• Shoulder surfing – Útočník odpozoruje přihlašovací údaje, PIN kódy či osobní informace oběti na veřejných místech. 

Pokročilé útoky 

V poslední době začali kyberpodvodníci experimentovat s novými způsoby, jak své oběti oklamat. Může za tím stát i skutečnost, že zaměstnanci již díky školením kybernetické bezpečnosti ty nejčastější metody znají: 

• Business E-mail Compromise (BEC) – Podvod bez malwaru, při kterém dojde ke zneužití důvěry oběti a přesměrování plateb pomocí pretextingu. Podvodník se obvykle vydává za člena vrcholného vedení nebo známého dodavatele s naléhavou žádostí o platbu či převod. 

• Únava z MFA (push bombing) – Útočník posílá oběti opakované výzvy k ověření, dokud jednu z nich oběť nakonec nepotvrdí. 

• Podvržené video či audio (deepfake) – AI generovaný hlas nebo video vedoucích pracovníků, obvykle používané při útocích BEC. 

• Consent phishing (škodlivé OAuth aplikace) – Útočníci přimějí oběť, aby udělila přístup škodlivým aplikacím ke cloudovým datům. Vydávají se za legitimní službu nebo aplikaci a použijí falešnou obrazovku k udělení souhlasu. 

• Quishing (QR phishing) – Jedná se o škodlivé QR kódy umístěné na veřejných místech (nebo v e‑mailech). Uživatele po načtení přesměrují na phishingové stránky nebo přímo stáhnou malware do zařízení. 

• ClickFix – Poměrně nový způsob doručení malwaru, který obchází bezpečnostní filtry. Uživatele nejprve naláká na stránku pomocí phishingové zprávy, škodlivou reklamou nebo kompromitovaným webem. Poté se jim zobrazí falešné upozornění, které je přiměje provést „opravu dočasné chyby“. Jsou vyzváni ke zkopírování a vložení textu. Ve skutečnosti tím nevědomky spouštějí škodlivé příkazy přímo v dialogovém okně Windows Run. 

• Varianty útoku ClickFix – Patří mezi ně FileFix (kopírování nebo vkládání textu do adresního řádku Průzkumníka Windows), ConsentFix (krádež OAuth tokenů), BSOD (falešné obrazovky pádu systému Windows a okno Odstranění potíží) a CrashFix (vyvolání skutečného pádu k oklamání uživatele, aby zkopíroval nebo vložil malware). 

• Dlouhodobé podvody (pig butchering nebo romance scam) – Podvodník oběť dlouhodobě manipuluje, často přes seznamku. Jakmile si získá její důvěru, požádá o zaplacení nákladů na získání víza, na cestu nebo zaplacení dalších, dle jeho odůvodnění nutných položek.  

• Sextortion – Oběť obdrží nevyžádanou zprávu, ve které odesílatel tvrdí, že ji natočil webkamerou v kompromitující situaci a zveřejní video všem kontaktům, pokud nezaplatí výkupné. Zpráva obvykle obsahuje nějakou skutečnou informaci (např. e‑mailovou adresu) získanou z historického úniku dat. V ještě znepokojivější variantě vyděrač stáhne video nebo fotografii oběti z jejích sociálních sítí a pomocí deepfake nástrojů ji „svlékne“. Vyhrožuje zveřejněním, pokud nezaplatí. V některých případech oběť dobrovolně sdílí své intimní fotografie s účty, které se ukážou být falešné („catfish“), a poté je vydírána. 

Sociální inženýři v praxi 

Sociální inženýrství může mít na organizace a firmy obrovský finanční i reputační dopad a může vést až k odlivu zákazníků. Zde je několik příkladů: 

Loupež kryptoměn Bybit (2025) 

Severokorejští útočníci ukradli 1,4 miliardy dolarů z kryptoměnové burzy v dosud největší krádeži svého druhu. Šlo o vícefázový útok, který se nejdříve zaměřil na vývojáře v Safe{Wallet} – platformě používané burzou Bybit. Zmanipulovali ho, aby nainstaloval škodlivý projekt Docker Python, čímž jim poskytl přístup k pracovnímu zařízení cílové oběti. 

Útok na MGM Resorts (2023) 

Útočníci získali informace o zaměstnancích z LinkedInu, zavolali na helpdesk, vydávali se za ně a získali přístup. Výsledek: ransomware, výpadky služeb a ztráty v desítkách milionů dolarů. 

Deepfake videohovor s CFO za 25 milionů (2024) 

Zaměstnanec finančního oddělení se připojil k real‑time videohovoru s někým, kdo vypadal jako jejich CFO. Byl instruován provést důvěrný převod. Útočníci použili AI‑generované video a hlas, aby napodobili jeho identitu. 

Ransomware útoky na M&S a Co‑op Group (2025) 

Předpokládá se, že oba britské maloobchody byly cílem té samé skupiny (Scattered Spider), která použila podobný postup jako při útoku na MGM. Útočník zavolal na outsourcingový IT helpdesk, vydával se za zaměstnance a podařilo se mu resetovat heslo, čímž získal přístup. Útoky stály 440 milionů liber, přičemž M&S nemohl týdny přijímat online objednávky.

Jak se sociálnímu inženýrství bránit 

U firem může mít sociální inženýrství závažné až devastující důsledky – umožňuje útočníkům okamžitý přístup k privilegovaným firemním zdrojům. Může jít o první krok k útoku ransomwarem, kyberšpionáži nebo BEC. V každém případě mohou být výsledkem značné finanční a reputační újmy nebo pokuty za nedodržení předpisů.  

Pro zmírnění rizik je třeba uvažovat o lidech, procesech a technologiích: 

Lidé: vrstva lidské obrany 

• Pravidelná, kontinuální školení kyberbezpečnostního povědomí zaměřená na emoční spouštěče, nejen na pravopisné chyby v podvodné komunikaci. 

• Simulované phishingové útoky v různých kanálech (e‑mail, SMS, hlas, QR kód). 

• Vytvoření kultury, která odměňuje rychlé hlášení incidentů – i když někdo udělá chybu. 

Procesy: kontrola nad rizikovými rozhodnutími 

• Ověření mimo standardní kanály pro platby nad určitou hranici a citlivé údaje. 

• Segregace pravomocí ve finančních procesech. 

• Silný onboarding/offboarding a správa oprávnění. 

• Ověření identity při resetu hesla přes helpdesk. 

• Jasné a otestované postupy reakce na incidenty. 

Technologie: bezpečnost, která mírní škody 

• E‑mailová bezpečnost, která blokuje phishing a vydávání se za někoho jiného. 

• Ochrana koncových zařízení a sandboxing pro bezpečnou analýzu příloh. 

• MFA odolné phishingu (např. bezpečnostní klíče FIDO2). 

• Monitoring přístupu (detekce anomálií k odhalení podezřelé aktivity). 

• XDR/MDR pro detekci a reakci na hrozby. 

• Filtrování URL adres pro blokaci škodlivých webů i po kliknutí. 

Uvedené kroky můžete považovat za součást přístupu Zero Trust, ve kterém nikomu implicitně nevěříte a všechny uživatele i zařízení nepřetržitě ověřujete podle rizika.