Kako hakiraju čovjeka, a ne računalo

Za izravno zaobilaženje zaštite trebaju vrijeme, oprema i rijetka znanja. Za zaobilaženje zaštite preko osobe trebaju telefon i uvjerljiva priča. Ta se metoda naziva socijalnim inženjeringom i starija je od interneta: iste su sheme funkcionirale dok su se pristupni podaci čuvali u papirnatoj kartoteci, a ne u aplikaciji.

To uspijeva ne zato što su ljudi s druge strane glupi. Zahtjev pogađa radne reflekse: pomoći, ne usporavati proces, ne ispasti naporno pred nekim tko žuri. Odbiti znači ući u mali sukob odmah, a pristati traje sekundu. Slaba točka ovdje nije karakter, nego situacija u koju se osobu stavlja.

Kevin Mitnick, najpoznatiji haker devedesetih, poslije je opisao isto: pristup je češće dobivao razgovorom nego kodom. Od tada se promijenilo okruženje, a ne mehanizam: umjesto poziva tajništvu, tu su e-poruka „podrške” i poruka „iz banke”.

Priprema obično traje dulje od samog razgovora. Ime, radno mjesto, tko je kome nadređen, kako tvrtka naziva svoje interne sustave - sve se to unaprijed prikuplja iz javno dostupnih izvora: društvenih mreža, potpisa u e-porukama, oglasa za posao. Nakon toga pokušaj slijedi poznatu shemu, a potezi gotovo uvijek dolaze istim redoslijedom.

Ključan je posljednji potez. Lozinku gotovo nikad ne traže izravno: traže da napraviš nešto što samo po sebi izgleda bezazleno. Kod iz poruke, gumb „to sam ja” u aplikaciji, stranica „provjeri prijavu”. Pristaneš na sitnicu, a predaš pristup svemu.

Sve varijante imaju jedan zajednički znak: požuruju te i istodobno odvode s uobičajenog kanala - u drugi komunikacijski kanal, na drugu stranicu ili u razgovor odmah. Sumnja se javlja minutu nakon što prekineš poziv i to je normalno: računalo se upravo na brzinu. Prava će podrška mirno podnijeti stanku i tvoj ponovni poziv.