Social Engineering: The unseen threat behind most cyberattacks / Social Engineering: Η αθέατη απειλή πίσω από τις περισσότερες κυβερνοεπιθέσεις

Social Engineering: The unseen threat behind most cyberattacks 

Cybersecurity no longer fails because “technology breaks.” It fails because people are deceived.

Today, the vast majority of successful cyberattacks rely on Social Engineering techniques, attacks that  exploit human psychology rather than technical vulnerabilities¹.  

Modern analyses show that the human factor is involved in most breaches, with phishing, pretexting  and stolen credentials being the most common entry points². 

What Social Engineering is and why it works 

Social engineering does not “break” firewalls, it convinces people to open the door themselves. 

Attackers: 

• Study organizational structures and roles. 
• Collect information from public sources (LinkedIn, websites, social media). 
• Create scenarios that seem completely normal in everyday work.

These attacks are effective because they do not look like attacks, but like legitimate professional  communication³. 

Experience from Cyber Security Awareness trainings confirms that a single human mistake can  undermine even the most advanced technical security measures. 

1[cybersecur...tynews.com] 
2[arstechnica.com], [gjeta.com] 
3[cybersecur...tynews.com]

The human as the most targeted link

A large percentage of organizations classify social engineering as the most significant human related  risk, with phishing, smishing and vishing increasingly amplified by AI⁴. 

The reason is simple: 

• Time pressure. 
• Fear of making a wrong decision. 
• Respect for authority. 
• Willingness to be helpful. 

Attackers know very well that it is easier to convince an employee than to breach a system. 

The most common Social Engineering techniques 

Phishing, Spear Phishing & Whaling

Phishing remains the dominant social engineering technique, with targeted variants such as spear  phishing and whaling increasing significantly, especially toward individuals with elevated privileges or  financial responsibility⁵. 

Pretexting: the most deceptive form of manipulation

Pretexting relies on creating a credible scenario: IT support, supplier, partner or senior  executive. These attacks are rising because they require minimal technical resources but high  persuasive ability⁶. 

Vishing, Smishing & AI Driven Attacks 

Phone based and SMS attacks continue to evolve. The use of AI generated voice spoofing makes it  possible to imitate the real voices of executives or IT personnel. 

There are real cases where only a few seconds of recorded audio were enough to create convincing  fake voices, leading to serious financial damage⁷. 

4[cybervie.com] 
5[cybersecur...tynews.com], [gitnux.org] 
6[sans.org], [group-ib.com] 
7[go.proofpoint.com], [totalassure.com]

Why data is the primary target

Data is now the currency of the digital economy. 

Emails, documents, databases, CRM and ERP systems are all critical business assets. 

Their loss or leakage can lead to: 

• financial losses 
• reputational damage 
• regulatory penalties (GDPR, NIS2, ISO27001) 

Many organizations never fully recover from a major data breach⁸. 

Education & Awareness: the most effective defense 

Technological solutions are essential, but not sufficient on their own. 

A significant portion of advanced attacks rely exclusively on social engineering, while the best results  come from continuous and targeted employee training⁹. 

Training focuses on: 

• Recognizing suspicious patterns. 
• Proper email and password handling. 
• Timely incident reporting. 
• Building a culture of “verify before action” 

Academic research confirms that awareness programs significantly reduce attack success rates,  especially in high-risk environments¹⁰. 

8[cybersecur...tynews.com], [gjeta.com] 
9[zerothreat.ai] 
10 [techrepublic.com]

Awareness does not mean fear, it means maturity

Cybersecurity should not rely on fear or punishment. The proper approach is empowering users. When employees: 

• Feel comfortable questioning a request. 
• Know how to verify its legitimacy. 
• Know where and how to report an incident 

…the organization achieves true resilience against modern threats¹¹. 

Conclusion

Social engineering remains one of the most serious threats for organizations today. Attacks are becoming more targeted, more convincing and less technical. 

The answer is not more tools, but continuous training, awareness and a strong cybersecurity culture.

Cybersecurity begins with people and that is where investment must focus. 

Vasilis Leontiou 
Managing Director / CEO
V.L.Toolbox 

V.L. Toolbox provides IT services, Cyber Security Awareness and Managed Security Services, helping  businesses strengthen their security through technology, training and a cybersecurity-oriented culture. 

11 [cybervie.com]

Social Engineering: Η αθέατη απειλή πίσω από τις περισσότερες κυβερνοεπιθέσεις

Η κυβερνοασφάλεια δεν αποτυγχάνει πλέον επειδή «χαλάει» η τεχνολογία. Αποτυγχάνει επειδή ξεγελιέται ο άνθρωπος.

Σήμερα, η συντριπτική πλειοψηφία των επιτυχημένων κυβερνοεπιθέσεων βασίζεται σε τεχνικές Social Engineering (Κοινωνικής Μηχανικής), επιθέσεις που εκμεταλλεύονται την ανθρώπινη ψυχολογία και όχι τεχνικές ευπάθειες¹.

Σύγχρονες αναφορές δείχνουν ότι ο ανθρώπινος παράγοντας εμπλέκεται στο μεγαλύτερο ποσοστό παραβιάσεων, με phishing, pretexting και κλεμμένα διαπιστευτήρια να αποτελούν τα συχνότερα σημεία εισόδου².

Τι είναι το Social Engineering και γιατί λειτουργεί

Το social engineering δεν «σπάει» firewalls. Πείθει ανθρώπους να ανοίξουν την πόρτα μόνοι τους.

Οι επιτιθέμενοι:

• Μελετούν οργανωτικές δομές και ρόλους.
• Συλλέγουν πληροφορίες από δημόσιες πηγές (LinkedIn, websites, social media).
• Δημιουργούν σενάρια που μοιάζουν απόλυτα φυσιολογικά στην καθημερινή εργασία.

Όπως επισημαίνεται στο Cybersecurity News, οι επιθέσεις αυτές είναι τόσο αποτελεσματικές επειδή δεν μοιάζουν με επιθέσεις, αλλά με συνηθισμένη επαγγελματική επικοινωνία³.

Η εμπειρία από Cyber Security Awareness trainings επιβεβαιώνει ότι ένα και μόνο ανθρώπινο λάθος μπορεί να ακυρώσει ακόμη και τα πιο προηγμένα τεχνικά μέτρα ασφαλείας.

1 [cybersecur...tynews.com]
2 [arstechnica.com], [gjeta.com]
3 [cybersecur...tynews.com]

Ο άνθρωπος ως ο πιο στοχευμένος κρίκος

Σύμφωνα με το SANS Institute Security Awareness Report, το 80% των οργανισμών κατατάσσει το social engineering ως τον σημαντικότερο ανθρώπινο κίνδυνο, με phishing, smishing και vishing να ενισχύονται σημαντικά από τη χρήση AI⁴.

Ο λόγος είναι απλός:

• Πίεση χρόνου.
• Φόβος για λάθος απόφαση.
• Σεβασμός στην αυθεντία.
• Επιθυμία για γρήγορη εξυπηρέτηση.

Οι επιτιθέμενοι γνωρίζουν πολύ καλά ότι είναι πιο εύκολο να πείσεις έναν εργαζόμενο, παρά να παραβιάσεις ένα σύστημα.

Οι πιο διαδεδομένες τεχνικές Social Engineering

Phishing, Spear Phishing & Whaling

Το phishing παραμένει η κυρίαρχη τεχνική κοινωνικής μηχανικής, με τις στοχευμένες επιθέσεις (spear phishing, whaling) να αυξάνονται σημαντικά, ειδικά σε στελέχη με αυξημένα δικαιώματα ή οικονομική ευθύνη⁵.

Pretexting: η πιο ύπουλη μορφή εξαπάτησης

Το pretexting βασίζεται στη δημιουργία ενός αξιόπιστου σεναρίου: IT support, προμηθευτής, συνεργάτης ή ανώτερο στέλεχος.

Σύμφωνα με αναλύσεις της SentinelOne και CSO Online, οι επιθέσεις pretexting αυξάνονται επειδή απαιτούν ελάχιστα τεχνικά μέσα αλλά υψηλή πειστικότητα⁶.

Vishing, Smishing & AI-Driven Attacks

Οι επιθέσεις μέσω τηλεφώνου και SMS εξελίσσονται ραγδαία. 

Η χρήση AI-generated voice spoofing επιτρέπει πλέον την απομίμηση πραγματικών φωνών στελεχών ή IT προσωπικού.

Η Google (Mandiant) και η Group-IB έχουν καταγράψει πραγματικά περιστατικά όπου λίγα δευτερόλεπτα ηχογράφησης ήταν αρκετά για τη δημιουργία πειστικών ψεύτικων φωνών, οδηγώντας σε σοβαρές οικονομικές απώλειες⁷.

4 [cybervie.com]
5 [cybersecur...tynews.com], [gitnux.org]
6 [sans.org], [group-ib.com]
7 [go.proofpoint.com], [totalassure.com]

Γιατί τα δεδομένα αποτελούν τον βασικό στόχο

Τα δεδομένα είναι πλέον το νόμισμα της ψηφιακής οικονομίας.

Έγγραφα, email, βάσεις δεδομένων, CRM και ERP συστήματα αποτελούν κρίσιμα περιουσιακά στοιχεία.

Η απώλεια ή διαρροή τους μπορεί να επιφέρει:

• Οικονομικές απώλειες.
• Πλήγμα στη φήμη.
• Κανονιστικές κυρώσεις (GDPR, NIS2, ISO27001).

Όπως επισημαίνεται σε αναλύσεις του Cybersecurity News και σε στατιστικές μελέτες, πολλές επιχειρήσεις δεν καταφέρνουν να ανακάμψουν μετά από σοβαρή παραβίαση δεδομένων⁸.

Εκπαίδευση & Ευαισθητοποίηση: η πιο αποτελεσματική άμυνα

Οι τεχνολογικές λύσεις είναι απαραίτητες, αλλά δεν αρκούν από μόνες τους.

Σύμφωνα με την Proofpoint, σημαντικό ποσοστό προηγμένων επιθέσεων βασίζεται αποκλειστικά σε κοινωνική μηχανική, ενώ τα καλύτερα αποτελέσματα επιτυγχάνονται μέσω συνεχούς και στοχευμένης εκπαίδευσης προσωπικού⁹.

Η εκπαίδευση στοχεύει:

• Στην αναγνώριση ύποπτων μοτίβων.
• Στη σωστή διαχείριση email και κωδικών.
• Στην έγκαιρη αναφορά περιστατικών.
• Στη δημιουργία κουλτούρας ελέγχου πριν την ενέργεια.

Ακαδημαϊκές μελέτες επιβεβαιώνουν ότι τα awareness programs μειώνουν σημαντικά την επιτυχία επιθέσεων, ειδικά σε οργανισμούς υψηλού ρίσκου¹⁰.

8 [cybersecur...tynews.com], [gjeta.com]
9 [zerothreat.ai]
10 [techrepublic.com]

Awareness δεν σημαίνει φόβος, σημαίνει ωριμότητα

Η κυβερνοασφάλεια δεν πρέπει να βασίζεται στον φόβο ή στην τιμωρία.

Η σωστή προσέγγιση είναι η ενδυνάμωση των χρηστών.

Όταν οι εργαζόμενοι:

• Αισθάνονται άνετα να αμφισβητήσουν ένα αίτημα.
• Γνωρίζουν πώς να επιβεβαιώσουν.
• Ξέρουν πού και πώς να αναφέρουν ένα περιστατικό.

..τότε ο οργανισμός αποκτά πραγματική ανθεκτικότητα απέναντι στις σύγχρονες απειλές¹¹.

Συμπέρασμα

Το social engineering αποτελεί σήμερα μία από τις σοβαρότερες απειλές για επιχειρήσεις και οργανισμούς. Οι επιθέσεις γίνονται πιο στοχευμένες, πιο πειστικές και λιγότερο τεχνικές.

Η απάντηση δεν είναι περισσότερα εργαλεία, αλλά συνεχής εκπαίδευση, ευαισθητοποίηση και καλλιέργεια κουλτούρας ασφάλειας.

Η κυβερνοασφάλεια ξεκινά από τον άνθρωπο, και εκεί πρέπει να επενδύσουμε.

Vasilis Leontiou

Managing Director / CEO

V.L.Toolbox

Η V.L.Toolbox παρέχει υπηρεσίες IT, Cyber Security Awareness και Managed Security Services, βοηθώντας επιχειρήσεις να ενισχύσουν την ασφάλειά τους μέσα από τεχνολογία, εκπαίδευση και κουλτούρα κυβερνοασφάλειας.

11[cybervie.com]