Socjotechnika a cyberbezpieczeństwo

Michał Nowakowski · 9 listopada 2026

Miłość. Miłość 🥰 potrafi zdziałać wiele dobrego, ale może być też przyczyną problemów. Szczególnie gdy "miłość" nabiera "szpiegowskiego" charakteru. I może dotyczyć każdego i każdej z nas.

Bez nazwisk. Medialne doniesienia o romansie lidera dużej spółki technologicznej i podejrzeniu operacji szpiegowskiej. Dla nas to jednak dobry punkt wyjścia do rozmowy o zaufaniu.

Sytuacja niezbyt kolorowa, prawda? No, ale co to ma wspólnego z nami? Otóż całkiem sporo. Atakujący wykorzystują zaufanie, ambicję, strach i presję czasu, żeby dostać się do naszych danych lub pieniędzy.

Socjotechnika to sposób na manipulowanie człowiekiem i budowanie zaufania, które w rezultacie może doprowadzić np. do przejęcia naszego konta z uprawnieniami do systemów czy kradzieży tożsamości. Możecie powiedzieć, że Was to nie dotyczy, jestem wierny/a.

Jasne. Ale do tego nie potrzebujemy romansu z pierwszych stron gazet. Wystarczy, że ktoś zakocha się w wizji nowej pracy czy projekcie “marzeń”.

Tego typu ataki spotykamy także na LinkedIn czy Whatsapp. Nagle odzywa się do nas rekruter z naprawdę dopracowaną ofertą, która przebija wszystko. Sam dostałem "superofertę" na stanowisko w zarządzie z naprawdę dużą kasą.

Zaczyna się niewinnie. Jedna lub więcej rozmów, które idą jak po maśle. I przychodzi dzień, kiedy mamy rozwiązać zadanie rekrutacyjne albo dostajemy na ofertę do zaakceptowania (link, PDF). Na tym etapie możemy być już urobieni. Jeżeli nasi "rekruterzy" dobrze wykonali swoją robotę, możemy dać im dostęp, uruchomić złośliwy plik lub w inny sposób pomóc w ataku.

Problem z socjotechniką jest taki, że nie ma na nią jednego niezawodnego zabezpieczenia. Możemy i powinniśmy szkolić, ale nie możemy zakładać, że po szkoleniu człowiek zawsze rozpozna manipulację. Łatwiej manipulować człowiekiem, jeżeli się trochę o nim wie. Trudno oczekiwać, żeby ludzie zawsze kierowali się rozsądkiem i "myśleniem wolnym".

Dlatego przydaje się podejście zero trust, gdzie dostęp weryfikujemy i ograniczamy do tego, co rzeczywiście potrzebne. Do tego uwierzytelnianie odporne na phishing i bezpieczne odzyskiwanie kont. Projektujemy zabezpieczenia ze świadomością, że ktoś z nas może ulec miłości 😍 lub innej namiętności.

No i naczelna zasada - działanie “w emocjach” nie może wpływać na to jak zachowujemy się i jak stosujemy to do czego się zobowiązaliśmy polityką. Ani sympatyczny rekruter, ani „prezes” z pilnym poleceniem nie powinni skłaniać nas do pomijania weryfikacji lub obchodzenia zabezpieczeń w inny sposób...

Nietypową prośbę potwierdzamy niezależnym kanałem, korzystając ze znanych wcześniej danych kontaktowych, a przy wątpliwościach od razu lecimy do “bezpiecznika” lub IT. A zadania rekrutacyjnego nie uruchamiamy na służbowym sprzęcie z dostępem do firmowych zasobów. Prywatnie? Tu też byłbym ostrożny.

No i ćwiczenia. Takie, które pokażą nie tylko sam mechanizm, ale także w jaki sposób cały zespół (organizacja) powinien reagować, gdy zdarzy się coś złego. Bez odpowiedniego planu, który przećwiczyliśmy, może być ciężko. No i nie można zapominać o ważnej zasadzie "no shamingu". Każdemu może zdarzyć się chwila słabości*. Ważne, aby wyciągać z tego wnioski.

Kliknąłeś? Podałaś dane? Zgłoś od razu. Nie musisz najpierw udowodnić, że doszło do ataku. Takie założenie już przyjęliśmy. Organizacja powinna umieć przyjąć takie zgłoszenie bez publicznego rozliczania człowieka z chwili słabości. A potem dokładnie przeanalizować co mogło doprowadzić do takiego zdarzenia. Oby nie incydentu.

Część treści serwisu Legal Architect powstała przy wsparciu AI, również na etapie opracowania pojedynczych fragmentów. Informacja ta nie oznacza, że każdy materiał lub cytowane źródło zostały wygenerowane przez AI.