Zvana “IT atbalsts”: “Konstatējām jūsu kontā problēmu. Nolasiet, lūdzu, savu paroli, lai to novēršam.”
Kā tu rīkotos?
Nekad nenolasi paroli pa telefonu. Īsts IT atbalsts to neprasa – pārbaudi, piezvanot pa zināmu numuru.
Cilvēka faktors
Sociālā inženierija – manipulācija ar cilvēku uzticēšanos
Uzbrucēji izmanto uzticēšanos, steigu un vēlmi palīdzēt, lai izvilinātu datus, naudu vai piekļuvi. Iepazīsti viņu paņēmienus un pārbaudi savas zināšanas reālistiskos mācību scenārijos.
- Balstīts Verizon DBIR un Latvijas banku datos
- Reālistiski mācību piemēri
- Bezmaksas tests
Kā uzbrucēji izmanto uzticēšanos
Kas ir sociālā inženierija
Sociālā inženierija ir manipulācijas paņēmienu kopums – uzbrucējs ar viltu cenšas panākt sev izdevīgu cilvēka rīcību.
Sociālajā inženierijā uzbrucējs manipulē ar cilvēku, izmantojot uzticēšanos autoritātei, steigu, bailes vai vēlmi palīdzēt. Mērķis var būt paroles, dati, nauda vai piekļuve. Šos paņēmienus mēdz apvienot ar tehniskiem uzbrukumiem.
Tas ir plašs jēdziens, kas ietver pikšķerēšanu, krāpnieciskus zvanus, pretekstēšanu, ēsmošanu un piekļuves izvilināšanu klātienē. Cilvēka kļūda, nozagti piekļuves dati un tehniski trūkumi vienā incidentā var pārklāties.
Labā ziņa: šīs metodes balstās uz dažiem paredzamiem psiholoģiskiem trikiem. To pārzināšana palīdz pamanīt manipulāciju, bet būtiskus pieprasījumus joprojām vajag pārbaudīt.
Sešas psiholoģiskās sviras
Kāpēc tā darbojas
Sociālā inženierija izmanto emocijas, kas apsteidz kritisko domāšanu. Šīs ir sviras, ko uzbrucēji spiež.
-
Autoritāte
Izliekas par priekšnieku, banku, policiju vai IT atbalstu – cilvēki paklausa autoritātei.
-
Steiga un spiediens
“Rīkojies tagad, citādi…” – laika spiediens neļauj apdomāties un pārbaudīt.
-
Bailes un draudi
“Konts bloķēts”, “uzsākta lieta” – bailes liek rīkoties impulsīvi.
-
Uzticēšanās un pazīstamība
Zināms vārds, logotips vai kolēģa vārds rada nepamatotu uzticību.
-
Pienākuma sajūta un sociālās normas
“Es tev palīdzēju, tagad tu…” vai “visi kolēģi jau apstiprināja” – spiediens atbildēt pretī vai darīt to, ko dara pārējie.
-
Zinātkāre
Atrasts USB, “tikai tev” domāts fails vai solīta balva – vēlme paskatīties apsteidz jautājumu, no kurienes tas radies.
Kā izpaužas sociālā inženierija
Metodes
Vienas un tās pašas sviras darbojas dažādos kanālos – e-pastā, telefonā un pat klātienē.
-
Pikšķerēšana (phishing)
Viltus e-pasts vai lapa, kas izliekas par uzticamu, lai izvilinātu datus.
Piemērs: VID “atmaksa” vai Omniva “muitas nodoklis” e-pastā.
-
Vishing (balss zvani)
Krāpniecisks zvans, kurā uzbrucējs uzdodas par banku vai iestādi.
Piemērs: “Bankas drošības dienests” prasa apstiprināt negaidītu Smart-ID pieprasījumu; redzamais numurs var būt viltots.
-
Smishing (īsziņas)
Pikšķerēšana ar SMS un viltus saiti.
Piemērs: “Sūtījums aizturēts, samaksā 1,45 €” ar īstajam līdzīgu domēna nosaukumu.
-
Pretekstēšana (pretexting)
Uzbrucējs izdomā ticamu lomu un scenāriju, lai izvilinātu informāciju.
Piemērs: Zvana “IT atbalsts” un lūdz paroli “sistēmas atjaunināšanai”.
-
Ēsmošana (baiting)
Vilinoša ēsma provocē upuri rīkoties.
Piemērs: Autostāvvietā “pamests” USB ar uzrakstu “Algas 2026”; pievienots datoram, tas var apdraudēt ierīci.
-
Quid pro quo
“Pakalpojums pretī pakalpojumam” – palīdzība apmaiņā pret piekļuvi vai datiem.
Piemērs: “Bezmaksas IT palīdzība” pa tālruni pretī attālinātai piekļuvei.
-
Tailgating (fiziskā piekļuve)
Iekļūšana slēgtā telpā, sekojot darbiniekam pa durvīm.
Piemērs: Persona ar kastēm lūdz “pieturēt durvis” pie biroja ieejas.
-
BEC / vadītāja krāpniecība
Izliekas par vadītāju vai piegādātāju, lai novirzītu maksājumu.
Piemērs: E-pasts “no direktora” grāmatvedei: steidzams pārskaitījums uz jaunu kontu.
-
Dziļviltojums (deepfake)
Mākslīgā intelekta ģenerēta balss vai video, kas atdarina reālu personu.
Piemērs: Videozvans ar “finanšu direktoru”, kura seja un balss ir mākslīgi atdarināta.
Manipulācijas taktikas
Bezmaksas tests
Tev tiks parādītas reālistiskas situācijas. Izvēlies drošāko rīcību un uzzini, kura psiholoģiskā svira tiek izmantota.
Interaktīvais režīms nav pieejams. Zemāk var lasīt visu pamata saturu. Atbildes netiek vērtētas un rezultāts netiek aprēķināts.
Telefona zvans
Zvana “IT atbalsts”: “Konstatējām jūsu kontā problēmu. Nolasiet, lūdzu, savu paroli, lai to novēršam.”
Drošākā rīcība: Nolieku klausuli un pats piezvanu IT pa oficiālo numuru
Nekad nenolasi paroli pa telefonu. Īsts IT atbalsts to neprasa – pārbaudi, piezvanot pa zināmu numuru.
Autoritāte · Vishing / pretekstēšana
Fiziska situācija
Biroja stāvvietā atrodi USB ar uzrakstu “Konfidenciāli – algas 2026”.
Drošākā rīcība: Neiespraužu un nododu drošības komandai
Zinātkāre ir ēsma. Nezināmu USB nedrīkst spraust nevienā ierīcē – nodod to drošības komandai.
Zinātkāre · Baiting
Klātiene / reģistratūra
Cilvēks ar paku un pilnām rokām lūdz “tikai pieturēt durvis” uz slēgto biroja zonu.
Drošākā rīcība: Palūdzu uzrādīt caurlaidi vai pavadu līdz reģistratūrai
Pieklājība nedrīkst apiet piekļuves kontroli. Pavadi apmeklētāju vai palūdz caurlaidi.
Sociālās normas · Tailgating
E-pasts
E-pasts it kā no direktora: “Esmu sanāksmē, steidzami pārskaiti 8 400 € šim piegādātājam. Neatbildi citiem.”
Drošākā rīcība: Piezvanu direktoram pa zināmu numuru, lai apstiprinātu
Slepenība un steiga ir brīdinājums. Pārbaudi maksājuma pieprasījumu pa neatkarīgu, zināmu kanālu – nevis atbildot uz to pašu e-pastu.
Autoritāte un steiga · BEC / vadītāja krāpniecība
Videozvans
Videozvanā “finanšu direktors” un “kolēģi” apstiprina steidzamu, slepenu pārskaitījumu. Viss izskatās un skan pareizi.
Drošākā rīcība: Apturu un pieprasu apstiprinājumu pa neatkarīgu kanālu
Dziļviltojums var atdarināt seju un balsi. Ar attēlu un balsi vien nepietiek, lai pārbaudītu maksājuma pieprasījumu – apstiprini to pa neatkarīgu, iepriekš zināmu kanālu.
Uzticēšanās un pazīstamība · Dziļviltojums
Telefona zvans
Zvana “banka” ar “drošības aptauju” un apsola bonusu pretī dažiem “verifikācijas” datiem.
Drošākā rīcība: Pārtraucu zvanu un pats sazinos ar banku
Solīta balva nav iemesls izpaust paroles, PIN kodus vai citus piekļuves datus. Pārbaudi piedāvājumu bankas oficiālajā saziņas kanālā. Zvanītāja nosaukums un redzamais numurs nepierāda viņa identitāti.
Pienākuma sajūta · Quid pro quo
Biroja stāvvietā atrodi USB ar uzrakstu “Konfidenciāli – algas 2026”.
Kā tu rīkotos?
Zinātkāre ir ēsma. Nezināmu USB nedrīkst spraust nevienā ierīcē – nodod to drošības komandai.
Cilvēks ar paku un pilnām rokām lūdz “tikai pieturēt durvis” uz slēgto biroja zonu.
Kā tu rīkotos?
Pieklājība nedrīkst apiet piekļuves kontroli. Pavadi apmeklētāju vai palūdz caurlaidi.
E-pasts it kā no direktora: “Esmu sanāksmē, steidzami pārskaiti 8 400 € šim piegādātājam. Neatbildi citiem.”
Kā tu rīkotos?
Slepenība un steiga ir brīdinājums. Pārbaudi maksājuma pieprasījumu pa neatkarīgu, zināmu kanālu – nevis atbildot uz to pašu e-pastu.
Videozvanā “finanšu direktors” un “kolēģi” apstiprina steidzamu, slepenu pārskaitījumu. Viss izskatās un skan pareizi.
Kā tu rīkotos?
Dziļviltojums var atdarināt seju un balsi. Ar attēlu un balsi vien nepietiek, lai pārbaudītu maksājuma pieprasījumu – apstiprini to pa neatkarīgu, iepriekš zināmu kanālu.
Zvana “banka” ar “drošības aptauju” un apsola bonusu pretī dažiem “verifikācijas” datiem.
Kā tu rīkotos?
Solīta balva nav iemesls izpaust paroles, PIN kodus vai citus piekļuves datus. Pārbaudi piedāvājumu bankas oficiālajā saziņas kanālā. Zvanītāja nosaukums un redzamais numurs nepierāda viņa identitāti.
Pārbaudi visu komandu, ne tikai sevi
Tests rāda, kā rīkojies tu. OffSeq apmācība un kontrolēti scenāriji parāda, kā rīkojas kolēģi. Testa atbildes pieprasījumam netiek pievienotas.
Paldies, pieprasījums saņemts.
Atbildēsim uz norādīto e-pasta adresi.
Pieprasījumu neizdevās nosūtīt. Mēģini vēlreiz vai raksti uz support@offseq.com.
Manipulācijas un krāpniecības ietekme
Draudi skaitļos
Pētījumi raksturo cilvēka faktora nozīmi un krāpniecības zaudējumus. Rādītāju tvērums un pārskata periods atšķiras.
Kiberdrošības instruktāža un praktiska apmācība
Uzņēmumiem
Ja uzņēmums ietilpst NIS2 tvērumā, darbinieku apmācība atpazīt kiberdraudus ir juridisks pienākums.
Subjekts organizē tā nodarbinātajiem apmācību kiberdrošības jautājumos, izvēloties tādu apmācības veidu un saturu, kas atbilst viņu profesionālajai sagatavotībai un subjekta darbības specifikai. Apmācību kopums ietver kārtējās kiberdrošības instruktāžas – vismaz reizi kalendāra gadā.
-
Instruktāža vismaz reizi gadā
MK noteikumu Nr. 397 76.1.2. apakšpunkts prasa kārtējo kiberdrošības instruktāžu vismaz reizi kalendāra gadā. Sociālās inženierijas scenārijus apmācībā ir vērts izvēlēties atbilstoši darbinieku lomām un riskiem.
-
Apmācības un tehniskā aizsardzība
Darbiniekiem vajag skaidru rīcību un ērtu ziņošanas kanālu. Piekļuves kontrole un tehniskie aizsardzības pasākumi papildina apmācības.
-
Skaidras procedūras
Maksājumu pārbaude pa neatkarīgu kanālu un apmeklētāju piekļuves kontrole mazina krāpniecības un nepamatotas iekļūšanas risku.
-
Testēšana palīdz pamanīt trūkumus
Kontrolēta sociālās inženierijas testēšana atklāj, kur ir vājākie posmi – pirms tos atrod īsts uzbrucējs.
Padziļini zināšanas
Ceļveži
Praktiski ceļveži par konkrētām sociālās inženierijas metodēm un aizsardzību.
-
Kas ir pretekstēšana (pretexting) un kā to atpazīt
Uzbrucējs izdomā ticamu lomu, lai izvilinātu informāciju vai piekļuvi. Kā atpazīt un neuzķerties.
Lasīt ceļvedi -
CEO krāpniecība un BEC: kā aizsargāt uzņēmuma maksājumus
Uzbrucējs uzdodas par vadītāju vai piegādātāju, lai novirzītu uzņēmuma maksājumu uz savu kontu. Kā to atpazīt un novērst.
Lasīt ceļvedi -
Deepfake krāpniecība: kad balsij un video vairs nevar ticēt
Mākslīgais intelekts ļauj atdarināt cilvēka seju un balsi. Kā pārbaudīt pieprasījumu un aizsargāt maksājumus, nepaļaujoties tikai uz izskatu un balsi.
Lasīt ceļvedi
Īsas, skaidras atbildes
Biežāk uzdotie jautājumi
Kas ir sociālā inženierija?
Manipulācijas paņēmienu kopums, ar kuru uzbrucējs cenšas izvilināt datus, naudu, piekļuvi vai panākt citu sev izdevīgu rīcību. To var apvienot ar tehniskiem uzbrukumiem.
Kāda atšķirība starp sociālo inženieriju un pikšķerēšanu?
Pikšķerēšana ir viena sociālās inženierijas metode (parasti e-pastā vai SMS). Sociālā inženierija ir plašais jēdziens, kas ietver arī zvanus, pretekstēšanu, ēsmošanu un fizisku piekļuvi.
Kas ir pretekstēšana (pretexting)?
Uzbrucējs izdomā ticamu scenāriju un lomu (piemēram, “IT atbalsts”), lai izvilinātu informāciju vai piekļuvi.
Kas ir baiting (ēsmošana)?
Uzbrukums ar vilinošu ēsmu – atstāts USB, “bezmaksas” fails vai balva –, kas pamudina upuri rīkoties.
Vai deepfake ir sociālā inženierija?
Dziļviltojums var būt sociālās inženierijas rīks, ja mākslīgi atdarinātu balsi vai video izmanto, lai izliktos par uzticamu personu un izvilinātu rīcību. Ne katrs dziļviltojums ir krāpniecība.
Kas ir BEC jeb vadītāja krāpniecība?
Uzbrucējs izliekas par vadītāju vai piegādātāju un ar viltus e-pastu novirza uzņēmuma maksājumu uz savu kontu. Latvijā vidējā no uzņēmuma izkrāptā summa ir ap 16 000 € (visu veidu krāpniecība četru lielāko banku klientu vidū).
Kā atpazīt sociālās inženierijas uzbrukumu?
Nepieprasīta saziņa + mākslīga steiga + neparasta prasība (dati, nauda vai piekļuve) = apstājies un pārbaudi pa oficiālu kanālu.
Kā pasargāt uzņēmumu?
Regulāra darbinieku apmācība, skaidras maksājumu apstiprināšanas procedūras un kontrolēta sociālās inženierijas testēšana, kas atklāj vājākos posmus.
Kur ziņot par krāpniecību Latvijā?
CERT.LV: cert@cert.lv, diennakts tālrunis 67085888; krāpniecisku īsziņu pārsūti uz +371 23230444.
Pastāsti, ko vēlies pārbaudīt
Norādi, kādi kanāli jāpārbauda, cik darbinieku iesaistīt un vai jau ir bijis incidents. OffSeq atbildēs ar ieteikto pieeju un darba apjomu.
Paldies, pieprasījums saņemts.
Atbildēsim uz norādīto e-pasta adresi.
Pieprasījumu neizdevās nosūtīt. Mēģini vēlreiz vai raksti uz support@offseq.com.