なぜこの手口が効くのか
パスワードを当てるより、人を説得してアクセス権を渡させるほうが簡単です。それは巧妙な質問ではなく、会話の組み立てによって行われます。まず相手は、サポート担当者、配達員、別部署の同僚など、話している相手にわかりやすい役割を示します。その役割が、なぜあなたの詳しい情報を知っているのか、なぜ尋ねる権利があるのかを説明してしまうのです。
次に、時間を切り詰めます。自分でサービスに電話をかけ直したり、送信者のアドレスを確認したりして現実を確かめる前に、注意を狭い通路へ閉じ込めるのです。1つの課題、次の1歩、休む間はなし。その瞬間、コードはアカウントの鍵ではなく、他人の筋書きの中の形式的な手続きに見えてしまいます。
- 役割
- 緊急性
- 小さな依頼
- コード
この手口は、要素同士のつなぎ目に表れます。本物のサポートは急かしません。電話を切って、アプリに表示された番号へ自分でかけ直しても問題ないはずです。コードを口頭で伝えたり転送したりするよう求められたら、必ず立ち止まるポイントです。コードは、あなた以外の誰にも知られないように作られたものだからです。
なぜその後、動けなくなるのか
いちばん貴重な時間を奪うのは、恥ずかしさです。「どうして私が」と考えている間に、行動すればまだ状況を変えられる時間が過ぎていきます。ここでの恥ずかしさは、あなたが愚かだというサインではありません。操られたことへの反応であり、助けを求めるのも妨げてしまうものです。
この手口は、注意力の高さではなく、その瞬間に合わせて仕掛けられます。疲れているとき、急いでいるとき、電話や配達を待っているとき。引っかかるのは注意散漫な人ではなく、忙しい人です。
これからの1時間
まだ取り戻せる時間は、相手がアクセス権を使う前までです。ここで大切なのは、速さではなく順番です。
連絡を断つ。 説明も交渉もせず、電話を切るかチャットを閉じましょう。会話を続けるほど、あなたに不利になります。
パスワードを変える。 まずコードが送られたサービスで変更し、次にそのサービスと紐づいたメールのパスワードを変えます。メール経由で他のアカウントへのアクセスも復旧されるからです。
すべての端末からログアウトする。 セキュリティ設定には有効なセッションの一覧があります。現在使っているもの以外をすべて終了させましょう。
自分でサポートに連絡する。 メッセージ内のリンクではなく、アプリか公式サイトから連絡しましょう。
アクセス権は、すぐに、1か所だけで使われるとは限りません。1〜2日後に、同じ情報をメール、メッセンジャー、SNSなど、同じ電話番号でログインを復旧できる場所で試されることがあります。
だから、これから数日は、落ち着いてリストに沿って他のアカウントも確認していきましょう。
- 主要アカウントのログイン履歴と端末一覧を確認する
- まだ設定していないサービスでは2段階認証を有効にする
- 新しいメール転送ルールが追加されていないか確認する
- あなたになりすまして連絡されるかもしれない人に知らせる
続きはMiqoアプリで
あと1分で読み終わり、最後にクイズがあります。 「心理学 → ソーシャルエンジニアリング」にあります
スマホのカメラをここに向けると、App StoreまたはGoogle Playが開きます。
出典
- その仕組みは、影響力に関する研究で説明されています。ロバート・チャルディーニ『影響力の武器』（1984年）では希少性と権威、スタンレー・ミルグラムの権威への服従実験（1963年）では権威への服従が扱われています。詐欺の手口は変わっても、手口の構造は変わりません。