Social engineering (inżynieria społeczna) to atak, w którym celem nie jest podatność w kodzie, tylko podatność w człowieku. Zamiast łamać hasło brute-force’em, atakujący przekonuje Cię, żebyś sam je podał — podszywając się pod kogoś zaufanego, wywołując presję czasu, strach albo zwykłą chęć pomocy. Krótko: hakuje się głowę, nie serwer.
Działa, bo jest tańsze i skuteczniejsze niż atak techniczny. Możesz mieć MFA, firewalla i świeże patche, ale jeśli ktoś zadzwoni do helpdesku, powie „cześć, tu Marek z działu IT, resetuję Ci hasło” i poda kilka prawdziwych szczegółów — bariera techniczna nic nie da. Mechanizm zawsze opiera się na tych samych dźwigniach psychologicznych: autorytet (udaje szefa lub admina), pilność („masz 10 minut, bo konto zostanie zablokowane”), zaufanie (zna Twoje imię, projekt, nazwę zespołu) i odwzajemnienie (najpierw „pomaga”, potem prosi o przysługę).
Jak to wygląda w praktyce
Najczęstsze odmiany to phishing (masowe maile z linkiem do podrobionego logowania), spear phishing (celowany w konkretną osobę), pretexting (wymyślony scenariusz, np. „audytor”), vishing (przez telefon) i baiting (podrzucony pendrive z napisem „Wypłaty 2026″).
Konkretny przykład: pentesterzy używają narzędzia gophish do kontrolowanych kampanii phishingowych w firmie. Stawiasz serwer, klonujesz stronę logowania (np. wewnętrznego Office 365), wysyłasz mail „Twoje hasło wygasa — zaloguj się tutaj” i mierzysz, ilu pracowników kliknęło i ilu wpisało dane. Do generowania samych podstawionych stron i payloadów bywa też setoolkit (Social-Engineer Toolkit) w Kali Linux. Efekt nie jest po to, żeby kogoś przyłapać — tylko żeby pokazać zarządowi twardą liczbę i puścić realny trening świadomości.
Na co uważać
Najczęstszy mit: „mnie się to nie zdarzy, bo jestem techniczny”. Inżynierowie i admini są częstym celem właśnie dlatego, że mają wysokie uprawnienia, a wiarę we własną odporność łatwo wykorzystać. Drugi błąd to traktowanie tego jako wyłącznie problemu e-maila — atak idzie też przez SMS (smishing), LinkedIn, telefon, a nawet osobiście. I uwaga: brak literówek i polskie znaki już niczego nie gwarantują — modele językowe robią dziś bezbłędne, spersonalizowane wiadomości.
Złota zasada: weryfikuj kanałem niezależnym. Dostałeś „pilną” prośbę o przelew albo dane? Zadzwoń pod znany numer, nie oddzwaniaj na ten z maila.
Pojęcia powiązane: phishing, spear phishing, pretexting, vishing, smishing, baiting, OSINT, BEC (Business Email Compromise), MFA, security awareness.