Ne prodaje se laž, nego uloga
Phishing-poruka igra na brojke: pošalje se tisućama ljudi i netko će kliknuti. Pretteksting funkcionira drukčije: priča se gradi oko tebe. Ime tvog odjela, naziv banke u kojoj stvarno posluješ, broj narudžbe koju stvarno čekaš. Ništa od toga nije tajna informacija: nalazi se na društvenim mrežama, u procurjelim podacima ili u potpisu tvog vlastitog e-maila.
Smisao detalja nije u tome da nešto dokažu. Oni uklanjaju pitanje: „A tko je uopće ta osoba?” Dok provjeravaš jedan detalj i on se podudara, ostale više ne provjeravaš, a mozak sam nadopunjava cijelu ulogu. Jedna sitnica koja se podudara djeluje kao jamstvo za cijelu priču.
Legenda. Unaprijed se pripreme uloga i povod: provjera prijave, dostava, pogreška u dokumentima. Povod objašnjava zašto zovu baš tebe i baš sada.
Mala istina. U prvih nekoliko sekundi spomenu nešto što se o tebi doista zna. To nije zahtjev, nego ulog povjerenja.
Hitnost. Pojavljuje se vremenski prozor: „zahtjev je na čekanju deset minuta”. Vremena za provjeru nema namjerno, a ne slučajno.
Izolacija. Traže da ne prekidaš poziv, da ne razgovaraš s drugima ili da prijeđeš u aplikaciju za razmjenu poruka. Bilo koja treća osoba može srušiti scenarij.
Mala molba. Najprije traže sitnicu, da potvrdiš, izdiktiraš ili pritisneš. Kad jednom pristaneš, drugi je put teže odbiti.
Kako to zvuči
Razgovor gotovo uvijek ide u jednom smjeru: druga osoba postavlja pitanja, a ti odgovaraš. Pritom provjeravaju tebe, iako su oni nazvali tebe. Evo tipičnog dijela razgovora, ne gledaj riječi, nego kako se pomiče uloga.
Ovdje sigurnosna služba. Vidim pokušaj prijave na tvoj račun iz drugog grada.
Nije bilo prijave s moje strane.
Upravo tako. Još stignem poslati zahtjev za blokiranje, ali prozor traje deset minuta.
Što trebam napraviti?
Izdiktiraj mi kod iz poruke, on će potvrditi da razgovaram s vlasnikom računa.
U redu, samo trenutak.
Stigla ti je uznemirujuća vijest koju nije moguće provjeriti. Postavljen je rok. I od tebe traže dokaz da si ti doista ti, iako poziv nije započet s tvoje strane. Kod iz poruke sugovorniku ne potvrđuje ništa: potreban je upravo za prijavu, a prava ga korisnička podrška neće tražiti.
Primijeti i tko ovdje žuri. U takvom je razgovoru žurba uvijek tuđa: netko ju je donio tebi. Ukloni mjerač vremena i scenarij se raspada, zato ga i drže na mjestu.
Scenarij ne počiva na naivnosti, nego na normalnim reakcijama: pomoći, ne raspravljati i brzo riješiti problem. Zato najčešće zahvaća zauzete i ljubazne ljude.
Zašto u prettekstingu spominju sitan istinit detalj o tebi?
Što pomaže ako te požuruju i traže kod iz poruke?
Izvori
- Mehanizmi utjecaja prema radovima Roberta Cialdinija o autoritetu, oskudici i dosljednosti
- analiza prettekstinga u knjizi Kevina Mitnicka „Umijeće obmane”
- znakovi upozorenja u javnim uputama banaka i CERT-a
Sljedeće u seriji „Socijalni inženjering“
3 članka u cijelosti na webu, još 4 u aplikaciji
