売り込まれるのは嘘ではなく、役割
フィッシングメールは数で勝負する。何千人にも送り、誰かがクリックすればいい。プリテキスティングは違う。相手に合わせて、話を組み立てる。所属部署の名前、実際に利用している銀行、本当に待っている注文番号。どれも秘密の情報ではない。ＳＮＳや情報漏えい、あなた自身のメールの署名に載っている。
細かな情報の目的は、何かを証明することではない。「そもそも誰なのか」という疑問を取り除くことだ。1つの情報を確認して一致すると、残りはもう確認しなくなる。脳が役割全体を補ってしまうからだ。1つの小さな一致が、話全体の保証人として働く。
設定。 ログイン確認、配送、書類の不備など、役割と用件を前もって用意する。用件があるからこそ、なぜあなたに、なぜ今電話しているのかを説明できる。
小さな真実。 最初の数秒で、あなたについて実際に知られていることを口にする。これは依頼ではなく、信頼への前払いだ。
緊急性。 「申請は10分間保留になっています」といった時間制限を作る。確認する時間が残らないのは、偶然ではなく意図的だ。
孤立。 電話を切らないこと、誰にも相談しないこと、メッセージアプリに移ることを求める。第三者が1人でも入れば、筋書きは崩れる。
小さな依頼。 最初は、確認する、読み上げる、タップするなど、些細なことを頼む。1度応じると、2度目に断るのは難しくなる。
会話に表れる特徴
会話はほとんどいつも一方向に進む。相手が質問し、あなたが答える。電話をかけてきたのは相手なのに、確認されているのはあなたのほうだ。典型的なやり取りを見てみよう。言葉そのものではなく、役割がどう移っていくかに注目して。
こちらはセキュリティ担当です。別の都市からアカウントにログインしようとした形跡があります。
どこからもログインしていません。
やはりそうですか。ブロック申請はまだ送れますが、時間は10分しかありません。
何をすればいいですか？
メッセージに届いたコードを読み上げてください。アカウントの所有者と話していることを確認できます。
わかりました。今やります。
ここには、3つのサインが続けて出ている。確認できない不安な知らせを受けた。期限を示された。そして、電話をかけてきたのは相手なのに、自分が本人であることを証明するよう求められている。メッセージのコードは相手に対して何も証明しない。ログインするために必要なものであり、本物のサポートがそれを尋ねることはない。
ここで急いでいるのは誰かにも注目してみて。こうした会話で急いでいるのは、いつも相手だ。その焦りをあなたのところへ持ち込んでいる。タイマーを取り除けば筋書きは崩れる。だからこそ、相手はタイマーを維持する。
この筋書きが利用するのは、だまされやすさではなく、助ける、争わない、早く問題を解決するという普通の反応だ。だから、忙しくて礼儀正しい人ほど狙われやすい。
プリテキスティングで、あなたについての小さな真実を伝えるのはなぜ？
急かされてメッセージのコードを求められたら、どうする？
出典
- 影響のメカニズムは、権威、希少性、コミットメントと一貫性についてのロバート・チャルディーニの研究に基づく。プリテキスティングの分析は、ケビン・ミトニック著「欺瞞の芸術」。兆候については、銀行やCERTが公開している注意喚起を参照。
「ソーシャルエンジニアリング」シリーズの続き
サイトで全文公開3本、アプリにさらに4本
