Un atacator poate încerca să convingă o persoană să ocolească o regulă chiar și într-o companie cu protecții tehnice. Analizează cum este organizată munca și cum se verifică cererile, fără să reduci securitatea la vina angajatului.
Cum funcționează, în practică
Ingineria socială înseamnă manipularea unei persoane pentru a lua o decizie care compromite securitatea, nu hacking în sensul clasic. Phishing-ul este forma cea mai cunoscută, dar tehnicile merg mult mai departe: un apel telefonic de la cineva care pretinde a fi din departamentul IT și cere o parolă "pentru verificare", un e-mail aparent de la CEO care cere un transfer urgent, sau o persoană care se prezintă fizic la birou pretinzând a fi tehnician de mentenanță.
De ce funcționează atât de bine
O solicitare urgentă, aparent venită de la conducere, poate încuraja o decizie grăbită. Riscul depinde de context și proceduri, nu doar de dimensiunea companiei sau vechimea angajatului.
Semnele care ar trebui să declanșeze suspiciune
O solicitare neobișnuită de urgență, mai ales legată de bani sau date sensibile. O cerere de a ocoli o procedură standard "doar de data asta". Un contact care insistă să evite canalele oficiale de verificare (telefon în loc de e-mail, sau invers).
Protecții care se completează
Folosește exerciții periodice, verificarea cererilor sensibile prin contacte cunoscute și o cale rapidă de raportare. Completează-le cu MFA rezistent la phishing, acces minim și aprobări separate pentru plăți. CISA recomandă metode rezistente la phishing; instruirea singură nu poate opri fiecare tentativă.
Include procesele de aprobare și raportare în domeniul evaluării de securitate, dacă acestea sunt relevante. Stabilește separat regulile și autorizarea oricărei simulări.