Det, der sælges, er ikke en løgn, men en rolle
En phishingmail spiller på mængden: Den bliver sendt til tusindvis, og nogen klikker. Pretexting fungerer anderledes - der bliver bygget en historie op omkring dig. Navnet på din afdeling, den bank, du faktisk bruger, den ordre, du rent faktisk venter på. Intet af det er hemmelig information: Det ligger på sociale medier, i datalæk eller i din egen mailsignatur.
Detaljerne skal ikke bevise noget. De fjerner spørgsmålet: «Hvem er det overhovedet?» Når du tjekker én detalje, og den passer, holder du op med at tjekke resten - din hjerne udfylder selv hele rollen. Én lille detalje, der passer, fungerer som en garanti for hele historien.
Dækkehistorien. Rollen og anledningen bliver forberedt på forhånd: et login-tjek, en levering eller en fejl i dokumenterne. Anledningen forklarer, hvorfor de ringer til netop dig og netop nu.
En lille sandhed. I de første sekunder nævner de noget, som de faktisk ved om dig. Det er ikke en forespørgsel, men en indbetaling på tillidskontoen.
Hastværk. Der opstår et tidsvindue: «Anmodningen står som afventende i ti minutter.» Der er ikke tid til at tjekke, og det er med vilje - ikke et tilfælde.
Isolation. De beder dig om ikke at lægge på, ikke at tale med andre om det eller om at skifte til en beskedapp. Enhver tredje person kan ødelægge scenariet.
En lille anmodning. Først beder de om noget mindre - at bekræfte, læse noget op eller trykke. Når du først har sagt ja én gang, er det sværere at sige nej anden gang.
Sådan lyder det
Samtalen går næsten altid kun én vej: Den anden stiller spørgsmål, og du svarer. De tjekker dig, selv om det var dem, der ringede til dig. Her er et typisk udsnit - se ikke kun på ordene, men på hvordan rollen flytter sig.
Det er sikkerhedsafdelingen. Jeg kan se et forsøg på at logge ind på din konto fra en anden by.
Jeg har ikke logget ind nogen steder.
Det tænkte jeg nok. Jeg kan nå at sende en anmodning om spærring, men tidsvinduet er ti minutter.
Hvad skal jeg gøre?
Læs koden fra beskeden op - den bekræfter, at jeg taler med kontohaveren.
Okay, et øjeblik.
Her er der tre markører lige efter hinanden. Du har fået en alarmerende besked, som du ikke kan tjekke. Du har fået en tidsfrist. Og du bliver bedt om at bevise, at du er dig, selv om det ikke var dig, der ringede op. Koden i beskeden bekræfter intet over for den anden: Den skal netop bruges til at logge ind, og ægte support vil ikke bede om den.
Læg også mærke til, hvem der har travlt her. I den slags samtaler tilhører hastværket altid en anden: Det er blevet bragt til dig. Fjern uret, og scenariet falder fra hinanden - derfor sørger de for at holde det kørende.
Scenariet bygger ikke på naivitet, men på normale reaktioner: at hjælpe, ikke diskutere og få løst problemet hurtigt. Derfor rammer det oftest travle og høflige mennesker.
Hvorfor nævner svindlere en lille sand detalje om dig?
Hvad hjælper, hvis du bliver presset og bedt om en kode fra en besked?
Kilder
- Påvirkningsmekanismer - baseret på Robert Cialdinis arbejde om autoritet, knaphed og konsekvens
- analyse af pretexting - Kevin Mitnick, «The Art of Deception»
- tegnene - i offentlige vejledninger fra banker og CERT
Næste i serien »Social manipulation«
3 artikler i fuld længde på siden, 4 mere i appen
