Yang dijual bukan kebohongan, melainkan peran
Surel penipuan mengandalkan jumlah: dikirim ke ribuan orang, lalu seseorang akan mengekliknya. Pretexting bekerja dengan cara berbeda - sebuah cerita dirancang khusus untukmu. Nama departemenmu, nama bank yang memang kamu gunakan, nomor pesanan yang memang sedang kamu tunggu. Semua itu bukan informasi rahasia: ada di media sosial, dalam kebocoran data, atau di tanda tangan surelmu sendiri.
Tujuan detail-detail itu bukan untuk membuktikan sesuatu. Detail tersebut menghilangkan pertanyaan, "Sebenarnya siapa orang ini?" Saat kamu memeriksa satu detail dan ternyata cocok, kamu berhenti memeriksa yang lain - otakmu melengkapi seluruh peran itu. Satu detail kecil yang cocok berfungsi sebagai jaminan untuk seluruh cerita.
Cerita samaran. Mereka menyiapkan peran dan alasan sebelumnya: memeriksa akses masuk, mengantar pesanan, atau memperbaiki kesalahan dalam dokumen. Alasan itu menjelaskan mengapa mereka meneleponmu, khususnya sekarang.
Kebenaran kecil. Dalam beberapa detik pertama, mereka menyebutkan sesuatu yang memang diketahui tentang dirimu. Itu bukan permintaan, melainkan setoran kepercayaan.
Desakan waktu. Muncul batas waktu: "permintaan ini hanya berlaku sepuluh menit". Tidak ada waktu untuk memeriksa, dan itu memang dirancang demikian, bukan kebetulan.
Mengisolasi. Mereka memintamu untuk tidak menutup telepon, tidak membicarakannya dengan siapa pun, atau berpindah ke aplikasi pesan. Kehadiran orang ketiga mana pun bisa merusak skenario.
Permintaan kecil. Awalnya, mereka meminta hal sepele - mengonfirmasi, menyebutkan, atau menekan sesuatu. Setelah kamu menyetujuinya sekali, menolak untuk kedua kalinya menjadi lebih sulit.
Seperti apa bunyinya
Percakapan hampir selalu berjalan satu arah: lawan bicaramu mengajukan pertanyaan, dan kamu menjawab. Padahal, merekalah yang memeriksamu, meskipun mereka yang meneleponmu. Berikut contoh percakapan yang umum - perhatikan bukan kata-katanya, melainkan bagaimana perannya bergeser.
Ini bagian keamanan. Saya melihat ada upaya masuk ke akunmu dari kota lain.
Saya tidak sedang masuk ke akun saya di mana pun.
Itu sudah saya duga. Saya masih sempat mengirim permintaan pemblokiran, tetapi waktunya 10 menit.
Apa yang harus saya lakukan?
Sebutkan kode dari pesan itu - kode tersebut akan mengonfirmasi bahwa saya sedang berbicara dengan pemilik akun.
Baik, sebentar.
Di sini ada tiga tanda berturut-turut. Kamu diberi kabar mengkhawatirkan yang tidak bisa kamu verifikasi. Kamu diberi batas waktu. Dan kamu diminta membuktikan bahwa dirimu adalah dirimu, padahal bukan kamu yang memulai panggilan. Kode dalam pesan itu sama sekali tidak mengonfirmasi apa pun kepada lawan bicaramu: kode tersebut justru diperlukan untuk masuk, dan dukungan resmi tidak akan memintanya.
Perhatikan juga siapa yang sedang terburu-buru di sini. Dalam percakapan seperti ini, desakan waktu selalu milik orang lain: merekalah yang membawanya kepadamu. Hilangkan pengatur waktunya, dan skenarionya akan runtuh. Itulah sebabnya mereka terus mempertahankannya.
Skenario ini tidak mengandalkan kenaifan, melainkan reaksi yang wajar: membantu, tidak berdebat, dan segera menyelesaikan masalah. Karena itu, orang yang sibuk dan sopan paling sering menjadi sasarannya.
Mengapa pelaku pretexting menyebutkan detail kecil yang benar tentang dirimu?
Apa yang membantu jika kamu didesak dan diminta memberikan kode dari pesan?
Sumber
- Mekanisme pengaruh - berdasarkan karya Robert Cialdini tentang otoritas, kelangkaan, dan konsistensi
- analisis pretexting - Kevin Mitnick, "Seni Menipu"
- tanda-tanda peringatan - dalam panduan publik dari bank dan CERT
Selanjutnya di seri “Rekayasa sosial”
3 artikel lengkap di situs, 4 lagi di aplikasi
