Kaip įsilaužiama į žmogų, o ne į kompiuterį

Norint apeiti apsaugą tiesiogiai, reikia laiko, įrangos ir retų žinių. Norint ją apeiti per žmogų, užtenka telefono ir įtikinamos istorijos. Šis būdas vadinamas socialine inžinerija ir yra senesnis už internetą: tos pačios schemos veikė ir tada, kai prieigos duomenys buvo saugomi popierinėse bylose, o ne programėlėje.

Tai pavyksta ne todėl, kad žmonės kitoje laido pusėje būtų kvaili. Prašymas pataiko į darbinius refleksus: padėti, nestabdyti proceso, neatrodyti priekabiai žmogui, kuris skuba. Atsisakyti reiškia patirti nedidelį konfliktą čia ir dabar, o sutikti užtrunka sekundę. Silpnoji vieta čia yra ne charakteris, o situacija, į kurią žmogus pastatomas.

Kevinas Mitnickas, garsiausias dešimtojo dešimtmečio įsilaužėlis, vėliau apibūdino tą patį: prieigą dažniau gaudavo per pokalbį, o ne kodą. Nuo tada pasikeitė aplinka, bet ne mechanizmas: vietoj skambučio į registratūrą gauname el. laišką nuo „pagalbos tarnybos“ ir žinutę „iš banko“.

Pasiruošimas paprastai užtrunka ilgiau nei pats pokalbis. Vardas, pareigos, kas kam vadovauja, kaip įmonėje vadinamos vidinės sistemos - visa tai iš anksto surenkama iš viešų šaltinių: socialinių tinklų, el. laiškų parašų, darbo skelbimų. Tada veikiama pagal pažįstamą schemą, o žingsniai beveik visada atliekami ta pačia tvarka.

Svarbiausias žingsnis - paskutinis. Tiesiogiai slaptažodžio beveik niekada neprašo: paprašo atlikti veiksmą, kuris pats savaime atrodo nepavojingas. Kodas iš žinutės, programėlėje esantis mygtukas „tai aš“, puslapis „patikrinti prisijungimą“. Sutikus su smulkmena, suteiki visą prieigą.

Visus variantus sieja vienas požymis: tave skubina ir kartu nukreipia nuo įprasto kanalo - į kitą programėlę, kitą puslapį ar pokalbį čia ir dabar. Abejonė ateina po minutės, kai padedi ragelį, ir tai normalu: visa taktika buvo paremta greičiu. Tikra pagalbos tarnyba ramiai palauks pauzės ir tavo perskambinimo.