social engineering

alapelterjedt

A social engineering olyan csalás, amely nem a gépet töri fel, hanem az embert veszi rá megtévesztéssel, hogy kiadjon adatot, pénzt vagy hozzáférést.

Érthetően

A betörőnek nem kell feltörnie a zárat, ha ráveszi a házmestert, hogy kinyissa neki az ajtót. A social engineering ugyanezt csinálja a digitális világban: a támadó nem a technikát támadja, hanem a bizalmadat, a segítőkészségedet vagy a félelmedet használja ki.

Jellemzően valaki másnak adja ki magát: banki ügyintézőnek, futárcégnek, a főnöködnek, rendszergazdának vagy akár a gyerekednek. Sürget, megijeszt vagy jutalmat ígér, hogy ne legyen időd gondolkodni.

A mesterséges intelligencia ezt a régi trükköt olcsóbbá és hihetőbbé tette. Hibátlan magyarsággal írt levelet, klónozott hangot és élethű hamis videót ma percek alatt lehet készíteni. A nyelvi hiba és a furcsa hang ezért már nem megbízható figyelmeztető jel.

Új fejlemény, hogy már nem csak embert lehet így átverni. Az AI-agent is rávehető megtévesztő szöveggel arra, hogy olyat tegyen, amit a gazdája nem akart.

Hogyan működik

Felderítés: a támadó összegyűjti, amit rólad vagy a cégedről nyilvánosan tudni lehet, például a közösségi médiából, a céges honlapról vagy kiszivárgott adatbázisokból.
Hihető történet: kitalál egy szerepet és egy ürügyet, például „gyanús tranzakciót észleltünk a számláján”. Ehhez AI-val személyre szabott szöveget, hangot vagy videót is készíthet.
Kapcsolatfelvétel és nyomásgyakorlás: telefonon, e-mailben, SMS-ben vagy csevegőben keres meg, és sürgősségre, tekintélyre, félelemre vagy segítőkészségre játszik.
A kért lépés: ráveszi az áldozatot, hogy megadjon egy jelszót vagy kódot, átutaljon pénzt, telepítsen egy programot, vagy beengedje valahová.
Kiaknázás: a megszerzett hozzáféréssel pénzt vagy adatot visz el, és gyakran további támadásokat indít a megszerzett fiókból az ismerőseid vagy a kollégáid ellen.

Példa a mindennapokból

Felhív valaki a „bankod biztonsági osztályáról”, tudja a nevedet, és azt mondja, épp most próbálják leemelni a pénzedet. Azt kéri, hogy gyorsan utald „biztonsági számlára” az összeget, vagy diktáld be az SMS-ben kapott kódot. A bank ilyet soha nem kér: tedd le, és hívd vissza a bankot a kártyádon szereplő számon.

Kit érint

mindenkiBárkit felhívhatnak vagy megkereshetnek csalók, és a támadás nem a technikai tudásodon, hanem egy figyelmetlen pillanatodon múlik.

banki ügyfél, befektetőA legtöbb ilyen csalás célja az, hogy te magad hagyd jóvá az utalást vagy add ki a belépési adataidat. → Pénz

munkavállalóA céges rendszerekbe gyakran egyetlen megtévesztett kolléga jelszaván vagy kattintásán keresztül jutnak be. → Munka és HR

vállalkozó, vezetőA vezetők nevében, akár klónozott hanggal vagy hamis videóhívással kért sürgős utalás komoly kárt okozhat.

Gyakori félreértés

TévhitCsak a hiszékeny vagy az informatikához nem értő emberek dőlnek be az ilyen csalásnak.

ValójábanA jól felépített támadás a fáradtságot, a sietséget és a tekintélytiszteletet használja ki, ezért képzett szakembereket és vezetőket is rendszeresen megtéveszt. Nem az ész véd meg, hanem a megszokott ellenőrzési szabály.

Korlátok és kockázatok

A vírusirtó és a tűzfal önmagában nem véd meg, mert a támadás téged vesz rá, hogy önként megtedd a kért lépést.
A hang, az arc és a hibátlan fogalmazás már nem bizonyítja, hogy ki van a vonal túloldalán, mert AI-val mindhárom hamisítható.
A sürgetés a legfontosabb intő jel: ha azonnali döntést követelnek tőled, állj meg, és egy másik, általad ismert csatornán ellenőrizd a kérést.
Ha AI-agentet használsz, számolj azzal, hogy egy weboldalba vagy e-mailbe rejtett utasítás az agentet is megtévesztheti, ezért ne adj neki több jogosultságot a szükségesnél.

Hasonló, de nem ugyanaz

adathalászat – Az adathalászat a social engineering egyik fajtája: hamis üzenettel, gyakran hamis weboldallal vagy fertőzött csatolmánnyal csal ki adatokat. A social engineering ennél tágabb, minden megtévesztésre épülő támadást magában foglal.
hekkelés – A szűkebb, technikai értelemben vett hekkelés a szoftver vagy a hálózat gyengeségét használja ki, a social engineering az emberét. A valódi támadások gyakran a kettőt együtt alkalmazzák.
prompt injection – A prompt injection a nyelvi modellt vagy az agentet téveszti meg rejtett utasítással, a social engineering eredetileg az embert veszi célba.

Kapcsolódó fogalmak

Tágabb

kiberbiztonság, kibertámadás, csalás

Szűkebb

adathalászat, célzott adathalászat, telefonos csalás, vezérigazgatói csalás

Rokon

deepfake, hangklónozás, prompt injection, kétlépcsős azonosítás, személyazonosság-lopás, dezinformáció

Röviden a története

A megtévesztésre épülő csalás egyidős az emberiséggel, a kifejezés informatikai biztonsági értelme a hekkerkultúrából terjedt el. Széles körben Kevin Mitnick egykori hekker tette ismertté, akinek 2002-ben jelent meg erről szóló könyve, a The Art of Deception.

Hol tart most

2026 végén a social engineering a kibertámadások és az online csalások egyik leggyakoribb kiindulópontja. A generatív AI miatt a hamis üzenetek, hangok és videók tömegesen, személyre szabva és jó magyarsággal készülnek, és a támadások célpontjai között már az AI-agentek is megjelentek.

Állapot: 2026. november

Más nevei

social engineering · pszichológiai manipuláció · pszichológiai befolyásolás · megtévesztésen alapuló támadás · emberi tényezőre épülő támadás · szociális mérnökösködés · human hacking · social engineering attack

Források

NIST Computer Security Resource Center – Glossary: social engineering

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.