Non si vende una bugia, ma un ruolo
Un'e-mail di phishing fa leva sui grandi numeri: viene inviata a migliaia di persone e qualcuna farà clic. Il pretexting funziona in modo diverso: costruiscono una storia su misura per te. Il nome del tuo reparto, la banca di cui sei davvero cliente, il numero dell'ordine che stai davvero aspettando. Nulla di tutto questo è un'informazione segreta: si trova sui social, nelle fughe di dati o nella firma della tua stessa e-mail.
Lo scopo dei dettagli non è dimostrare qualcosa. Servono a togliere di mezzo la domanda: «Ma chi è questa persona?». Mentre controlli un dettaglio e torna, smetti di controllare gli altri: il cervello completa da solo l'intero ruolo. Un piccolo dettaglio che torna funziona come garanzia per tutta la storia.
La storia. Preparano in anticipo un ruolo e un motivo: controllo dell'accesso, consegna, errore nei documenti. Il motivo spiega perché chiamano proprio te e proprio adesso.
Una piccola verità. Nei primi secondi dicono qualcosa che sanno davvero su di te. Non è una richiesta, ma un anticipo di fiducia.
L'urgenza. Si apre una finestra: «la richiesta resta in sospeso per dieci minuti». Non c'è tempo per verificare per scelta, non per caso.
L'isolamento. Ti chiedono di non riagganciare, di non parlarne o di passare a un'app di messaggistica. Una terza persona qualunque può mandare in frantumi lo scenario.
Una piccola richiesta. All'inizio chiedono una cosa da nulla: confermare, dettare o premere un pulsante. Dopo aver accettato una volta, rifiutare la seconda è più difficile.
Come si riconosce
La conversazione va quasi sempre in una sola direzione: l'altra persona fa domande e tu rispondi. Eppure stanno verificando te, anche se sono stati loro a chiamarti. Ecco uno scambio tipico: non guardare le parole, ma come cambia il ruolo.
Qui è il servizio di sicurezza. Vedo un tentativo di accesso al tuo account da un'altra città.
Non ho effettuato l'accesso da nessuna parte.
Lo immaginavo. Faccio ancora in tempo a inviare la richiesta di blocco, ma la finestra è di dieci minuti.
Che cosa devo fare?
Dettami il codice del messaggio: confermerà che sto parlando con chi è titolare dell'account.
Va bene, un attimo.
Qui ci sono tre segnali uno dopo l'altro. Ti hanno comunicato una notizia allarmante che non puoi verificare. Ti hanno dato una scadenza. E ti chiedono di dimostrare che sei tu, anche se la chiamata non l'hai iniziata tu. Il codice del messaggio non conferma nulla all'altra persona: serve esattamente per accedere, e il vero servizio di assistenza non te lo chiede.
Nota anche chi ha fretta, qui. In una conversazione del genere l'urgenza è sempre di qualcun altro: te l'hanno portata loro. Togli il conto alla rovescia e lo scenario crolla, per questo lo tengono in piedi.
Lo scenario non si basa sull'ingenuità, ma su reazioni normali: aiutare, non discutere, risolvere subito il problema. Ecco perché colpisce più spesso le persone impegnate e gentili.
Perché nel pretexting citano un piccolo dettaglio vero su di te?
Che cosa aiuta se ti mettono fretta e ti chiedono un codice?
Fonti
- I meccanismi d'influenza si basano sui lavori di Robert Cialdini su autorità, scarsità e coerenza
- un'analisi del pretexting si trova in Kevin Mitnick, «L'arte dell'inganno»
- i segnali sono riportati nelle guide pubbliche di banche e CERT
Il seguito della serie «Ingegneria sociale»
3 articoli per intero sul sito, ancora 4 nell'app
