Jak przygotować pracowników na atak socjotechniczny przez telefon

Phishing mailowy ludzie być może już rozpoznają. Podejrzany link, dziwny nadawca, błąd w domenie – większość pracowników po odpowiednim szkoleniu potrafi to złapać. Telefon od „działu IT” wciąż działa jak dziesięć lat temu.

W rozmowach z klientami regularnie wraca ten sam wątek: firmy inwestują w filtry antyspamowe i programy uświadamiające dotyczące poczty, a zapominają, że atakujący od dawna mają inne narzędzie, które omija te zabezpieczenia całkowicie. Wystarczy telefon i odpowiednio zbudowana historia.

Jak wygląda typowy atak vishingowy

Vishing (voice phishing) opiera się na tym samym mechanizmie co phishing mailowy: presja czasu, autorytet i pozorna pilność. Różnica polega na kanale. Głos na żywo buduje zaufanie szybciej niż tekst, a ofiara nie ma czasu na spokojną analizę – musi reagować od razu.

Najczęstsze scenariusze, z jakimi się spotykam:

• Podszycie pod dział IT – dzwoniący informuje o rzekomym problemie z kontem lub urządzeniem i prosi o podanie hasła albo zainstalowanie „narzędzia diagnostycznego”
• Podszycie pod przełożonego lub zarząd – presja hierarchii skłania pracownika do pominięcia standardowej procedury
• Fałszywy dostawca lub partner biznesowy – dzwoniący prosi o zmianę danych do przelewu lub potwierdzenie faktury
• Połączenie z fałszywym numerem (spoofing) – wyświetlacz pokazuje numer wewnętrzny firmy, co dodatkowo usypia czujność

Skuteczność tych ataków wynika z tego, że atakujący wcześniej zbiera informacje o strukturze firmy, nazwiskach i relacjach służbowych, często z LinkedIn albo ze strony firmowej. Rozmowa telefoniczna jest tylko ostatnim etapem operacji.

Scenariusze, które warto przećwiczyć z zespołem

Samo uświadomienie pracownikom, że taki atak istnieje, nie wystarczy. Według danych KnowBe4 z 2024 roku bazowy wskaźnik klikalności w symulacjach phishingowych wynosi 34,3%, ale spada do 4,6% po dwunastu miesiącach systematycznego szkolenia. Ten sam mechanizm powtarzalności działa przy vishingu: zespół musi mieć okazję przećwiczyć reakcję w bezpiecznych warunkach, zanim zetknie się z prawdziwym atakiem.

W programie warto uwzględnić:

1. Symulowane połączenie od „działu IT” z prośbą o dane logowania
2. Symulowane połączenie od „przełożonego” z presją na natychmiastowe działanie finansowe
3. Scenariusz z podszytym numerem wewnętrznym
4. Sytuację, w której dzwoniący zna nazwiska i szczegóły organizacyjne, żeby zbudować wiarygodność

Kluczowe jest to, żeby po każdym scenariuszu pracownik dostał informację zwrotną: co zrobił dobrze, gdzie zawahał się za późno i jak wyglądałaby prawidłowa reakcja.

Prosta procedura weryfikacji tożsamości dzwoniącego

Najskuteczniejszą obroną nie jest podejrzliwość wobec każdego telefonu, tylko jeden nawyk: oddzwonić na znany, wcześniej zweryfikowany numer, zanim poda się jakiekolwiek dane albo wykona żądaną czynność.

Prosta procedura, którą wdrażam u klientów:

• Żadna prośba o hasło, kod MFA czy dane logowania przez telefon nie jest realizowana od razu, niezależnie od tego, kto rzekomo dzwoni
• Każda prośba o zmianę danych do przelewu wymaga potwierdzenia drugim kanałem (np. e-mail na znany adres lub wiadomość na firmowym komunikatorze)
• Pracownik ma prawo zakończyć rozmowę i oddzwonić na numer z firmowej bazy kontaktów, bez obawy o niegrzeczność wobec „przełożonego”
• Dział IT nigdy nie prosi o hasło przez telefon – to zasada, która powinna być powtarzana przy każdym szkoleniu

Ta procedura kosztuje firmę kilka sekund wahania. Atak, który się powiedzie, kosztuje znacznie więcej. IBM w raporcie Cost of a Data Breach 2024 wskazuje, że średni czas wykrycia i powstrzymania naruszenia wynosi globalnie 258 dni. Im dłużej atakujący pozostaje niewykryty po pierwszym udanym kontakcie, tym wyższe konsekwencje finansowe i operacyjne.

Warto też pamiętać o kontekście: według CISA ponad 90% skutecznych cyberataków zaczyna się od phishingu, choć ta liczba jest szeroko cytowana i kontrastuje z bardziej szczegółową metodologią Verizon DBIR, gdzie sam phishing jako bezpośrednia przyczyna naruszenia to około 16%, a cały czynnik ludzki łącznie (phishing, skradzione dane, socjotechnika) sięga 62%. Niezależnie od tego, którą metodologię się przyjmie, wniosek jest ten sam: człowiek przy telefonie lub skrzynce mailowej pozostaje najczęstszym punktem wejścia.