Pretexting este tehnica prin care un atacator creează un scenariu fals, dar plauzibil — se dă drept un coleg, un tehnician, un reprezentant al băncii sau al poliției — pentru a convinge victima să dezvăluie informații sau să acorde acces pe care nu le-ar oferi în mod normal. Este una dintre cele mai fundamentale tehnici din ingineria socială, folosită ca bază pentru multe alte atacuri, de la fraude financiare până la breșe tehnice complexe.
Cum funcționează pretexting-ul?
Atacatorul construiește dinainte o identitate și o poveste credibile, adesea documentate prin cercetare reală despre victimă sau organizația ei — nume de colegi, structura departamentelor, un proiect real în derulare, chiar și jargonul intern folosit obișnuit în firmă. Apoi contactează victima, prin telefon, e-mail sau chiar în persoană, și folosește scenariul pentru a cere ceva anume: o parolă "pentru verificare", confirmarea unor date personale, sau accesul temporar la un sistem, totul învăluit într-un context care pare complet firesc. Spre deosebire de phishing, care se bazează adesea pe un link sau atașament, pretexting-ul mizează exclusiv pe conversație și încredere construită în timp real, adaptată pe loc la reacțiile victimei.
De ce contează?
Pentru că funcționează chiar și împotriva unor măsuri tehnice solide — nicio parolă complexă nu ajută dacă angajatul o dictează direct unui atacator convingător la telefon. Pretexting-ul stă adesea la baza altor atacuri: obținerea de date pentru un SIM swap, informații folosite într-o fraudă CEO sau acces fizic obținut dându-se drept tehnician venit "pentru o verificare de rutină" la sediul firmei. Ceea ce face tehnica deosebit de eficientă este adaptabilitatea ei — atacatorul ajustează scenariul pe loc, în funcție de reacțiile și ezitările victimei, exact ca un actor care improvizează pe baza răspunsului publicului.
Cum te protejezi?
- Verifică identitatea oricui cere informații sensibile sau acces, printr-un canal independent de cel prin care a venit cererea.
- Nu oferi niciodată parole, coduri de acces sau date confidențiale prin telefon, indiferent cine pretinde că sună sau cât de urgentă pare situația.
- Instruiește angajații să recunoască presiunea de urgență sau autoritate ca semnal de precauție suplimentară, nu de conformare rapidă.
- Stabilește proceduri clare de verificare a identității pentru cererile sensibile, aplicate consecvent, chiar și pentru "colegi" aparent cunoscuți.
Un exemplu concret
Cineva sună la departamentul IT al unei firme, pretinzând că e un angajat nou, blocat afară din cont chiar înainte de o prezentare importantă în fața unui client mare, și cere resetarea rapidă a parolei fără verificările uzuale, invocând presiunea timpului. Presiunea timpului și tonul convingător aproape reușesc — doar procedura standard de verificare a identității, aplicată strict de tehnicianul IT indiferent de urgența invocată, oprește atacul înainte să producă vreo pagubă.
Vrei să testezi cât de bine rezistă echipa ta la astfel de scenarii? Cere un test de penetrare, inclusiv teste de inginerie socială.
Întrebări frecvente
Prin ce diferă pretexting-ul de phishing?
Phishing-ul se bazează de obicei pe un mesaj scris, cu un link sau atașament capcană. Pretexting-ul se bazează pe o conversație directă și un scenariu construit, adesea prin telefon sau față în față.
Cum verific rapid identitatea cuiva care sună cerând informații?
Închide și sună înapoi la un număr oficial, cunoscut dinainte, nu la cel oferit de apelant. Nu oferi niciodată date sensibile în cadrul aceluiași apel neverificat.