Na czym polega socjotechnika
Atak socjotechniczny omija technikę i uderza w człowieka. Zamiast łamać zabezpieczenia, oszust prosi, naciska albo udaje kogoś zaufanego. Dlatego nawet firma z drogim systemem ochrony może stracić pieniądze przez jedną rozmowę telefoniczną.
Skuteczność ataku wynika z kilku prostych mechanizmów psychologicznych. Każdy z nich da się nazwać i rozpoznać, a to pierwszy krok do obrony.
Cztery dźwignie, których używają oszuści
- Autorytet. Wiadomość od prezesa, urzędu albo banku. Pracownik nie chce podważać polecenia przełożonego.
- Pośpiech. Termin do końca dnia, konto zablokowane za godzinę, paczka wróci do nadawcy. Presja czasu ogranicza myślenie.
- Tajemnica. Prośba, by nikomu nie mówić, odcina ofiarę od osoby, która mogłaby ją zatrzymać.
- Zaufanie do znanego kontekstu. Faktura od stałego dostawcy, rozmowa o prawdziwym projekcie, znajome imię w podpisie.
Najczęstsze techniki w polskich firmach
Oszustwo na fakturę polega na podmianie numeru konta w wiadomości podszywającej się pod dostawcę. Oszustwo na prezesa zaczyna się od maila lub wiadomości na komunikatorze z prośbą o pilny, poufny przelew. Vishing to telefon od fałszywego konsultanta banku lub działu IT, który prosi o kod BLIK albo instalację aplikacji do zdalnego dostępu.
Coraz częściej atakujący łączą kanały. Najpierw przychodzi mail, potem telefon, który ma go uwiarygodnić. Pracownik, który widzi dwa sygnały, uznaje sprawę za prawdziwą, choć obie wiadomości pochodzą od tej samej osoby.
Jak się bronić
- Wprowadź zasadę drugiego kanału. Każdą zmianę numeru konta i każdy nietypowy przelew potwierdzaj telefonem na numer z umowy.
- Wprowadź zasadę dwóch par oczu dla przelewów powyżej ustalonej kwoty.
- Naucz pracowników, że pośpiech jest sygnałem alarmowym, a nie powodem do działania.
- Pozwól zgłaszać wątpliwości bez obawy o zawstydzenie. Pracownik, który zapyta, powinien być nagrodzony, a nie wyśmiany.
- Ćwicz regularnie. Jednorazowe szkolenie jest zapominane, a krótki test co miesiąc buduje nawyk.
Dlaczego jednorazowe szkolenie nie wystarcza
Wiedza o zagrożeniach szybko blednie, a oszuści zmieniają scenariusze co kilka tygodni. Program, który co miesiąc pokazuje nowy schemat i uczy na błędach, utrzymuje czujność dłużej niż roczna sesja z trenerem.
Sprawdź, jak Twój zespół radzi sobie z polskimi oszustwami, w teście czujności. Zajmuje kilka minut i nie wymaga konta.