Jak hackují člověka, ne počítač

K přímému obejití ochrany potřebuješ čas, vybavení a vzácné znalosti. K jejímu obejití přes člověka stačí telefon a uvěřitelný příběh. Této technice se říká sociální inženýrství a je starší než internet: stejné postupy fungovaly už v době, kdy se přístupové údaje uchovávaly v papírových kartotékách, ne v aplikaci.

Nefunguje to proto, že lidé na druhé straně jsou hloupí. Požadavek zasáhne pracovní reflexy: pomoct, nezdržovat proces, nevypadat jako protivný člověk před někým, kdo spěchá. Odmítnout znamená malý konflikt právě teď, souhlasit zabere vteřinu. Slabým místem tu není tvoje povaha, ale situace, do které tě staví.

Kevin Mitnick, nejznámější hacker devadesátých let, později popisoval totéž: přístup získával častěji rozhovorem než kódem. Od té doby se změnily kulisy, ne mechanismus: místo telefonátu na recepci přijde e-mail od „podpory“ a zpráva „z banky“.

Příprava obvykle zabere víc času než samotný rozhovor. Jméno, pozice, kdo je komu nadřízený, jak se ve firmě říká interním systémům - to všechno se předem sbírá z veřejných zdrojů: sociálních sítí, podpisů v e-mailech a pracovních inzerátů. Pak pokus pokračuje podle známého schématu a kroky téměř vždy následují ve stejném pořadí.

Hlavní trik přichází nakonec. O heslo se téměř nikdy neptají přímo: požádají tě o něco, co samo o sobě vypadá neškodně. Kód ze zprávy, tlačítko „to jsem já“ v aplikaci, stránka „ověřit přihlášení“. Souhlasíš s maličkostí, ale předáš přístup ke všemu.

Všechny varianty mají jeden společný znak: ženou tě do spěchu a zároveň tě odvádějí z obvyklého kanálu - do jiné aplikace pro zasílání zpráv, na jinou stránku nebo do rozhovoru právě teď. Pochybnosti přijdou minutu poté, co zavěsíš, a je to normální: celý postup počítal právě s rychlostí. Skutečná podpora pauzu i tvé zpětné zavolání v klidu zvládne.