Sociálne inžinierstvo a vishing, prečo je úspešnosť útokov na ľudí stále taká vysoká?

V roku 2025 sme zrealizovali štvornásobne viac projektov zameraných na sociálne inžinierstvo než v roku 2024 a výsledky boli jednoznačné. Útoky uspeli v priemere u 40 % oslovených zamestnancov, najmä pri prvom testovaní organizácie. Z desiatich oslovených ľudí sa tak priemerne štyria nechali nachytať. Vyše polovica projektov pritom skončila na úrovni kritického bezpečnostného rizika.

Najčastejším nástrojom napriek technologickému pokroku zostáva e-mail, a to z prostého dôvodu: stačí rozoslať stovky správ a presvedčiť jediného človeka, aby klikol. Jedno úspešné kliknutie útočníkovi bohato stačí. Podľa toho, kto sa stane obeťou, môžu byť následky katastrofálne. Prípad spoločnosti Arup z roku 2024, kde zamestnanci po videohovore s AI-generovanými „kolegami“ previedli približne 25 miliónov dolárov, je jedným z najextrémnejších príkladov toho istého typu útoku.

Predstavme si však ideálny scenár, v ktorom váš spam filter aj firewall fungujú dokonale a zachytia 100 % škodlivých e-mailov. Do schránok sa nedostane ani jedna phishingová správa. Aj tak sa dovnútra dostaneme. Stačí zavolať vašim zamestnancom zo sfalšovaného čísla a v reálnom čase naklonovať hlas niekoho, komu dôverujú, teda ich manažéra alebo člena vedenia. Vzorku hlasu získame ľahko: postačí pár minút záznamu a väčšina vedúcich ich dnes dobrovoľne rozdáva na konferenciách, v podcastoch či v krátkych videách na sociálnych sieťach. A aj keď svoj hlas verejne nezdieľa, stačí jediný zámienkový hovor, prieskum spokojnosti alebo ponuka služby, a pár sekúnd nahrávky máme.

Nie je to laboratórny experiment. Počas roka 2025 zasiahla vyše stovku organizácií rozsiahla vishingová kampaň mierená na helpdesk a systémy prihlasovania (SSO), ktorú spájajú so skupinami Scattered Spider a ShinyHunters. Na druhej strane linky počuje zamestnanec známy hlas, ktorý naliehavo o niečo žiada. Bezpečnostné opatrenia, do ktorých firma investovala, pritom vôbec neprídu k slovu. Práve preto sa pri komplexnom Red Teamingu preverujú nielen technické zraniteľnosti, ale aj možnosti, ako útočníci dokážu zneužiť ľudský faktor.

Naše dáta však ukazujú aj druhú stránku. Pri organizáciách, ktoré zamestnancov pravidelne školia a opakovane testujú, klesá úspešnosť útokov zo zhruba 40 % na jednociferné hodnoty. Ľudský faktor teda nie je nemenné riziko. Je to oblasť, do ktorej sa investícia vráti, pokiaľ ju pravidelne meriate a rozvíjate.

Čo z toho vyplýva pre CISO?

Ak ste test sociálneho inžinierstva ešte nikdy nerobili, rátajte s tým, že útočník dnes uspeje u zhruba 40 % vašich ľudí. Preto overujte identitu nielen cez e-mail, ale aj pri telefonáte. Reset hesla ani MFA nikdy nerobte len na základe hovoru. Pri každej urgentnej požiadavke na platbu alebo zmenu prístupov vyžadujte druhé, nezávislé overenie: spätné zavolanie na evidované číslo alebo potvrdenie iným kanálom. Platí to bez ohľadu na to, koho hlas na druhej strane počujete.

Viete, ako by vaši zamestnanci reagovali na skutočný útok?

Phishing, vishing či podvrhnutá identita dokážu obísť aj pokročilé technické zabezpečenie. Otestujte odolnosť svojich zamestnancov voči sociálnemu inžinierstvu a odhaľte slabé miesta skôr, než ich zneužijú útočníci.