Karty dostępu, goście i drzwi przeciwpożarowe
Nieznajomy w stroju technika, drzwi przytrzymane z uprzejmości: jak socjotechnika dostaje się do biur i co wtedy robić.
W 30 sekund
- Gdzie to się zdarza
- Przy wejściu do biur, przy drzwiach z kontrolą dostępu, w recepcji oraz w pokojach biurowych, gdy „wykonawca” chodzi sam.
- Czego chce atakujący
- Wejść, obserwować, podłożyć urządzenie3 albo zdobyć informacje4, wykorzystując uprzejmość pracowników.
- Odruch
- Nie wpuszczać nikogo, kogo się nie zna, sprawdzić u osoby, która go oczekuje, i zaprowadzić nieznajomego do recepcji.
- Jeśli to już się stało
- Od razu powiadomić ochronę lub zespół bezpieczeństwa, nawet bez pewności.
O co chodzi
Włamanie nie zawsze zaczyna się przy ekranie. Może się zacząć przy wejściu do budynku, od osoby, która wygląda, jakby tu pracowała: strój technika, paczka w rękach, karta wyglądająca poprawnie. Drzwi otwiera nie luka techniczna, lecz zaufanie pracownika.
Ta strona wyjaśnia, jak działa ten podstęp i co każdy może zrobić na swoim stanowisku, aby przyjąć gościa i nie wpuścić obcego. Cytowane tu źródła dotyczą głównie socjotechniki w ogóle oraz dostępu przez sprzęt podłączony na miejscu3. Opisane niżej zasady przyjmowania gości to zdroworozsądkowe reguły, które warto zestawić z wytycznymi Państwa firmy.
Pytania wprost
Dlaczego włamanie fizyczne nazywa się socjotechniką?
Ponieważ metoda jest ta sama co w przypadku podejrzanego e-maila: oszukanie człowieka. CISA opisuje atakującego, który wykorzystuje kontakt z ludźmi, aby zdobyć informacje o organizacji lub jej systemach1. Może sprawiać wrażenie „unassuming and respectable” (skromnego i szanowanego) i podawać się za nowego pracownika, serwisanta lub badacza, czasem okazując na poparcie dokumenty tożsamości1.
Kto może pojawić się przy drzwiach?
Na przykład wykonawcy. MITRE zauważa, że organizacje często dają zewnętrznym dostawcom szeroki dostęp, w tym podwykonawcom infrastruktury, takim jak ogrzewanie i klimatyzacja, windy czy ochrona fizyczna2. Gość w stroju roboczym to więc częsta sytuacja, przez co podstęp jest wiarygodny.
Czego szuka osoba, która wchodzi bez zaproszenia?
Według MITRE przeciwnik może fizycznie wprowadzić do systemu lub sieci akcesoria, sprzęt sieciowy albo inne urządzenia, aby wykorzystać je jako drogę dostępu3. MITRE opisuje też phishing w celu zdobycia informacji jako próbę nakłonienia do ujawnienia danych, często danych logowania4. Wśród jego metod wymienia wysyłanie kilku wiadomości sprawiających wrażenie pilnych4.
Co zrobić, gdy nieznajoma osoba chodzi bez opiekuna?
CISA zaleca ostrożność wobec niezamówionych telefonów, wizyt lub e-maili od osób, które pytają o pracowników albo o informacje wewnętrzne1. Jeśli nieznajomy powołuje się na prawdziwą organizację, CISA radzi sprawdzić jego tożsamość bezpośrednio w tej organizacji1. W praktyce uprzejmie odmawia się wpuszczenia, prowadzi osobę do recepcji i powiadamia ochronę.
Czy zapomniana lub zgubiona karta naprawdę stanowi problem?
Cytowane tu źródła nie omawiają zgubionych kart. Zasada pozostaje prosta: karta otwiera drzwi temu, kto ją nosi, kimkolwiek jest. Proszę natychmiast zgłosić zgubienie, aby można było zablokować dostęp.
1Jak to działa1 min
Włamanie metodą socjotechniczną opiera się na wiarygodności. CISA wyjaśnia, że jeśli atakujący nie zbierze dość informacji od jednej osoby, może zwrócić się do innej w tej samej organizacji i powołać się na to, co powiedziała pierwsza, by wypaść bardziej wiarygodnie1. Pracownik, który potwierdza „tak, jest oczekiwany”, nie sprawdziwszy tego, staje się więc gwarantem nieznajomego na dalszym etapie.
CISA przypomina, że każdy członek społeczności, w tym współpracownicy, jest „the first line of defense” (pierwszą linią obrony) dla bezpieczeństwa5. NIST zalicza ochronę fizyczną i środowiskową do rodzin zabezpieczeń w katalogu SP 800-53, obok uświadamiania i szkoleń6. Innymi słowy, drzwi, karty dostępu i szkolenie ludzi należą do tego samego systemu bezpieczeństwa co hasła.
2Co Pan/Pani robi1 min
Poniższe działania to praktyki ostrożności. Tylko sprawdzenie tożsamości w danej organizacji znajduje poparcie w cytowanych tu źródłach1.
- Proszę przyjąć gościa w recepcji, a nie na korytarzu, i towarzyszyć mu przez całą wizytę, aż do wyjścia.
- Proszę sprawdzić jego tożsamość i kartę u osoby, która go oczekuje, pod numerem, który Pan/Pani już zna, a nie pod tym, który poda gość.
- Nie należy przytrzymywać drzwi osobie, której Pan/Pani nie zna, nawet jeśli niesie kartony. Proszę zaproponować, że zaprowadzi ją Pan/Pani do recepcji.
- Nigdy nie należy pożyczać swojej karty ani pozwalać współpracownikowi lub wykonawcy, by użył jej zamiast Pana/Pani.
- Proszę natychmiast zgłosić zgubioną lub zapomnianą kartę, bez czekania do następnego dnia.
- Nigdy nie należy blokować drzwi przeciwpożarowych w pozycji otwartej ani odblokowywać ich dla własnej wygody. Jeśli przeszkadzają, proszę powiedzieć o tym ochronie.
- Jeśli nieznajoma osoba chodzi sama, proszę uprzejmie zapytać, do kogo przyszła, a potem zaprowadzić ją do recepcji lub zaalarmować ochronę.
3Pułapki1 min
W opisach socjotechniki wracają trzy mechanizmy. Cytowane tu źródła dokumentują dwa pierwsze dla innych kanałów niż drzwi wejściowe, ale obowiązują one także w recepcji.
- Udawany pośpiech. MITRE wskazuje wysyłanie kilku wiadomości sprawiających wrażenie pilnych, aby skłonić cel do odpowiedzi4. Przy wejściu brzmi to: „Spóźniam się, zespół na mnie czeka”.
- Fałszywa wiarygodność. CISA zauważa, że atakujący może podawać się za serwisanta i okazywać na poparcie dokumenty tożsamości1. Strój i karta niczego nie dowodzą, dopóki oczekująca osoba tego nie potwierdzi.
- Uprzejmość. Cytowane tu źródła o niej nie wspominają. Mimo to skłania ona do wpuszczenia kogoś, żeby go nie urazić. Grzeczna odmowa nie jest uchybieniem.
Inna pułapka kryje się w tym, czego nie widać: małe urządzenie pod biurkiem lub w gniazdku sieciowym. MITRE wymienia wśród możliwości takiego sprzętu bierne podsłuchiwanie sieci, modyfikowanie ruchu, wstrzykiwanie naciśnięć klawiszy i dodawanie bezprzewodowych punktów dostępu3. Nieznane urządzenie lub kabel, który nie powinien tam być, się zgłasza, a nie odłącza samodzielnie.
4Prawdziwe przypadki1 min
DarkVishnya, banki zaatakowane przez bezpośrednie podłączenie
MITRE przytacza grupę DarkVishnya, która fizycznie podłączyła urządzenia (Bash Bunny, Raspberry Pi, tanie netbooki i laptopy) w środowisku atakowanej organizacji, aby uzyskać dostęp do jej sieci lokalnej3. MITRE odsyła do analizy z 6 grudnia 2018 roku, zatytułowanej „DarkVishnya: Banks attacked through direct connection to local network”3. Cytowane tu źródła nie podają, w jaki sposób urządzenia trafiły do pomieszczeń.
MITRE zaznacza też, że publicznie udokumentowane użycia przez szkodliwych aktorów są rzadkie, natomiast wiele zespołów testów penetracyjnych wykorzystuje takie dodatki sprzętowe jako pierwszy dostęp3.
Karta
- Identyfikator
- CP-365
- Skrzydło
- 5. Życie w biurze i odruchy
- Kompetencja Brain
- Unikać oszustw (handle_scams)
- Odruch Brain
- cr-084
- Schemat
- G5 · Drzewo decyzyjne odruchu
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 6
ŹródłaŹródła: 6
- CISA, „Avoiding Social Engineering and Phishing Attacks”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1199/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (dostęp 3 listopada 2026)
- CISA, „Physical Security | Cybersecurity and Infrastructure Security Agency CISA”. https://www.cisa.gov/topics/physical-security (dostęp 3 listopada 2026)
- NIST, „SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC”. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „Karty dostępu, goście i drzwi przeciwpożarowe”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp365_pl_2026,
author = {Brain},
title = {Karty dostępu, goście i drzwi przeciwpożarowe},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/kontrola-dostepu-karty-wejsciowe-goscie/},
note = {CC BY 4.0}
}