Cyberpediaod Brain
PLDEENESFRITNLPT

Pretexting, czyli sztuka fałszywego pretekstu

Fałszywy pracownik wsparcia IT dzwoni lub pisze, by wyłudzić hasło: jak działa pretexting i jak go rozbroić.

W 30 sekund

Gdzie to się zdarza
Przez telefon3, w SMS-ie5, w wiadomości na Teams7 lub w e-mailu2.
Czego chce atakujący
Danych logowania lub innych informacji, które da się wykorzystać2, czasem jednorazowego kodu2.
Odruch
Nie podawać nic osobie, która nawiązała kontakt, i sprawdzić jej tożsamość bezpośrednio w organizacji, na którą się powołuje1.
Jeśli już się stało
Od razu powiadomić właściwe osoby w firmie i zmienić ujawnione hasła1.

O co chodzi

Nieznajomy dzwoni, pisze lub wysyła wiadomość, przedstawiając się jako ktoś, kto ma prawo zadawać pytania: wsparcie IT, dostawca, bank, nowy współpracownik. Nie musi niczego włamywać, jeśli rozmówca sam poda mu hasło, kod lub informację wewnętrzną. CISA opisuje ten schemat: atakujący może podać się za nowego pracownika, serwisanta lub badacza, przedstawić fałszywe dowody tożsamości, a potem zestawić uzyskane odpowiedzi1.

Technika opiera się na fałszywym pretekście, stąd jej angielska nazwa, pretexting. MITRE zalicza ją do technik zbierania informacji metodą phishingu: celem jest skłonienie ofiary do ujawnienia danych, często danych logowania, a nie do uruchomienia złośliwego programu2.

Pytania wprost

Czym jest pretexting?

To forma inżynierii społecznej: atakujący wykorzystuje kontakt z człowiekiem, by zdobyć lub naruszyć informacje o organizacji albo jej systemach1. Pretekst (awaria do naprawienia, konto do weryfikacji, przelew do uregulowania) daje wiarygodny powód, by o coś poprosić.

Dlaczego wiadomość wydaje się tak wiarygodna?

Ponieważ atakujący wcześniej się przygotował. MITRE zauważa, że takie podejścia wykorzystują informacje z wcześniejszego rozpoznania, na przykład w mediach społecznościowych lub na stronach atakowanej firmy, by stworzyć prawdopodobne przynęty4. W przypadku Scattered Spider CISA wymienia informacje pochodzące z mediów społecznościowych, ze źródeł otwartych, z komercyjnych narzędzi wywiadowczych i z wycieków baz danych5.

Kto jest celem?

Każdy, ale szczególnie wsparcie IT. Microsoft zauważa, że grupa Octo Tempest często atakuje administratorów technicznych, takich jak pracownicy wsparcia i help desku, których uprawnienia pozwalają otwierać dostęp do kont6.

O co prosi atakujący?

Prośby opisane w źródłach są konkretne: dane logowania, jednorazowy kod, zresetowanie hasła, przeniesienie drugiego składnika uwierzytelniania na urządzenie kontrolowane przez atakującego albo zainstalowanie narzędzia do zdalnego dostępu357.

Co zrobić, jeśli już odpowiedziałem(-am)?

CISA radzi zgłosić incydent właściwym osobom w organizacji, w tym administratorom sieci, którzy będą mogli obserwować nietypową aktywność, oraz niezwłocznie zmienić ujawnione hasła, na każdym koncie, na którym używano tego samego hasła1.

1W skórze atakującego1 min

Atakujący zaczyna od zebrania nazwisk, stanowisk i procedur. Punktem wejścia może być fałszywy profil w mediach społecznościowych: MITRE opisuje fikcyjne konta, które składają pracownikom oferty pracy, co daje wiarygodny powód, by zadawać pytania o działy, zasady i środowisko informatyczne4. Tożsamości pracowników mogą też pochodzić z wcześniejszych wycieków: MITRE podaje, że Scattered Spider wykorzystała informacje z dawnych naruszeń danych, by znaleźć nazwiska pracowników do użycia w swoich zabiegach7.

Potem następuje inscenizacja. Atakujący, który nie zdobywa dość informacji od jednej osoby, zwraca się do innej w tej samej organizacji i opiera się na pierwszej odpowiedzi, by wypaść wiarygodnie1. Rozmowy Scattered Spider często odbywają się w kilku etapach: pierwsze służą do poznania, jak help desk obsługuje reset hasła, kolejne do zebrania danych właściwych dla wybranego pracownika5.

Wreszcie presja. MITRE wskazuje udawanie zaufanego źródła i wysyłanie kilku wiadomości o pozornej pilności2, a także poczucie pilności lub alarmu wywoływane u odbiorcy w przypadku phishingu głosowego3.

2Co widać na ekranie1 min

W źródłach opisano następujące formy.

  • Telefon od rzekomego technika, który prosi o zainstalowanie narzędzia do zdalnej obsługi. MITRE przytacza rozmowy Scattered Spider, w których podawano się za pracowników IT, by nakłonić ofiary do pobrania takiego narzędzia3.
  • Wiadomość w Microsoft Teams od fałszywego wewnętrznego wsparcia, odnotowana przez MITRE w przypadku Scattered Spider7.
  • E-mail, którego nadawca podszywa się pod osobę trzecią, co może oszukać zarówno odbiorcę, jak i automatyczne narzędzia bezpieczeństwa2.
  • Wiadomość z prośbą o oddzwonienie pod numer telefonu, w trakcie którego atakujący próbuje zdobyć poufne informacje2.

CISA wymienia też klasyczne sygnały ostrzegawcze: adres nadawcy zbliżony do adresu prawdziwej firmy, z kilkoma zmienionymi lub usuniętymi znakami, ogólnikowe zwroty grzecznościowe, linki, których adres nie odpowiada tekstowi, błędy lub niespójny układ, niezamówiony załącznik z fałszywą pilnością1. Te sygnały nie zawsze wystarczą: dobrze napisana, dobrze udokumentowana prośba może żadnego z nich nie zawierać.

Oto zneutralizowana ilustracja, opracowana na podstawie nazw domen, które podaje CISA (nazwa atakowanej firmy, a po niej „helpdesk” lub usługa jednokrotnego logowania)5:

Fragment
Ilustracja, adres zneutralizowany:
nazwa-firmy-helpdesk[.]invalid
[Wiadomość sparafrazowana: „wsparcie” prosi o zalogowanie się na tej stronie w celu weryfikacji konta.]
3Pod maskąZespoły IT1 min

Łączą się trzy mechanizmy. Najpierw zbieranie informacji (schemat organizacyjny, nazwiska, procedury), które dostarcza tła dla pretekstu45. Następnie podszywanie się pod kogoś: pracownika, technika lub nowo zatrudnioną osobę. Microsoft podaje, że Octo Tempest naśladuje przez telefon sposób mówienia osób, pod które się podszywa, zna ich dane osobowe i podawała się za nowych pracowników, by wtopić się w procedury wdrożeniowe6. Wreszcie autorytet i pilność, które skłaniają do szybkiej odpowiedzi.

Telefon ułatwia oszustwo. CISA podkreśla, że telefonia internetowa pozwala łatwo podszyć się pod identyfikator dzwoniącego, co żeruje na niesłusznym zaufaniu opinii publicznej do bezpieczeństwa telefonu1.

Gdy atakujący podaje się wobec wsparcia za pracownika, celem jest zresetowanie hasła lub przeniesienie uwierzytelniania wieloskładnikowego na urządzenie, które kontroluje5. Microsoft opisuje nawet przypadki, w których omija on procedurę, używając do zatwierdzania swoich próśb konta już przejętego przełożonego6. Potwierdzenia wewnętrzne mają więc wartość tylko wtedy, gdy sam kanał jest bezpieczny.

4Analizy incydentówPrawdziwe przypadki1 min

Początek 2022 roku: Octo Tempest i wymiany kart SIM

Według Microsoftu grupę Octo Tempest zaobserwowano po raz pierwszy na początku 2022 roku. Atakowała operatorów telefonii komórkowej i firmy outsourcingu procesów biznesowych, by wywoływać przenoszenie numerów, czyli wymiany kart SIM. W 2022 roku czerpała zyski z tych włamań, sprzedając wymiany SIM innym przestępcom i przejmując konta bardzo zamożnych osób, by kraść ich kryptowaluty6.

25 października 2023: Microsoft opisuje metody Octo Tempest

We wpisie z 25 października 2023 roku Microsoft wyjaśnia, że grupa dzwoni do help desku organizacji, by uzyskać zresetowanie hasła użytkownika lub dodanie składnika uwierzytelniania6. Gdy przejmie numer telefonu pracownika, może też uruchomić samoobsługowy reset konta6.

16 listopada 2023 i 29 lipca 2025: wspólny komunikat o Scattered Spider

Wspólny komunikat CISA, FBI i agencji partnerskich opublikowano 16 listopada 2023 roku, a następnie zaktualizowano 21 listopada 2023 roku i 29 lipca 2025 roku5. Opisuje grupę, która atakuje duże firmy i ich zewnętrzne służby wsparcia informatycznego5. Jej członkowie podawali się za pracowników IT lub wsparcia, dzwoniąc albo wysyłając SMS-y, by zdobyć dane logowania, oraz za pracowników, by przekonać wsparcie do zresetowania hasła i przeniesienia drugiego składnika5. Komunikat zaleca uwierzytelnianie wieloskładnikowe odporne na phishing, chronione przed zalewaniem powiadomieniami i wymianą kart SIM5.

5Co robić1 min

Odruch sprowadza się do tego: nie odpowiadamy osobie, która nawiązała kontakt, tylko sprawdzamy ją innym kanałem.

  • Proszę zachować ostrożność wobec niezamówionego telefonu, wizyty lub wiadomości, w której padają pytania o pracowników lub wewnętrzną organizację. Jeśli nieznajomy powołuje się na prawdziwą organizację, proszę sprawdzić jego tożsamość bezpośrednio u niej1.
  • Proszę nie podawać informacji o sobie ani o firmie, w tym o jej strukturze i sieciach, jeśli nie ma Pan/Pani pewności, że ta osoba ma prawo je znać1.
  • Gdy prośba przysłana e-mailem budzi wątpliwości, proszę skontaktować się z organizacją bezpośrednio, bez używania danych kontaktowych z wiadomości ani ze strony powiązanej z prośbą: proszę znaleźć je we wcześniejszej korespondencji1.
  • Proszę zgłosić próbę, nawet jeśli nic nie zostało ujawnione. Brytyjskie NCSC zaleca kulturę, w której zgłasza się bez obawy o naganę, ponieważ pracownicy bojący się kar nie zgłaszają swoich błędów8.

Po stronie organizacji MITRE przypomina, że użytkowników można szkolić w rozpoznawaniu i zgłaszaniu tych technik oraz w zachowywaniu nieufności wobec dzwoniących przez sprawdzanie ich tożsamości3.

Karta

Identyfikator
CP-021
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Przechytrzyć socjotechnikę (outsmart_social_engineering)
Odruch Brain
cr-040
Schemat
G5 · Drzewo decyzyjne odruchu
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 8
ŹródłaŹródła: 8
  1. CISA, „Avoiding Social Engineering and Phishing Attacks”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/ (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/004/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1598/001/ (dostęp 3 listopada 2026)
  5. CISA, „Scattered Spider”, 16 listopada 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (dostęp 3 listopada 2026)
  6. Microsoft, „Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction”, 25 października 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (dostęp 3 listopada 2026)
  7. MITRE ATT&CK, „Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G1015/ (dostęp 3 listopada 2026)
  8. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Pretexting, czyli sztuka fałszywego pretekstu”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/pretexting-wiarygodny-scenariusz-autorytetu/

BibTeX 
@misc{brain_cp021_pl_2026,
  author = {Brain},
  title = {Pretexting, czyli sztuka fałszywego pretekstu},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/pretexting-wiarygodny-scenariusz-autorytetu/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0