Det som selges, er ikke en løgn, men en rolle
En phishing-e-post spiller på volum: Den sendes til tusenvis, og noen kommer til å klikke. Preteksting fungerer annerledes - en historie bygges rundt deg. Navnet på avdelingen din, banken du faktisk bruker, bestillingen du faktisk venter på. Ingenting av dette er hemmelig informasjon: Det ligger på sosiale medier, i datalekkasjer eller i signaturen i din egen e-post.
Poenget med detaljene er ikke å bevise noe. De fjerner spørsmålet «Hvem er dette egentlig?» Når du sjekker én detalj og den stemmer, slutter du å sjekke resten - hjernen din fyller ut hele rollen. Én liten detalj som stemmer, fungerer som en garanti for hele historien.
Dekkhistorien. De forbereder en rolle og en grunn på forhånd: en innloggingskontroll, en levering eller en feil i dokumentene. Grunnen forklarer hvorfor de ringer akkurat deg, og hvorfor akkurat nå.
En liten sannhet. I løpet av de første sekundene nevner de noe de faktisk vet om deg. Det er ikke en forespørsel, men et første bidrag til tilliten.
Hastverk. Et tidsvindu dukker opp: «Forespørselen ligger inne i ti minutter.» Det er med vilje ikke tid til å sjekke, ikke fordi det skjer tilfeldig.
Isolering. De ber deg om ikke å legge på, ikke å snakke med andre eller om å gå over til en meldingstjeneste. En hvilken som helst tredjeperson kan ødelegge scenariet.
En liten forespørsel. Først ber de om noe ubetydelig - å bekrefte, lese opp eller trykke. Når du først har sagt ja én gang, er det vanskeligere å si nei andre gang.
Slik høres det ut
Samtalen går nesten alltid én vei: Den andre personen stiller spørsmål, og du svarer. De sjekker deg, selv om det var de som ringte deg. Her er en typisk samtale - se ikke på ordene, men på hvordan rollen endrer seg.
Dette er sikkerhetsavdelingen. Jeg ser et forsøk på å logge inn på kontoen din fra en annen by.
Jeg har ikke logget inn noe sted.
Det var det jeg trodde. Jeg rekker fortsatt å sende inn en blokkeringsforespørsel, men tidsvinduet er ti minutter.
Hva må jeg gjøre?
Les opp koden fra meldingen - den bekrefter at jeg snakker med kontoeieren.
Greit, ett øyeblikk.
Her kommer tre kjennetegn etter hverandre. Du har fått en alarmerende beskjed som du ikke kan sjekke. Du har fått en tidsfrist. Og du blir bedt om å bevise at du er deg, selv om det ikke var du som startet samtalen. Koden i meldingen bekrefter ingenting for den andre personen: Den trengs nettopp for å logge inn, og ekte kundestøtte vil ikke be om den.
Legg også merke til hvem som har det travelt her. I en slik samtale tilhører hastverket alltid noen andre: Det er blitt brakt til deg. Fjern tidtakeren, så faller scenariet sammen. Derfor holder de fast på den.
Scenariet bygger ikke på naivitet, men på normale reaksjoner: å hjelpe, ikke krangle og løse en sak raskt. Derfor rammer det oftest travle og høflige mennesker.
Hvorfor nevner personer som bruker preteksting en liten sann detalj om deg?
Hva hjelper hvis du blir stresset og blir bedt om en kode fra en melding?
Kilder
- Påvirkningsmekanismer - basert på Robert Cialdinis arbeider om autoritet, knapphet og konsistens
- analyse av preteksting - Kevin Mitnick, «Bedragets kunst»
- kjennetegn - i offentlig veiledning fra banker og CERT
Neste i serien «Sosial manipulering»
3 artikler i sin helhet på nettstedet, 4 til i appen
