Nem hazugságot, hanem szerepet adnak el
Az adathalász e-mail a mennyiségre épít: elküldik több ezer embernek, és valaki csak rákattint. A pretexting másképp működik: köréd építenek egy történetet. A részleged neve, a bank neve, ahol valóban ügyfél vagy, a rendelésszám, amit tényleg vársz. Egyik sem titkos információ: ott van a közösségi médiában, adatszivárgásokban vagy akár a saját e-mailed aláírásában.
A részletek célja nem az, hogy bármit bizonyítsanak. Eloszlatják a kérdést: „egyáltalán ki ez?”. Amíg ellenőrzöl egy részletet, és az stimmel, a többit már nem ellenőrzöd - az agyad az egész szerepet kiegészíti. Egyetlen stimmelő apróság az egész történet garanciájaként működik.
Legenda. Előre előkészítik a szerepet és az indokot: belépés ellenőrzése, kézbesítés, hiba a dokumentumokban. Az indok megmagyarázza, miért éppen neked és miért éppen most telefonálnak.
Apró igazság. Az első néhány másodpercben olyasmit mondanak, amit valóban tudnak rólad. Ez nem kérés, hanem bizalmi előleg.
Sürgetés. Megjelenik egy időablak: „a kérelem tíz percig marad függőben”. Szándékosan nem hagynak időt az ellenőrzésre, nem véletlenül.
Elszigetelés. Azt kérik, hogy ne tedd le, ne beszélj róla senkinek, vagy válts át egy üzenetküldő alkalmazásra. Bármelyik harmadik ember felborítja a forgatókönyvet.
Apró kérés. Először valami jelentéktelent kérnek - hogy erősítsd meg, diktáld be vagy nyomj meg valamit. Ha egyszer beleegyezel, másodszor már nehezebb nemet mondani.
Így hangzik
A beszélgetés szinte mindig egy irányba halad: a másik kérdez, te pedig válaszolsz. Közben téged ellenőriznek, pedig ők hívtak fel. Íme egy tipikus részlet - ne a szavakat figyeld, hanem azt, hogyan változik a szerep.
Itt a biztonsági szolgálat. Látok egy bejelentkezési kísérletet a fiókodba egy másik városból.
Én sehová sem jelentkeztem be.
Sejtettem. A letiltási kérelmet még el tudom küldeni, de tíz perc az időablak.
Mit kell tennem?
Diktáld be az üzenetben kapott kódot - ez megerősíti, hogy a fiók tulajdonosával beszélek.
Rendben, egy pillanat.
Itt egymás után három jelzést is látsz. Kaptál egy riasztó hírt, amit nem tudsz ellenőrizni. Határidőt szabtak neked. És azt kérik, bizonyítsd, hogy te vagy te, pedig nem te kezdeményezted a hívást. Az üzenetben kapott kód a beszélgetőpartnernek semmit sem igazol: pontosan azért van rá szükség, hogy beléphessen, és valódi ügyfélszolgálat soha nem kéri el.
Azt is figyeld meg, ki siet itt. Egy ilyen beszélgetésben a sürgősség mindig a másiké: ő hozta el hozzád. Vedd el az időzítőt, és a forgatókönyv összeomlik - ezért ragaszkodnak hozzá.
A forgatókönyv nem a naivitásra épít, hanem normális reakciókra: hogy segíts, ne vitatkozz, és gyorsan lezárd a kérdést. Ezért leggyakrabban elfoglalt és udvarias embereket talál meg.
Miért mondanak egy rólad szóló apró, igaz részletet a pretexting során?
Mi segít, ha sürgetnek, és üzenetben kapott kódot kérnek?
Források
- A befolyásolás mechanizmusai Robert Cialdini tekintélyről, szűkösségről és következetességről szóló munkái alapján
- a pretexting elemzése Kevin Mitnick A megtévesztés művészete című könyvében
- a jelek a bankok és a CERT nyilvános tájékoztatóiban
A sorozat folytatása: „Szociális mérnökség”
3 cikk teljes terjedelmében az oldalon, még 4 az alkalmazásban
