Socjotechnika: co to jest i jak rozpoznać atak na pracownika

Socjotechnika (inżynieria społeczna) to manipulowanie człowiekiem tak, żeby sam przekazał poufne informacje, wpuścił obcą osobę albo wykonał działanie, które szkodzi jego firmie, na przykład przelew czy instalację programu. Atakujący nie łamie zabezpieczeń technicznych, tylko wykorzystuje zaufanie, pośpiech i chęć pomocy. Poniżej znajdziesz najczęstsze techniki socjotechniczne z przykładami z biura, sygnały ostrzegawcze i ćwiczenia, które przygotują zespół w ramach szkolenia z cyberbezpieczeństwa dla pracowników.

Co to jest socjotechnika

Amerykański NIST definiuje socjotechnikę jako oszukanie człowieka w celu ujawnienia poufnych informacji, uzyskania nieuprawnionego dostępu lub popełnienia oszustwa. Agencja CISA dodaje, że atakujący używa przy tym umiejętności społecznych, żeby zdobyć lub naruszyć informacje o organizacji i jej systemach. W kontekście bezpieczeństwa informacji socjotechnika to więc atak na najsłabiej chroniony element: człowieka, który ma dostęp do danych, pieniędzy i budynku.

Pojęcia „socjotechnika” i „inżynieria społeczna” w praktyce znaczą to samo. Atak może przyjść mailem, SMS-em, telefonem, przez komunikator, ale też osobiście: przy drzwiach do biura, przy recepcji albo przy kontenerze na makulaturę.

CERT Polska zarejestrował w 2025 roku 260 783 incydenty, z czego 253 238, czyli 97%, to oszustwa komputerowe. Najczęściej chodziło o wyłudzanie loginów i haseł, a więc o klasyczny atak socjotechniczny. W USA FBI odnotowało w 2025 roku 24 768 zgłoszeń oszustw typu BEC (podszywanie się pod prezesa lub dostawcę, żeby przekierować przelew) ze stratami przekraczającymi 3 mld dolarów.

62%

naruszeń danych z udziałem czynnika ludzkiego

Verizon, DBIR 2026

97%

incydentów zarejestrowanych przez CERT Polska w 2025 r. to oszustwa komputerowe

CERT Polska, Raport roczny 2025

3,05 mld USD

zgłoszonych strat z oszustw BEC w USA w 2025 r.

FBI IC3, Internet Crime Report 2025

Dlaczego ataki socjotechniczne działają

Socjotechnika nie wymaga naiwnych ofiar. Działa, bo wykorzystuje skróty myślowe, z których wszyscy korzystamy na co dzień, żeby szybko podejmować decyzje. Psycholog Robert Cialdini opisał w książce „Wywieranie wpływu na ludzi” zasady, które w rękach oszusta stają się narzędziem ataku:

• Autorytet: prośba „od prezesa”, „z ministerstwa” czy „z działu IT” rzadziej budzi sprzeciw. Pracownik nie chce podważać polecenia przełożonego.
• Niedobór i presja czasu: „konto zostanie zablokowane za godzinę”, „przelew musi wyjść przed 15:00”. Pośpiech wyłącza dokładne sprawdzanie.
• Sympatia: łatwiej pomóc komuś miłemu, kto zna nasze imię, wspomina wspólnych znajomych albo chwali naszą pracę.
• Wzajemność: kto coś od nas dostał, choćby drobną pomoc, oczekuje rewanżu. Na tym opiera się technika quid pro quo.
• Społeczny dowód słuszności: „wszyscy w Twoim dziale już to wypełnili” sprawia, że prośba wydaje się normalna.
• Zaangażowanie i konsekwencja: po zgodzie na małą prośbę trudniej odmówić większej. Rozmowa zaczyna się od niewinnego pytania, a kończy na haśle.

Dobry atak łączy kilka zasad naraz: autorytet, pośpiech i poufność („nie mów nikomu, to sprawa zarządu”). Jeśli widzisz to połączenie, masz przed sobą najmocniejszy sygnał ostrzegawczy.

Techniki socjotechniczne: przykłady z firmy

Każda technika ma tę samą strukturę: jak wygląda w pracy, po czym ją poznać i co zrobić.

Phishing i jego odmiany

Phishing to fałszywa wiadomość, która ma skłonić Cię do kliknięcia linku, otwarcia załącznika lub podania danych logowania. Odmiana kierowana do konkretnej osoby to spear phishing, a do zarządu whaling. Rodzaje phishingu opisujemy szczegółowo w przewodniku po 9 rodzajach phishingu, oszustwa „na prezesa” w tekście o spear phishingu i whalingu, a wersję SMS-ową w artykule o smishingu.

Sygnał ostrzegawczy: nieoczekiwana wiadomość z prośbą o zalogowanie się, zapłatę lub otwarcie pliku, często z terminem.

Co zrobić: nie klikać, wejść do usługi samodzielnie (z zakładki lub aplikacji) i zgłosić wiadomość.

Pretexting, czyli wymyślona historia

Pretexting to budowanie zaufania za pomocą zmyślonego scenariusza: atakujący podaje się za audytora, nowego pracownika centrali, kontrahenta albo urzędnika. Verizon w raporcie DBIR 2026 wskazuje, że pretexting odpowiadał za 6% wszystkich naruszeń jako sposób wejścia i coraz częściej otwiera drogę do ataków ransomware i wymuszeń. Najczęściej odbywa się przez telefon, ale także mailem i SMS-em.

Przykład z Polski: pod koniec października 2025 roku CSIRT NASK zaobserwował kampanię, w której atakujący podszywali się pod Ministerstwo Cyfryzacji i wiceministra. W jednym z wariantów prosili gminy o szczegółowe dane osób odpowiedzialnych za cyberbezpieczeństwo: imiona, nazwiska, telefony i adresy e-mail. Takie dane służą potem do ataków na konkretne osoby.

Sygnał ostrzegawczy: ktoś, kogo nie znasz, prosi o informacje o ludziach, procedurach lub systemach i uzasadnia to urzędowym albo pilnym powodem.

Co zrobić: nie przekazywać danych w odpowiedzi na wiadomość. Sprawdzić nadawcę przez oficjalny kontakt instytucji, znaleziony samodzielnie, i poinformować przełożonego lub IT.

Vishing, czyli atak przez telefon

Vishing to pretexting prowadzony głosowo: telefon „z banku”, „z działu IT” albo „od prezesa”. Numer na wyświetlaczu da się podrobić. Ministerstwo Cyfryzacji przypomina, że połączenie może być sfałszowane nawet wtedy, gdy numer zgadza się z oficjalnym. Więcej o tej technice i o weryfikacji rozmówców przeczytasz w artykule o vishingu, a o podrabianiu głosu w tekście o deepfake'ach.

Sygnał ostrzegawczy: rozmówca prosi o kod, hasło, instalację programu do zdalnego pulpitu albo pilny przelew.

Co zrobić: rozłączyć się i oddzwonić na numer, który znasz z umowy, strony banku lub firmowej książki adresowej.

Baiting, czyli przynęta

Baiting wykorzystuje ciekawość lub chęć zysku. W wersji fizycznej to pendrive podpisany „Premie 2026” zostawiony na parkingu albo w kuchni. W wersji cyfrowej to „darmowy” program, szablon czy plik z „listą płac” do pobrania.

Sygnał ostrzegawczy: coś atrakcyjnego, co pojawiło się znikąd i wymaga podłączenia, pobrania lub uruchomienia.

Co zrobić: nie podłączać nośników nieznanego pochodzenia, tylko oddać je do IT. Instalować programy wyłącznie ze źródeł zatwierdzonych w firmie.

Quid pro quo, czyli „coś za coś”

W technice quid pro quo atakujący oferuje usługę w zamian za dostęp lub informację. Klasyczny scenariusz: ktoś dzwoni do kilku osób z firmy jako „wsparcie techniczne” i proponuje pomoc w problemie z komputerem. Prędzej czy później trafia na osobę, która rzeczywiście ma problem, i prosi ją o login albo instalację narzędzia „do diagnostyki”.

Sygnał ostrzegawczy: pomoc, o którą nikt nie prosił, połączona z prośbą o dane logowania lub zdalny dostęp.

Co zrobić: korzystać tylko z oficjalnego kanału pomocy IT. Prawdziwy dział IT nie potrzebuje Twojego hasła.

Tailgating (wejście „na plecach”) i piggybacking

Tailgating to wejście do strefy chronionej tuż za uprawnioną osobą, zanim drzwi się zamkną. Piggybacking zwykle oznacza sytuację, w której pracownik świadomie wpuszcza obcą osobę, bo ta „zapomniała karty”. Atakujący pomaga sobie wyglądem: kamizelka serwisanta, paczka dla kuriera, zajęte ręce, przy których odruchowo przytrzymujesz drzwi.

Sygnał ostrzegawczy: osoba bez widocznego identyfikatora, która czeka przy drzwiach i wchodzi razem z Tobą.

Co zrobić: grzecznie zapytać, do kogo przyszła, i skierować ją do recepcji. Jeśli nie czujesz się pewnie, zgłosić sytuację ochronie lub przełożonemu.

Shoulder surfing, czyli podglądanie przez ramię

Shoulder surfing to podglądanie ekranu, klawiatury lub dokumentów: w pociągu, w kawiarni, na konferencji, ale też w otwartej przestrzeni biurowej. Atakujący może zobaczyć hasło, PIN, dane klienta albo nazwę systemu, której potem użyje w pretextingu.

Sygnał ostrzegawczy: ktoś stoi lub siedzi tak, że widzi Twój ekran, szczególnie kiedy się logujesz.

Co zrobić: w miejscach publicznych używać filtra prywatności na ekran, blokować komputer przy każdym odejściu i nie pracować na poufnych danych tam, gdzie ktoś może patrzeć.

Dumpster diving, czyli przeszukiwanie śmieci

Dumpster diving to szukanie informacji w wyrzuconych dokumentach i sprzęcie. Wydruk listy pracowników, stara faktura, notatka z hasłem do Wi-Fi albo schemat organizacyjny to dla atakującego gotowy materiał do uwiarygodnienia historii przy następnym telefonie.

Sygnał ostrzegawczy: dokumenty z danymi firmowymi w zwykłym koszu albo niezabezpieczonym pojemniku na makulaturę.

Co zrobić: niszczyć dokumenty w niszczarce lub oddawać do zamykanego pojemnika, a stare dyski i telefony przekazywać IT do bezpiecznego usunięcia danych.

Ściąga: techniki socjotechniczne w jednej tabeli

Jak rozpoznać atak socjotechniczny: checklista

Zanim spełnisz nietypową prośbę, przejdź w myślach przez te pytania. Jedno „tak” to powód, żeby się zatrzymać. Dwa lub więcej to powód, żeby zgłosić sprawę.

• Czy prośba przyszła nieoczekiwanie albo nieznanym kanałem, na przykład z prywatnego numeru „prezesa”?
• Czy ktoś wywiera presję czasu albo straszy konsekwencjami?
• Czy rozmówca powołuje się na autorytet: zarząd, ministerstwo, bank, policję?
• Czy prośba jest wyjątkiem od zwykłej procedury („tym razem bez drugiej akceptacji”)?
• Czy ktoś prosi o poufność i o to, żeby nikogo nie informować?
• Czy chodzi o hasło, kod, przelew, zmianę numeru konta, dane pracowników albo zdalny dostęp?
• Czy strona lub wiadomość każe Ci skopiować polecenie i wkleić je do systemowego okna „Uruchamianie”? CERT Polska opisuje taką fałszywą weryfikację „czy nie jesteś robotem” (tzw. ClickFix), po której na komputer trafia złośliwe oprogramowanie.
• Czy rozmówca wie o Tobie dużo, ale nie potrafi odpowiedzieć na proste pytanie kontrolne?

Pamiętaj też, że wycieki danych ułatwiają socjotechnikę. CERT Polska zwraca uwagę, że dane zdobyte przez przestępców mogą posłużyć do uwiarygodnienia przyszłych ataków socjotechnicznych. To, że rozmówca zna Twoje imię, stanowisko i nazwisko szefa, niczego nie dowodzi.

Codzienne nawyki, które utrudniają takie ataki, takie jak weryfikacja faktur, MFA czy zgłaszanie incydentów, zebraliśmy w artykule o 12 zasadach cyberhigieny w firmie. O tym, dlaczego jedno wykradzione hasło nie powinno otwierać konta, piszemy w tekście o weryfikacji dwuetapowej.

Jak uczyć zespół rozpoznawania socjotechniki

Wykład o zasadach wpływu łatwo wysłuchać i równie łatwo zapomnieć. Odporność na socjotechnikę buduje się ćwiczeniem trudnych momentów: odmowy, przerwania rozmowy, zatrzymania obcej osoby. Poniższe ćwiczenia przeprowadzisz bez specjalnego sprzętu.

Scenka telefoniczna (10 minut)

Jedna osoba gra „pracownika banku” albo „IT” i naciska coraz mocniej. Druga ćwiczy jedno zdanie: „Oddzwonię na oficjalny numer”. Potem zamiana ról. Najtrudniejsze jest samo zakończenie rozmowy, dlatego warto je powtarzać.

Rozpoznaj zasadę wpływu (15 minut)

Pokaż pięć prawdziwych przykładów wiadomości lub opisów rozmów. Zespół wskazuje, którą zasadę wpływu wykorzystał atakujący: autorytet, pośpiech, sympatię czy wzajemność. Kto nazwie mechanizm, łatwiej go potem zauważy.

Spacer po biurze (20 minut)

Razem z osobą odpowiedzialną za bezpieczeństwo obejdźcie biuro i sprawdźcie: czy drzwi same się zamykają, gdzie lądują wydruki, czy na biurkach leżą dokumenty z danymi, czy ekrany są blokowane. Wnioski zapiszcie i wróćcie do nich za kwartał.

Pytanie kontrolne przy przelewach

W zarządzie i finansach umówcie się na pytanie kontrolne lub zasadę oddzwaniania przy każdej pilnej prośbie o przelew. Procedura ustalona wcześniej ułatwia odmowę „prezesowi”, który dzwoni z nieznanego numeru.

Mierzcie zgłoszenia

Po każdej symulacji phishingu pokażcie zespołowi, ile osób zgłosiło wiadomość i jak szybko. Verizon DBIR 2026 podaje, że w symulacjach mediana odsetka kliknięć w scenariuszach przez telefon i SMS była o 40% wyższa niż przez e-mail, więc ćwiczenia nie powinny ograniczać się do poczty.

Jeśli Twoja organizacja podlega znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), edukacja personelu jest jednym z wymaganych środków. Szczegóły opisujemy w artykule o szkoleniach pod NIS2 i KSC, a wstępnie sprawdzisz to w teście „Czy moja organizacja podlega KSC?”.

Jak to wygląda w Akademii ZeroLayer

W Akademii ZeroLayer socjotechnika jest rozłożona na krótkie mikrolekcje wideo, gry i quizy, poświęcone technikom socjotechnicznym i sygnałom ostrzegawczym. Symulacje phishingu sprawdzają, jak zespół reaguje na wiadomości wzorowane na realnych kampaniach, a ścieżki dla ról dopasowują materiał do stanowiska. Nowi pracownicy przechodzą podstawy w ścieżce onboardingowej, a automatyczne przypomnienia pilnują, żeby nikt nie wypadł z cyklu. Testy socjotechniczne z vishingiem i deepfake'iem głosu są dostępne w wariancie „Akademia + testy”, a deepfake wideo omawiamy na osobnym warsztacie. Panel dyrektora pokazuje postępy zespołów i generuje raporty ze szkoleń, a każdy uczestnik dostaje certyfikat z numerem. Listę zagadnień znajdziesz w sekcji tematy szkoleń, a dostępne warianty, w tym bezpłatny pilotaż dla jednego działu na 30 dni, w sekcji Warianty.

Najczęściej zadawane pytania

Co to jest socjotechnika w prostych słowach?

Socjotechnika to oszukiwanie ludzi, a nie komputerów. Atakujący podaje się za kogoś zaufanego, na przykład szefa, bank albo dział IT, i wykorzystuje pośpiech, autorytet lub chęć pomocy, żeby pracownik sam przekazał dane, wpuścił go do budynku albo wykonał przelew.

Czym różni się socjotechnika od phishingu?

Socjotechnika to szerokie pojęcie obejmujące wszystkie metody manipulowania ludźmi. Phishing jest jedną z technik socjotechnicznych, prowadzoną zwykle przez e-mail lub SMS. Do socjotechniki należą też ataki telefoniczne, pretexting, baiting oraz metody fizyczne, takie jak tailgating czy przeszukiwanie śmieci.

Jakie są najczęstsze techniki socjotechniczne?

Najczęstsze techniki socjotechniczne w firmach to phishing, pretexting (wymyślona historia, np. „kontrola z ministerstwa”), vishing (telefon „z banku” lub „od prezesa”), baiting (przynęta, np. pendrive), quid pro quo (pomoc w zamian za dostęp), tailgating i piggybacking (wejście za pracownikiem), shoulder surfing (podglądanie ekranu) oraz dumpster diving (przeszukiwanie wyrzuconych dokumentów).

Jak rozpoznać atak socjotechniczny?

Najczęstsze sygnały to nieoczekiwany kontakt, presja czasu, powołanie się na autorytet, prośba o wyjątek od procedury, żądanie poufności oraz prośba o hasło, kod, przelew lub zdalny dostęp. Jeśli widzisz choć jeden z nich, zatrzymaj się i sprawdź prośbę drugim, znanym Ci kanałem.

Co zrobić, gdy pracownik dał się nabrać?

Trzeba to od razu zgłosić do IT lub przełożonego, nawet bez pewności, że doszło do ataku. Jeśli wyciekło hasło, należy je zmienić i sprawdzić, czy konto ma włączone MFA. Jeśli wyszedł przelew, trzeba natychmiast skontaktować się z bankiem. Liczy się czas, a szybkie zgłoszenie własnej pomyłki często ogranicza szkody.

Źródła

• Raport roczny z działalności CERT Polska w 2025 roku — CERT Polska / NASK, 8 kwietnia 2026
• 2026 Data Breach Investigations Report: Executive Summary — Verizon Business, 2026
• 2025 IC3 Annual Report — FBI Internet Crime Complaint Center, 2026
• Social engineering (glossary) — NIST Computer Security Resource Center
• Avoiding Social Engineering and Phishing Attacks — CISA, 1 lutego 2021
• Czym jest spoofing, jak go rozpoznać i nie dać się nabrać — Ministerstwo Cyfryzacji, gov.pl, 4 sierpnia 2022
• Principles of Persuasion — Influence at Work (Robert Cialdini)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw RP, 2 marca 2026