Neprodává se lež, ale role
Phishingový e-mail sází na množství: rozešle se tisícům lidí a někdo klikne. Pretexting funguje jinak - příběh sestaví přímo pro tebe. Jméno tvého oddělení, název banky, u které skutečně máš účet, číslo objednávky, na kterou opravdu čekáš. Nic z toho nejsou tajné informace: jsou na sociálních sítích, v únicích dat nebo v podpisu tvého vlastního e-mailu.
Smyslem detailů není něco dokázat. Odstraní otázku „kdo to vlastně je“. Když si ověříš jeden detail a sedí, ostatní už nekontroluješ - mozek si celou roli doplní. Jedna potvrzená drobnost funguje jako ručení za celý příběh.
Legenda. Předem připraví roli a důvod: kontrolu přihlášení, doručení nebo chybu v dokumentech. Důvod vysvětluje, proč volají právě tobě a právě teď.
Drobná pravda. V prvních několika sekundách zmíní něco, co se o tobě skutečně ví. Není to žádost, ale vklad důvěry.
Naléhavost. Objeví se časové okno: „žádost čeká deset minut“. Na ověření nezbývá čas záměrně, ne náhodou.
Izolace. Požádají tě, abys nezavěšoval, s nikým to neprobíral nebo přešel do aplikace pro zasílání zpráv. Jakákoli třetí osoba scénář naruší.
Malá žádost. Nejdřív po tobě chtějí maličkost - něco potvrdit, nadiktovat nebo stisknout. Když jednou souhlasíš, podruhé se odmítá hůř.
Jak to zní
Rozhovor téměř vždy probíhá jedním směrem: druhý člověk klade otázky a ty odpovídáš. Kontrolují přitom tebe, i když volali oni tobě. Tady je typický úryvek - nesleduj slova, ale to, jak se posouvá role.
Tady bezpečnostní oddělení. Vidím pokus o přihlášení k tvému účtu z jiného města.
Nikde jsem se nepřihlašoval.
To jsem si myslel. Žádost o zablokování ještě stihnu odeslat, ale časové okno je deset minut.
Co mám udělat?
Nadiktuj mi kód ze zprávy - potvrdí, že mluvím s majitelem účtu.
Dobře, hned.
Tady jsou tři signály za sebou. Oznámili ti znepokojivou zprávu, kterou si nemůžeš ověřit. Dali ti lhůtu. A žádají po tobě, abys dokázal, že jsi to ty, přestože jsi hovor nezačal. Kód ze zprávy druhému člověku nic nepotvrzuje: potřebuje ho právě k přihlášení a skutečná podpora se na něj neptá.
Všimni si také, kdo tu spěchá. Naléhavost v takovém rozhovoru vždy patří někomu jinému: někdo ji přinesl k tobě. Zruš časový limit a scénář se rozpadne, proto ho také udržují.
Scénář nestojí na naivitě, ale na normálních reakcích: pomoct, nehádát se a rychle vyřešit problém. Proto nejčastěji zasáhne zaneprázdněné a slušné lidi.
Proč při pretextingu zmíní pravdivý drobný detail o tobě?
Co pomůže, když tě popohánějí a chtějí kód ze zprávy?
Zdroje
- Mechanismy ovlivňování podle prací Roberta Cialdiniho o autoritě, nedostatku a důslednosti
- rozbor pretextingu v knize Kevina Mitnicka „Umění klamu“
- signály ve veřejně dostupných doporučeních bank a CERT
Dál v sérii „Sociální inženýrství“
3 celé články na webu, v aplikaci ještě 4
