Testy Socjotechniczne

Czym są Testy socjotechniczne?

Testy socjotechniczne to kontrolowane symulacje ataków wykorzystujących czynnik ludzki (phishing, vishing, pretexting, tailgating), mające na celu ocenę świadomości bezpieczeństwa pracowników i skuteczności procedur reagowania.

Atrybut	Wartość
Rodzaje	Phishing, vishing, smishing, physical
Cel	Ocena awareness i procedur
Raport	Statystyki + rekomendacje szkoleniowe
Czas realizacji	2-4 tygodnie
Cena	od 15 000 PLN (stan na 2026)

650 tys. EUR transferu przez BEC - prawdziwa historia

Dyrektor finansowy firmy produkcyjnej otrzymał email od “prezesa” z prośbą o pilny przelew 650 tys. EUR dla kluczowego dostawcy. Email wyglądał autentycznie: podobna domena (company-inc.com zamiast company.com), podpis z logo, ton komunikacji taki jak zwykle.

CFO wykonał przelew. Pieniądze przepadły. Email był sfałszowany - atakujący przez tydzień obserwował komunikację (skompromitowana skrzynka asystentki) i czekał na okazję.

Bez testów socjotechnicznych:

• Pracownicy nie rozpoznają wyrafinowanego phishingu
• Brak procedur weryfikacji nietypowych próśb (telefon zwrotny)
• Nieświadomość technik manipulacji (urgency, authority)
• Fałszywe poczucie bezpieczeństwa (“nas to nie dotyczy”)

Symulujemy realne ataki, mierzymy reakcje, szkolimy

Nie wysyłamy oczywistego phishingu “You won $1M”. Projektujemy scenariusze dopasowane do Twojej branży i kontekstu. Phishing od “HR”, vishing od “IT support”, tailgating jako “kurier”. Tak jak robią to prawdziwi atakujący.

Co dostajesz:

• OSINT reconnaissance (co atakujący wie o Twojej firmie)
• Kampanie phishingowe dostosowane do branży (3-5 scenariuszy)
• Testy vishing (voice phishing przez telefon)
• Physical security testing (próby dostępu do biura)
• Pretexting scenarios (manipulacja przez wymyślone preteksty)
• Metryki: click rate, credential submit rate, time to report
• Identyfikację najbardziej podatnych grup (działy, stanowiska)
• Raport z heat map podatności w organizacji
• Targeted training dla najbardziej podatnych osób
• Warsztaty świadomościowe dla całego zespołu (optional)

Dla kogo?

Ta usługa jest dla Ciebie, jeśli:

• Chcesz zmierzyć realną odporność zespołu na ataki socjotechniczne
• Miałeś incydent phishingu i chcesz zapobiec kolejnym
• Potrzebujesz spełnić wymogi compliance (awareness training)
• Wdrażasz kulturę bezpieczeństwa i chcesz ją zmierzyć

Zakres testów

1. Email Phishing Campaigns

Typy kampanii:

• Spear phishing - targetowane wiadomości do kluczowych osób
• Brand impersonation - podszywanie się pod znane marki
• Internal phishing - email od “IT”, “HR”, “CEO”
• Credential harvesting - fake login pages (Office 365, VPN)
• Malicious attachments - makro-enabled documents, ISO files

Scenariusze przykładowe:

• “IT wymaga zmiany hasła Office 365”
• “HR prosi o aktualizację danych osobowych”
• “CEO pilnie potrzebuje dostępu do dokumentu”
• “Fake faktura od dostawcy z payment link”
• “LinkedIn connection request z malicious PDF”

Metryki:

• Email delivery rate
• Open rate
• Click rate (kliknięcie w link)
• Credential submit rate (wprowadzenie danych)
• Malware execution rate (otwarcie attachmentu)
• Time to report (ile osób zgłosiło do IT/security)

2. Vishing (Voice Phishing)

Scenariusze:

• “IT support” prosi o hasło do rozwiązania problemu
• “Bank” informuje o podejrzanej transakcji
• “Dostawca” prosi o weryfikację payment details
• “CEO” pilnie potrzebuje konkretnej informacji

Co testujemy:

• Czy pracownicy weryfikują tożsamość dzwoniącego
• Czy przekazują wrażliwe informacje przez telefon
• Czy eskalują nietypowe prośby do przełożonego
• Time to detection (czy rozpoznają atak)

3. Physical Social Engineering

Testy dostępu fizycznego:

• Tailgating - wejście za upoważnioną osobą
• Impersonation - podszywanie się (kurier, serwisant, audytor)
• Dumpster diving - przeszukiwanie śmieci (dokumenty, nośniki)
• Badge cloning - próba skopiowania karty dostępu
• USB drop - pozostawienie zainfekowanych pendrive’ów

Co sprawdzamy:

• Czy recepcja weryfikuje tożsamość gości
• Czy pracownicy przepuszczają nieznajomych
• Czy wrażliwe dokumenty są niszczone (shredder)
• Czy znalezione USB są podłączane do komputerów

4. Pretexting

Scenariusze:

• Fałszywy pretext do zdobycia informacji
• Impersonacja przełożonego (fake authority)
• Urgency scenarios (“musimy to zrobić natychmiast”)
• Reciprocity (“pomogłem Ci, teraz Ty pomóż mi”)

5. OSINT (przygotowanie)

Przed testami zbieramy informacje jak prawdziwy atakujący:

• Struktura organizacji (LinkedIn)
• Email patterns (firstname.lastname@)
• Technologie używane (job postings, LinkedIn)
• Informacje o pracownikach (social media)
• Public leaks (haveibeenpwned, breached databases)

Metodyka

Pracujemy zgodnie z uznanymi frameworkami:

• Social Engineering Toolkit (SET)
• Gophish - platforma phishing campaigns
• OSINT Framework - zbieranie informacji
• Custom tools - dla zaawansowanych scenariuszy

Etyka i legalność

• Pełna zgoda zarządu przed testami
• Nie grozimy ani nie straszymy pracowników
• Nie używamy zebranych danych w sposób nieuprawniony
• Po testach - educational debrief, nie “name and shame”

Powiązane pojęcia

Dowiedz się więcej o kluczowych pojęciach związanych z tą usługą:

• BEC
• DoS
• IAST
• ISA
• NDR (Network Detection and Response)
• SOC
• Tor
• VPN