Social engineering: napadi na ljude i obrana

Social engineering je oblik napada u kojem napadač ne probija vašu tehnologiju, nego vaše ljude: lažnim mailom, telefonskim pozivom ili lažnim identitetom navede zaposlenika da otkrije lozinku, odobri plaćanje ili klikne na zlonamjernu poveznicu. Dok firme ulažu u firewall, antivirus i EDR, napadači sve češće biraju najjeftiniji i najpouzdaniji put: ljudsku dobronamjernost, žurbu i povjerenje. Upravo zato je obrana od social engineeringa kombinacija obuke, jasnih procedura i redovitog testiranja, a ne samo softvera.

U praksi velika većina ozbiljnih incidenata, od kompromitiranih mail računa do prijevara s plaćanjima, počinje upravo ovdje: netko je nekoga uvjerio. Nema eksploita, nema zero-day ranjivosti, samo dobro odglumljena hitnost i uvjerljiva priča. Za firme u BiH, Hrvatskoj i Srbiji to znači da i mala kompanija s urednim antivirusom može izgubiti novac ili podatke ako zaposlenici nisu pripremljeni prepoznati manipulaciju.

Što je social engineering i zašto je tako uspješan

Social engineering je psihološka manipulacija s ciljem da osoba učini nešto što inače ne bi: otkrije podatke, zaobiđe sigurnosno pravilo ili izvrši radnju u korist napadača. Napadač se oslanja na principe koji kod ljudi rade gotovo automatski:

• Autoritet: poruka navodno dolazi od direktora, banke ili IT odjela, pa je ne preispitujemo.
• Hitnost i pritisak: rok je danas, faktura kasni, račun će biti blokiran, sve da žrtva ne stigne razmisliti.
• Strah: prijetnja kaznom, gubitkom pristupa ili problemom s nadređenim.
• Povjerenje i ljubaznost: napadač se predstavi kao kolega ili partner s kojim već surađujete.
• Znatiželja i pohlepa: nagrada, povrat novca, zanimljiv dokument koji se mora otvoriti.

Tehnologija ovdje malo pomaže jer napad cilja na ponašanje, a ne na sustav. Zato se čovjek često naziva najslabijom karikom sigurnosti, iako je pravednije reći da je čovjek karika koja je dugo bila zanemarena u ulaganjima.

Glavne tehnike social engineeringa

Napadi dolaze u više oblika, ali svi dijele istu logiku: stvori uvjerljiv kontekst i navedi žrtvu na akciju. Evo tehnika koje najčešće viđamo kod klijenata u regiji.

Phishing

Najrašireniji oblik: masovni ili ciljani mailovi koji oponašaju banku, Microsoft 365, dobavljača ili internu službu. Cilj je da žrtva unese lozinku na lažnoj stranici ili otvori privitak. Opasnija varijanta je spear phishing, gdje je poruka prilagođena konkretnoj osobi, s pravim imenima i kontekstom firme, pa djeluje potpuno legitimno.

Vishing (glasovni phishing)

Napad telefonom. Lažni poziv iz banke, od dobavljača ili navodne IT podrške koji traži potvrdu podataka, kod iz SMS-a ili daljinski pristup računalu. Glas i hitnost stvaraju pritisak koji je teže ignorirati nego mail.

Pretexting

Napadač gradi cijelu lažnu priču (pretext) i identitet: predstavlja se kao revizor, novi kolega iz druge poslovnice, kurir ili predstavnik partnera. Postupno prikuplja informacije i povjerenje dok ne dobije ono što treba. Često je uvod u veći napad.

Baiting

Mamac. Klasičan primjer je zaraženi USB stick ostavljen na parkiralištu ili u predvorju, s natpisom poput Plaće ili Bonusi, koji znatiželjni zaposlenik ubaci u radno računalo. Digitalna varijanta je besplatan sadržaj ili softver koji nosi zlonamjerni kod.

Tailgating i piggybacking

Fizički ulazak u zaštićeni prostor. Napadač jednostavno uđe za zaposlenikom kroz vrata s kontrolom pristupa, noseći kutije ili glumeći serviser, računajući na to da mu nitko neće stati na put iz pristojnosti.

Tehnika	Kanal	Tipičan mamac	Glavna obrana
Phishing	E-mail	Lažna prijava, faktura, upozorenje	Provjera pošiljatelja, MFA, prijava poruke
Vishing	Telefon	Banka, IT podrška, hitnost	Povratni poziv na poznati broj
Pretexting	E-mail, telefon, uživo	Lažni identitet i priča	Verifikacija identiteta po proceduri
Baiting	USB, web	Besplatno, povjerljivo, primamljivo	Zabrana nepoznatih medija, politika
Tailgating	Fizički ulaz	Pristojnost, autoritet	Kontrola pristupa, kultura provjere

Čovjek kao najslabija, ali i najjača karika

Poruka da je čovjek najslabija karika točna je samo dok ljude ostavljamo bez znanja i podrške. Zaposlenik koji zna prepoznati phishing, koji ima jasnu uputu kome prijaviti sumnjivu poruku i koji se ne boji reći ne navodnom direktoru, postaje senzor koji hvata napade prije nego što naprave štetu. Razlika između rizika i obrane je obuka i kultura, ne inteligencija pojedinca.

Ono što napad čini opasnim nije tehnička sofisticiranost, nego činjenica da pogađa u trenutku žurbe, na kraju radnog dana, kad netko obrađuje desetu fakturu. Zato obrana mora biti ugrađena u svakodnevne procese, a ne ovisiti o tome hoće li se netko sjetiti biti oprezan.

Što firma može učiniti odmah

• Uvedite višefaktorsku autentikaciju (MFA) na mail i ključne sustave: ukradena lozinka tada nije dovoljna.
• Definirajte proceduru za plaćanja: svaka promjena bankovnog računa dobavljača i svako veće plaćanje potvrđuje se drugim kanalom (telefonom na poznati broj).
• Uspostavite jednostavan način prijave: jedan klik ili jedna adresa na koju zaposlenik šalje sumnjivu poruku, bez straha od posljedica.
• Ograničite korištenje nepoznatih USB uređaja i jasno to zapišite u pravila.
• Educirajte redovito, kratko i konkretno, s primjerima iz stvarnog svijeta, a ne jednom godišnje formalno.
• Njegujte kulturu provjere: pitati i provjeriti mora biti pohvalno, a ne nepristojno.

Obuka, procedure i simulirani napadi: kako NeoBit pomaže

Jednokratno predavanje ne mijenja ponašanje. Otpornost na social engineering gradi se ciklusom: izmjerite trenutno stanje, educirajte, simulirajte napad, izmjerite napredak i ponovite. U NeoBitu taj pristup primjenjujemo kroz nekoliko koraka.

• Simulirane phishing kampanje: šaljemo kontrolirane, bezopasne phishing mailove vašim zaposlenicima i mjerimo tko klikne, tko unese podatke, a tko prijavi. Dobivate jasnu sliku stvarnog rizika, bez optuživanja pojedinaca.
• Vishing i pretexting testovi: uz dogovor provjeravamo otpornost na telefonske napade i scenarije s lažnim identitetom, jer mail je samo dio slike.
• Ciljana obuka: nakon testa radimo edukaciju temeljenu na stvarnim rezultatima, s primjerima koji su vašim ljudima poznati i relevantni.
• Procedure i politike: pomažemo definirati jasna pravila za plaćanja, pristup i prijavu incidenata, prilagođena veličini i poslovanju vaše firme.
• Mjerenje napretka: ponovljene kampanje pokazuju koliko se stopa kliktanja smanjila i gdje još treba raditi.

Sve to povezujemo s ostatkom sigurnosne slike: SOC nadzorom, EDR i SIEM rješenjima te penetration testingom, tako da ljudska i tehnička obrana rade zajedno. Cilj nije idealan rezultat na papiru, nego firma u kojoj zaposlenik instinktivno zastane prije nego što klikne ili odobri plaćanje.

Ako želite saznati koliko je vaša organizacija otporna na social engineering, NeoBit nudi procjenu i simulirani phishing test prilagođen vašoj firmi. Kontaktirajte nas za besplatnu procjenu i dogovor o simuliranom napadu, pa zajedno pretvorimo najslabiju kariku u prvu liniju obrane.

Često postavljana pitanja

Po čemu se social engineering razlikuje od klasičnog hakiranja?

Klasično hakiranje iskorištava tehničke ranjivosti sustava, dok social engineering iskorištava ljude: povjerenje, žurbu i strah. Napadač ne probija firewall, nego uvjeri zaposlenika da sam otkrije podatke ili izvrši radnju. Zato obrana mora uključivati obuku i procedure, a ne samo sigurnosni softver.

Kako prepoznati phishing mail?

Sumnjivi su mailovi koji stvaraju hitnost ili prijetnju, traže lozinku ili plaćanje, imaju neobičnu adresu pošiljatelja, gramatičke greške ili poveznice koje ne vode na očekivanu stranicu. Kad niste sigurni, ne klikajte, nego provjerite pošiljatelja drugim kanalom i prijavite poruku internoj IT službi.

Pomaže li tehnologija sama protiv social engineeringa?

Tehnologija poput MFA, anti-spam filtera i EDR-a smanjuje rizik i ublažava štetu, ali ne zaustavlja napad koji cilja na ljudsko ponašanje. Najbolja zaštita je kombinacija tehničkih mjera, jasnih procedura i kontinuirane obuke zaposlenika, redovito provjerene simuliranim napadima.

Što je simulirani phishing napad i je li opasan za zaposlenike?

Simulirani phishing je kontrolirani, bezopasni test u kojem NeoBit šalje lažne ali sigurne phishing mailove kako bi izmjerio otpornost zaposlenika. Nema stvarne štete ni prikupljanja osjetljivih podataka, a cilj nije kažnjavanje pojedinaca nego edukacija i smanjenje stvarnog rizika za firmu.

Povezani vodiči: Cyber sigurnost u BiH - kompletan vodič · Sigurnost e-maila i zaštita od BEC prijevara: praktični vodič · Zaštita od hakerskih napada - 10 koraka za firme