Что такое социальная инженерия: претекстинг, вишинг и приманки

Коротко: что это такое

Социальная инженерия — это атака на человека, а не на программу. Злоумышленнику не нужно ломать шифрование, если сотрудник сам продиктует код из SMS, откроет дверь или вставит найденную флешку в рабочий компьютер.

Фишинговые письма — самый известный вариант, но далеко не единственный. Ниже — приёмы, которые работают без ссылок в почте: по телефону, лично и через физические предметы.

Основные техники

• Претекстинг — заранее придуманная легенда. «Я новый сотрудник IT-отдела, проверяю доступы», «Я из налоговой, нужно уточнить реквизиты». Легенда подкрепляется деталями, найденными в открытых источниках: имена руководителей, названия проектов, внутренний жаргон.
• Вишинг (voice phishing) — звонок от имени банка, службы безопасности, оператора связи или техподдержки. Классика: «С вашей карты пытаются списать деньги, назовите код, чтобы отменить операцию». Номер на экране может быть подменён и выглядеть официальным.
• Фальшивый курьер или мастер — человек в униформе с коробкой или «заявкой на ремонт», которому нужно пройти в офис, подключиться к сети или «расписаться в планшете».
• Приманка (baiting) — флешка с надписью «Зарплаты 2026» на парковке, бесплатный зарядный кабель, QR-код на листовке. Любопытство делает всю работу.
• Tailgating — проход «за спиной»: человек с занятыми руками просит придержать дверь в зону с пропусками.
• Quid pro quo — «услуга за услугу»: «Звоню из поддержки, исправлю вашу проблему с почтой, только установите эту программу удалённого доступа».

На какие психологические триггеры давят

Общий принцип: атакующий старается, чтобы вы действовали быстро и эмоционально, а не медленно и по процедуре.

Привычки проверки, которые останавливают атаку

1. Пауза. Любая срочность — сигнал остановиться. Настоящий банк или руководитель переживёт пять минут задержки.
2. Перезвон по своему каналу. Положите трубку и наберите номер с обратной стороны карты или из официального приложения. Не перезванивайте на номер, который вам продиктовали.
3. Коды не диктуются никому. Ни банк, ни оператор, ни «служба безопасности» не просят назвать код из SMS или пуша. Если просят — это мошенники.
4. Второй канал для денег и доступов. Просьбу о переводе или выдаче прав подтверждайте отдельно: личным сообщением в корпоративном мессенджере, звонком на известный номер.
5. Посетители — только с сопровождением. Курьер оставляет посылку на ресепшене, мастер приходит по заявке, о которой знает администратор.
6. Чужие носители — не подключать. Найденную флешку отдают в IT, а не вставляют «посмотреть, чья она».
7. Не стесняться отказать. Придержать дверь человеку без пропуска — не вежливость, а нарушение. Вежливый вариант: «Давайте я позову администратора».

Что делать компании

• Опишите простые процедуры: как подтверждаются платежи, кто может сбросить пароль, как проходят посетители.
• Проводите короткие регулярные тренировки с реальными примерами звонков и ситуаций, а не одну лекцию в год.
• Сделайте так, чтобы о подозрительном звонке легко и не стыдно сообщить — один канал, без наказаний за ложную тревогу.
• Ограничьте, что сотрудники публикуют о внутренних процессах в открытом доступе.
• Включите двухфакторную аутентификацию и разграничение прав: даже если одного человека обманут, ущерб будет меньше.

Частые ошибки

• Считать, что «на такое ведутся только невнимательные». Атаки рассчитаны на усталых и занятых людей — то есть на всех.
• Доверять номеру на экране. Подмена номера технически возможна.
• Проверять звонящего вопросами, ответы на которые есть в соцсетях.
• Наказывать сотрудника, который признался в ошибке. В следующий раз он промолчит.