--- id: CP-021 slug: pretexting-wiarygodny-scenariusz-autorytetu lang: pl title: Pretexting, czyli sztuka fałszywego pretekstu description: "Fałszywy pracownik wsparcia IT dzwoni lub pisze, by wyłudzić hasło: jak działa pretexting i jak go rozbroić." canonical_url: https://startbrain.io/cyberpedia/pl/articles/pretexting-wiarygodny-scenariusz-autorytetu/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/pretexting-wiarygodny-scenariusz-autorytetu.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Pretexting, czyli sztuka fałszywego pretekstu”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/pretexting-wiarygodny-scenariusz-autorytetu/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-040 schema: G5 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/pretexting-wiarygodny-scenariusz-autorytetu/ fr: https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ en: https://startbrain.io/cyberpedia/en/articles/pretexting-credible-authority-scenario/ de: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ es: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ it: https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile/ nl: https://startbrain.io/cyberpedia/nl/articles/pretexting-geloofwaardig-autoriteitsscenario/ pt: https://startbrain.io/cyberpedia/pt/articles/pretexting-cenario-autoridade-credivel/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/001/ accessed: "2026-11-03" - "n": 5 title: Scattered Spider publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 8 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Pretexting, czyli sztuka fałszywego pretekstu Nieznajomy dzwoni, pisze lub wysyła wiadomość, przedstawiając się jako ktoś, kto ma prawo zadawać pytania: wsparcie IT, dostawca, bank, nowy współpracownik. Nie musi niczego włamywać, jeśli rozmówca sam poda mu hasło, kod lub informację wewnętrzną. CISA opisuje ten schemat: atakujący może podać się za nowego pracownika, serwisanta lub badacza, przedstawić fałszywe dowody tożsamości, a potem zestawić uzyskane odpowiedzi [1]. Technika opiera się na fałszywym pretekście, stąd jej angielska nazwa, pretexting. MITRE zalicza ją do technik zbierania informacji metodą phishingu: celem jest skłonienie ofiary do ujawnienia danych, często danych logowania, a nie do uruchomienia złośliwego programu [2]. ## W 30 sekund - Gdzie to się zdarza: przez telefon [3], w SMS-ie [5], w wiadomości na Teams [7] lub w e-mailu [2]. - Czego chce atakujący: danych logowania lub innych informacji, które da się wykorzystać [2], czasem jednorazowego kodu [2]. - Odruch: nie podawać nic osobie, która nawiązała kontakt, i sprawdzić jej tożsamość bezpośrednio w organizacji, na którą się powołuje [1]. - Jeśli już się stało: od razu powiadomić właściwe osoby w firmie i zmienić ujawnione hasła [1]. ## Pytania wprost ### Czym jest pretexting? To forma inżynierii społecznej: atakujący wykorzystuje kontakt z człowiekiem, by zdobyć lub naruszyć informacje o organizacji albo jej systemach [1]. Pretekst (awaria do naprawienia, konto do weryfikacji, przelew do uregulowania) daje wiarygodny powód, by o coś poprosić. ### Dlaczego wiadomość wydaje się tak wiarygodna? Ponieważ atakujący wcześniej się przygotował. MITRE zauważa, że takie podejścia wykorzystują informacje z wcześniejszego rozpoznania, na przykład w mediach społecznościowych lub na stronach atakowanej firmy, by stworzyć prawdopodobne przynęty [4]. W przypadku Scattered Spider CISA wymienia informacje pochodzące z mediów społecznościowych, ze źródeł otwartych, z komercyjnych narzędzi wywiadowczych i z wycieków baz danych [5]. ### Kto jest celem? Każdy, ale szczególnie wsparcie IT. Microsoft zauważa, że grupa Octo Tempest często atakuje administratorów technicznych, takich jak pracownicy wsparcia i help desku, których uprawnienia pozwalają otwierać dostęp do kont [6]. ### O co prosi atakujący? Prośby opisane w źródłach są konkretne: dane logowania, jednorazowy kod, zresetowanie hasła, przeniesienie drugiego składnika uwierzytelniania na urządzenie kontrolowane przez atakującego albo zainstalowanie narzędzia do zdalnego dostępu [3][5][7]. ### Co zrobić, jeśli już odpowiedziałem(-am)? CISA radzi zgłosić incydent właściwym osobom w organizacji, w tym administratorom sieci, którzy będą mogli obserwować nietypową aktywność, oraz niezwłocznie zmienić ujawnione hasła, na każdym koncie, na którym używano tego samego hasła [1]. ## W skórze atakującego Atakujący zaczyna od zebrania nazwisk, stanowisk i procedur. Punktem wejścia może być fałszywy profil w mediach społecznościowych: MITRE opisuje fikcyjne konta, które składają pracownikom oferty pracy, co daje wiarygodny powód, by zadawać pytania o działy, zasady i środowisko informatyczne [4]. Tożsamości pracowników mogą też pochodzić z wcześniejszych wycieków: MITRE podaje, że Scattered Spider wykorzystała informacje z dawnych naruszeń danych, by znaleźć nazwiska pracowników do użycia w swoich zabiegach [7]. Potem następuje inscenizacja. Atakujący, który nie zdobywa dość informacji od jednej osoby, zwraca się do innej w tej samej organizacji i opiera się na pierwszej odpowiedzi, by wypaść wiarygodnie [1]. Rozmowy Scattered Spider często odbywają się w kilku etapach: pierwsze służą do poznania, jak help desk obsługuje reset hasła, kolejne do zebrania danych właściwych dla wybranego pracownika [5]. Wreszcie presja. MITRE wskazuje udawanie zaufanego źródła i wysyłanie kilku wiadomości o pozornej pilności [2], a także poczucie pilności lub alarmu wywoływane u odbiorcy w przypadku phishingu głosowego [3]. ## Co widać na ekranie W źródłach opisano następujące formy. - Telefon od rzekomego technika, który prosi o zainstalowanie narzędzia do zdalnej obsługi. MITRE przytacza rozmowy Scattered Spider, w których podawano się za pracowników IT, by nakłonić ofiary do pobrania takiego narzędzia [3]. - Wiadomość w Microsoft Teams od fałszywego wewnętrznego wsparcia, odnotowana przez MITRE w przypadku Scattered Spider [7]. - E-mail, którego nadawca podszywa się pod osobę trzecią, co może oszukać zarówno odbiorcę, jak i automatyczne narzędzia bezpieczeństwa [2]. - Wiadomość z prośbą o oddzwonienie pod numer telefonu, w trakcie którego atakujący próbuje zdobyć poufne informacje [2]. CISA wymienia też klasyczne sygnały ostrzegawcze: adres nadawcy zbliżony do adresu prawdziwej firmy, z kilkoma zmienionymi lub usuniętymi znakami, ogólnikowe zwroty grzecznościowe, linki, których adres nie odpowiada tekstowi, błędy lub niespójny układ, niezamówiony załącznik z fałszywą pilnością [1]. Te sygnały nie zawsze wystarczą: dobrze napisana, dobrze udokumentowana prośba może żadnego z nich nie zawierać. Oto zneutralizowana ilustracja, opracowana na podstawie nazw domen, które podaje CISA (nazwa atakowanej firmy, a po niej „helpdesk” lub usługa jednokrotnego logowania) [5]: ```text Ilustracja, adres zneutralizowany: nazwa-firmy-helpdesk[.]invalid [Wiadomość sparafrazowana: „wsparcie” prosi o zalogowanie się na tej stronie w celu weryfikacji konta.] ``` ## Pod maską Łączą się trzy mechanizmy. Najpierw zbieranie informacji (schemat organizacyjny, nazwiska, procedury), które dostarcza tła dla pretekstu [4][5]. Następnie podszywanie się pod kogoś: pracownika, technika lub nowo zatrudnioną osobę. Microsoft podaje, że Octo Tempest naśladuje przez telefon sposób mówienia osób, pod które się podszywa, zna ich dane osobowe i podawała się za nowych pracowników, by wtopić się w procedury wdrożeniowe [6]. Wreszcie autorytet i pilność, które skłaniają do szybkiej odpowiedzi. Telefon ułatwia oszustwo. CISA podkreśla, że telefonia internetowa pozwala łatwo podszyć się pod identyfikator dzwoniącego, co żeruje na niesłusznym zaufaniu opinii publicznej do bezpieczeństwa telefonu [1]. Gdy atakujący podaje się wobec wsparcia za pracownika, celem jest zresetowanie hasła lub przeniesienie uwierzytelniania wieloskładnikowego na urządzenie, które kontroluje [5]. Microsoft opisuje nawet przypadki, w których omija on procedurę, używając do zatwierdzania swoich próśb konta już przejętego przełożonego [6]. Potwierdzenia wewnętrzne mają więc wartość tylko wtedy, gdy sam kanał jest bezpieczny. ## Analizy incydentów ### Początek 2022 roku: Octo Tempest i wymiany kart SIM Według Microsoftu grupę Octo Tempest zaobserwowano po raz pierwszy na początku 2022 roku. Atakowała operatorów telefonii komórkowej i firmy outsourcingu procesów biznesowych, by wywoływać przenoszenie numerów, czyli wymiany kart SIM. W 2022 roku czerpała zyski z tych włamań, sprzedając wymiany SIM innym przestępcom i przejmując konta bardzo zamożnych osób, by kraść ich kryptowaluty [6]. ### 25 października 2023: Microsoft opisuje metody Octo Tempest We wpisie z 25 października 2023 roku Microsoft wyjaśnia, że grupa dzwoni do help desku organizacji, by uzyskać zresetowanie hasła użytkownika lub dodanie składnika uwierzytelniania [6]. Gdy przejmie numer telefonu pracownika, może też uruchomić samoobsługowy reset konta [6]. ### 16 listopada 2023 i 29 lipca 2025: wspólny komunikat o Scattered Spider Wspólny komunikat CISA, FBI i agencji partnerskich opublikowano 16 listopada 2023 roku, a następnie zaktualizowano 21 listopada 2023 roku i 29 lipca 2025 roku [5]. Opisuje grupę, która atakuje duże firmy i ich zewnętrzne służby wsparcia informatycznego [5]. Jej członkowie podawali się za pracowników IT lub wsparcia, dzwoniąc albo wysyłając SMS-y, by zdobyć dane logowania, oraz za pracowników, by przekonać wsparcie do zresetowania hasła i przeniesienia drugiego składnika [5]. Komunikat zaleca uwierzytelnianie wieloskładnikowe odporne na phishing, chronione przed zalewaniem powiadomieniami i wymianą kart SIM [5]. ## Co robić Odruch sprowadza się do tego: nie odpowiadamy osobie, która nawiązała kontakt, tylko sprawdzamy ją innym kanałem. - Proszę zachować ostrożność wobec niezamówionego telefonu, wizyty lub wiadomości, w której padają pytania o pracowników lub wewnętrzną organizację. Jeśli nieznajomy powołuje się na prawdziwą organizację, proszę sprawdzić jego tożsamość bezpośrednio u niej [1]. - Proszę nie podawać informacji o sobie ani o firmie, w tym o jej strukturze i sieciach, jeśli nie ma Pan/Pani pewności, że ta osoba ma prawo je znać [1]. - Gdy prośba przysłana e-mailem budzi wątpliwości, proszę skontaktować się z organizacją bezpośrednio, bez używania danych kontaktowych z wiadomości ani ze strony powiązanej z prośbą: proszę znaleźć je we wcześniejszej korespondencji [1]. - Proszę zgłosić próbę, nawet jeśli nic nie zostało ujawnione. Brytyjskie NCSC zaleca kulturę, w której zgłasza się bez obawy o naganę, ponieważ pracownicy bojący się kar nie zgłaszają swoich błędów [8]. Po stronie organizacji MITRE przypomina, że użytkowników można szkolić w rozpoznawaniu i zgłaszaniu tych technik oraz w zachowywaniu nieufności wobec dzwoniących przez sprawdzanie ich tożsamości [3]. ## Źródła 1. CISA, „Avoiding Social Engineering and Phishing Attacks”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/004/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/001/ (dostęp 3 listopada 2026) 5. CISA, „Scattered Spider”, 16 listopada 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (dostęp 3 listopada 2026) 6. Microsoft, „Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction”, 25 października 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (dostęp 3 listopada 2026) 7. MITRE ATT&CK, „Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G1015/ (dostęp 3 listopada 2026) 8. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/pretexting-wiarygodny-scenariusz-autorytetu/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.