Co všechno vám mohu jako inteligentní hacker udělat?

Neprolomím zámek donucením stroje — použiji věci, které si nosíte s sebou: zvyk, spěch, důvěru v autoritu. Můžu zkusit navodit iluzi naléhavosti, využít chybějících kontrolních procesů, nebo se spolehnout na to, že někdo „jen na chvíli“ obětuje bezpečnost kvůli správě úkolu. Cílem není technika jako taková, ale vytvoření situace, ve které oběť sama udělá krok, který útočník potřebuje.

Příběh Petra – jeden z mých úlovků

Můj cíl? Účetní v jedné firmě. Říkejme mu Petr.

Než jsem zaútočil, udělal jsem si průzkum: prošel jsem jeho sociální sítě, web firmy a veřejné prezentace. Zjistil jsem, kdy mají uzávěrky, jaký používají software a jména kolegů z IT — vše, co pomáhá vypadat důvěryhodně.

Poslal jsem Petrovi e-mail, který vypadal jako interní zpráva z IT: text, logo, styl — vše věrohodné. Žádal ověření přihlášení kvůli migraci dat. Petr spěchal (věděl jsem, že má měsíční uzávěrku), klikl na odkaz a zadal přihlašovací údaje. Měl jsem je.

Jenže jsem narazil na dvoufaktorové ověření. To většinu amatérů zastaví. Ale mě ne. Vzal jsem telefon, zavolal Petrovi a představil se jako pracovník firemního IT. Zmínil jsem pár detailů, které jsem si předtím zjistil, a hned jsem působil důvěryhodně. Řekl sem mu, že mu za chvíli přijde žádost na mobil a že ji musí potvrdit, jinak migrace neproběhne. A Petr? Bez váhání ji odklepl.

Bylo to snadné. Petr mi věřil, protože jsem mu dal dostatek polopravd a zasypal ho technickými detaily, kterým sám nerozuměl. Navíc jsem věděl, že má uzávěrku, takže neměl čas dlouze ověřovat. A tak mi potvrdil přístup.

Byl jsem uvnitř. Upravil jsem platební instrukce — o pár dní později odešly z účtu peníze, na můj účet. Nepotřeboval jsem malware, stačil spěch, rutinní postupy a chybějící kontroly.

Výsledek? Petr byl zdrcený, vedení hledalo (a našlo) viníka – Petra. Já? Připsal jsem si další úlovek.

hackerské doupě

Co přesně jsem Petrovi udělal

Využil jsem to, co mi nabídl kontext — naléhavost úkolu, zmatený pracovní den a existující mezery v procesech. Nepotřeboval jsem prolomení serveru; stačilo, že někdo vypnul kontrolní smyčky a věřil mi. Cílil jsem na rutinu na pracovišti a utvrdil v tom druhou stranu během komunikace, která seděla do daného kontextu. Když lidé vnímají druhý kanál (e-mail + telefon) jako potvrzení, přirozeně snižují svou ostražitost.

🎯Cíl: účetní „Petr" — měl uzávěrku a byl pod tlakem

🔍Fáze 0 (průzkum / sociální inženýrství): analýza sociálních sítí, webu firmy, veřejných prezentací; zjištěné termíny uzávěrky, jména IT kolegů, používaný software.

📧Fáze 1: falešný e-mail „od IT" → získání přihlašovacích údajů (phishing).

📞Fáze 2: telefonát „IT" + interní detaily z průzkumu → potvrzení 2FA.

💥Důsledek: upravené platební instrukce → z účtu odešly peníze. Pouhé sociální inženýrství.

SOCIÁLNÍ INŽENÝRSTVÍ – prevence a reakce

Sociální inženýrství je primárně psychologický útok využívající: autoritu (věřím šéfovi), naléhavost (jednat teď), reciprocitu (vrátit laskavost), konzistenci (chovat se v souladu s předchozími kroky) a nedostatečná ověření. Jde o zneužití chování.

Prevence (konkrétní, bezpečné kroky)

  1. Standardizované ověření: U plateb a změn citlivých údajů vyžadujte více kanálů ověření a jasné schvalovací kroky.
  2. Minimální oprávnění: Uživatelé mají přístupy pouze k tomu, co nezbytně potřebují.
  3. Simulované cvičení: Pravidelné testy (bez postihu) zvyšují ostražitost — školení nejsou pro trest, ale pro zvyknutí.
  4. Jasné eskalace: Pokud se objeví naléhavé požadavky, musí existovat definovaný způsob, jak je ověřit mimo standardní kanály.
  5. Podpora hlášení: Lidé musí mít jistotu, že nahlášení chyby nebude automaticky vést k trestu; to zvyšuje pravděpodobnost, že se incidenty odhalí brzy.
  6. Technické bariéry: 2FA na všech kritických systémech, monitoring neobvyklých přihlášení, logování a audit transakcí.

Reakce při podezření (stručně)

  • Izolujte zasažené účty a zařízení.
  • Zablokujte nebo pozastavte probíhající platby a změny.
  • Aktivujte interní incident response a informujte relevantní oddělení (právo, finance, vedení).
  • Shromážděte důkazy (e-mail, časová razítka, logy) pro vyšetřování.
  • Po incidentu proveďte retrospektivu a aktualizujte procesy.

Příběh Petra není o tom, že by byl hloupý — stalo se to v momentu, kdy byl pod tlakem a rutinně plnil úkol. To se může stát komukoli. Nejlepší obrana je kombinace jasných procesů, technických bariér a kultury, která podporuje ostražitost a hlášení. Kurz Digitální sebeobrana věnuje kapitolu sociálnímu inženýrství právě proto, aby lidé pochopili, jak vzniká důvěra, jak se zpochybňovat požadavky a jak chránit sebe i firmu.

Chraňte sebe i svou firmu. Přihlaste se do kurzu DIGITÁLNÍ SEBEOBRANA a naučte se rozpoznat útoky sociálního inženýrství dřív, než bude pozdě.