कंप्यूटर नहीं, इंसान को कैसे हैक किया जाता है

सुरक्षा को सीधे दरकिनार करने के लिए समय, उपकरण और दुर्लभ विशेषज्ञता चाहिए। किसी व्यक्ति के जरिए उसे दरकिनार करने के लिए एक फोन और विश्वसनीय कहानी काफी है। इस तरीके को सोशल इंजीनियरिंग कहते हैं और यह इंटरनेट से भी पुराना है: जब ऐक्सेस की जानकारी ऐप में नहीं, कागजी फाइलों में रखी जाती थी, तब भी यही तरीके काम करते थे।

यह इसलिए काम नहीं करता कि दूसरी तरफ के लोग मूर्ख होते हैं। अनुरोध कामकाजी आदतों पर असर डालता है: मदद करना, काम को धीमा न करना, जल्दी में आए व्यक्ति के सामने परेशानी खड़ी करने वाली न लगना। मना करने का मतलब है अभी एक छोटा-सा टकराव; हां कहने में एक सेकंड लगता है। कमजोर कड़ी यहां तुम्हारा स्वभाव नहीं, बल्कि वह परिस्थिति है जिसमें तुम्हें डाल दिया जाता है।

नब्बे के दशक के सबसे मशहूर हैकर केविन मिटनिक ने बाद में यही बात बताई: उन्हें ऐक्सेस कोड के बजाय बातचीत के जरिए ज्यादा बार मिला। तब से माहौल बदला है, तरीका नहीं: रिसेप्शन पर फोन करने के बजाय अब "सपोर्ट" की ईमेल और "बैंक" का संदेश आता है।

तैयारी में आम तौर पर खुद बातचीत से ज्यादा समय लगता है। नाम, पद, कौन किसका बॉस है, कंपनी अपने अंदरूनी सिस्टम को क्या कहती है - यह सब पहले से खुले स्रोतों से जुटाया जाता है: सोशल मीडिया, ईमेल के हस्ताक्षर, नौकरी के विज्ञापन। इसके बाद कोशिश एक जानी-पहचानी योजना के मुताबिक चलती है और कदम लगभग हमेशा इसी क्रम में आते हैं।

सबसे अहम कदम आखिरी वाला है। सीधे पासवर्ड लगभग कभी नहीं मांगा जाता: आपसे ऐसा काम करने को कहा जाता है जो अपने आप में बेझिझक करने लायक लगता है। संदेश में आया कोड, ऐप में "यह मैं हूं" वाला बटन, "लॉगिन जांचें" वाला पेज। आप छोटी-सी बात के लिए राजी होते हैं, लेकिन पूरा ऐक्सेस दे देते हैं।

हर तरीके में एक संकेत समान होता है: आपको जल्दी कराई जाती है और साथ ही आपके सामान्य माध्यम से हटाकर दूसरे मैसेंजर, दूसरे पेज या उसी समय की जा रही बातचीत में ले जाया जाता है। फोन रखने के एक मिनट बाद शक होता है और यह सामान्य है: पूरी योजना तेजी पर ही टिकी थी। असली सपोर्ट थोड़ी देर रुकने और आपके वापस फोन करने का इंतजार आराम से कर लेगा।