Cieľ lekcie
Cieľom tejto lekcie je naučiť vás rozpoznať sociálne inžinierstvo – teda útok, ktorý nemieri na vašu techniku, ale na vašich ľudí a ich zvyky. Po lekcii budete vedieť aplikovať štvorkrokový postup pôsobnosť → fakty → rozhodnutie → dôkaz, nastaviť vo firme pravidlo spätného volania a princíp štyroch očí pri platbách a budete vedieť, čo robiť v prvých hodinách po incidente. Lekcia je awareness príprava, nie penetračný test, kybernetický audit ani forenzná služba a nenahrádza odborné posúdenie konkrétneho prípadu.
Výklad
Čo je sociálne inžinierstvo
Sociálne inžinierstvo je manipulácia človeka, nie techniky. Útočník neprelamuje firewall – požiada vášho zamestnanca, aby mu dvere otvoril sám. Nepotrebuje hackera, potrebuje vedieť, kto vo vašej firme schvaľuje platby, ako píše konateľ e-maily a kedy býva na dovolenke. Preto tieto útoky fungujú aj vo firmách s dobrým IT: cieľom sú peniaze, prístupy a údaje, a najslabším článkom je zvyk a dôvera.
Položte si kontrolnú otázku: keby dnes vašej fakturantke prišla požiadavka na zmenu čísla účtu dodávateľa, podľa čoho by sa rozhodla? Ak je odpoveď „podľa citu“, nemáte proces – máte riziko.
Ako útočník premýšľa
Útok má scenár a takmer vždy rovnaké tri fázy:
- Prieskum. Obchodný register, vaša webstránka, LinkedIn, fotka z veľtrhu, faktúra, ktorá niekde unikla. Útočník si poskladá mená, role a komunikačný štýl.
- Zámienka. Vyberie si rolu, ktorej prirodzene veríte: konateľ, banka, dodávateľ, IT podpora, exekútor.
- Tlak. „Súrne, dôverné, nikomu to nehovorte, som na rokovaní.“ Skúsený útočník si najprv vypýta drobnosť – napríklad potvrdenie mena osoby, ktorá schvaľuje platby – a veľká požiadavka príde až o pár dní.
Zapamätajte si jednoduchý signál: kedykoľvek niekto kombinuje naliehavosť s utajením a tlačí vás obísť bežný postup, je to červená vlajka.
Typické scenáre v slovenskej firme
- Podvodný e-mail v mene konateľa. Prosba o rýchlu úhradu, kým je šéf na ceste; adresa odosielateľa sa líši v jednom znaku.
- Zmena bankového účtu dodávateľa. Dlhoročný partner „mení banku“ a nové číslo účtu patrí podvodníkovi.
- Falošná IT podpora. Telefonát, ktorý potrebuje vzdialený prístup alebo heslo „kvôli aktualizácii“.
- Hovor z „banky“ a SMS kódy. Volajúci vás poprosí nadiktovať autorizačný kód z SMS. Banka ani jej pracovník takýto kód nikdy nepotrebuje.
Typickým modelovým príkladom z praxe je firma, ktorá takto prišla o desiatky tisíc eur, pretože pracovníčka poverená úhradami konala bez overenia a konateľ bol práve na dovolenke. Nebolo to zlyhanie človeka – bolo to zlyhanie procesu.
Štyri kroky rozhodovania
Tento postup si vaši ľudia majú osvojiť ako reflex:
- Pôsobnosť – patrí táto požiadavka vôbec do mojej kompetencie, alebo ju má schváliť niekto iný?
- Fakty – oddeľte overené informácie od domnienok a pomenujte, čo vám chýba.
- Rozhodnutie – zvoľte procesný krok, nie improvizáciu.
- Dôkaz – stručný záznam, kto čo overil, kedy a kto to schválil.
Riziko ostatných možností je jasné: rozhodnutie bez podkladov, nedodržaná lehota alebo preskočená eskalácia. Vysvetlite ľuďom, že zdržanie o dve hodiny kvôli overeniu nikdy nie je chyba – odoslaná platba sa vracia oveľa ťažšie.
Keď sa to už stalo: incident
Pri incidente rozhoduje rýchlosť. Poradie krokov je: (1) obmedziť dopad – okamžite volať banku a žiadať zastavenie platby, zmeniť heslá, odpojiť kompromitovaný účet; (2) zachovať dôkazy – pôvodné e-maily aj s hlavičkami, logy, screenshoty; nič nemazať a nepreposielať len ako čistý text; (3) eskalovať podľa vopred pripraveného zoznamu (konateľ, IT, banka, polícia); (4) zvážiť oznamovacie povinnosti. Ak unikli osobné údaje, porušenie ochrany osobných údajov sa ohlasuje Úradu na ochranu osobných údajov SR do 72 hodín od okamihu, keď sa prevádzkovateľ o porušení dozvedel, a to vtedy, ak je pravdepodobné, že porušenie povedie k riziku pre práva a slobody fyzických osôb (čl. 33 GDPR). Konkrétne posúdenie si overte so svojím právnikom.
Dodávatelia a privilegované účty
Dva zdroje rizika sa podceňujú najčastejšie. Prvý je dodávateľský reťazec: externé IT, účtovná kancelária, e-shopová agentúra – všetci majú prístupy do vašich systémov, a ak útočník prelomí ich, dostane sa k vám. Druhý sú privilegované účty: administrátorské prístupy a internet banking. Zdieľané heslo v tabuľke znamená, že pri incidente nedokážete povedať, kto čo urobil. Urobte si jednoduchý zoznam, kto má aký prístup, odoberajte ho hneď pri ukončení spolupráce a raz za pol roka zoznam prejdite. Trvá to hodinu.
Praktická situácia
Do vašej firmy príde e-mail od dlhoročného dodávateľa: oznamuje zmenu banky a prikladá faktúru splatnú zajtra. Fakturantka ho pozná, štýl sedí.
- Pôsobnosť: zmena bankového spojenia dodávateľa nie je bežná fakturačná operácia. Patrí ownerovi platobného procesu, nie samostatne fakturantke.
- Fakty vs. predpoklady: viete, že prišiel e-mail z podobnej adresy a že obsahuje nové číslo účtu. Len predpokladáte, že ho písal váš obchodný partner. Chýba vám nezávislé potvrdenie zmeny.
- Rozhodnutie: neplatiť, kým prebehne overenie spätným telefonátom na číslo z pôvodnej zmluvy alebo z overeného kontaktného zoznamu – nikdy nie na číslo uvedené v tomto e-maile.
- Dôkaz: krátky záznam o overení (dátum, čas, s kým sa hovorilo, výsledok), priložený k faktúre, plus schválenie zodpovednej osoby. Ak sa potvrdí podvod, eskalujete na konateľa, banku a Policajný zbor SR.
Poradie je nemenné: najprv overiť, až potom platiť. Nikdy naopak.
Čo zariadiť vo firme
- Owner témy a zastupiteľnosť – vy ako konateľ písomne určíte konkrétneho človeka zodpovedného za pravidlá platieb a overovania a jeho zástupcu na čas dovoleniek. Dôkaz: menovanie alebo záznam v internej smernici.
- Pravidlo spätného volania – pri každej zmene bankového spojenia sa volá na kontakt z overeného zdroja (zmluva, predchádzajúca komunikácia). Dôkaz: záznam o overení pri faktúre.
- Štyri oči pri platbách nad limit – nastavte interný limit (napríklad nad päťtisíc eur) a druhého schvaľovateľa v internet bankingu. Dôkaz: história schválení v bankovej aplikácii.
- SOP alebo checklist na jednu stranu – nie tridsaťstranová smernica, ktorú nikto nečíta. Doplňte dátum ďalšieho review, typicky raz ročne alebo pri zmene procesu.
- Zoznam prístupov a eskalačných kontaktov – kto má aký prístup, kedy sa odoberá, a telefónne čísla na banku, IT, konateľa a políciu na jednom mieste. Revízia raz za pol roka.
Najčastejšie chyby
- Overovanie na telefónne číslo uvedené v podozrivom e-maile – útočník vám ochotne potvrdí vlastný podvod.
- Výnimky pre konateľa, „lebo je to súrne“ – práve tieto výnimky útočník zneužíva najčastejšie.
- Overenie prebehlo, ale nikde o ňom nie je záznam – pri kontrole, poistnej udalosti ani pri rokovaní s bankou nič nepreukážete.
- Firma čaká deň či dva s oznámením banke a stráca šancu peniaze zastaviť.
- Spoliehanie sa len na techniku. Antivírus neposúdi, či je požiadavka na zmenu účtu legitímna.
Zhrnutie
Sociálne inžinierstvo obchádza techniku tým, že zneužíva dôveru, naliehavosť a chýbajúci proces. Vašou obranou nie je nedôverčivosť jednotlivca, ale jasné pravidlo: overenie iným kanálom, druhý schvaľovateľ nad limitom a písomný záznam o tom, kto čo overil. Pri incidente rozhoduje rýchlosť – obmedziť dopad, zachovať dôkazy, eskalovať a zvážiť oznamovacie povinnosti.
Právny základ: Nariadenie (EÚ) 2016/679 (GDPR), čl. 33 – ohlásenie porušenia ochrany osobných údajov dozornému orgánu do 72 hodín od okamihu, keď sa prevádzkovateľ o porušení dozvedel, ak je pravdepodobné, že porušenie povedie k riziku pre práva a slobody fyzických osôb; zákon č. 18/2018 Z. z. o ochrane osobných údajov; zákon č. 513/1991 Zb. Obchodný zákonník – povinnosť konateľa konať s odbornou starostlivosťou; zákon č. 300/2005 Z. z. Trestný zákon (podvod, neoprávnený prístup do počítačového systému); zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, ak sa na vašu firmu vzťahuje. Konkrétne povinnosti, lehoty a ich aplikáciu na váš prípad si overte u svojho právnika, prípadne na Úrade na ochranu osobných údajov SR, Národnom bezpečnostnom úrade (SK-CERT) alebo na Policajnom zbore SR.