Sprzedaje się nie kłamstwo, lecz rolę
Phishingowa wiadomość działa na masową skalę: wysyła się ją do tysięcy osób i ktoś w nią kliknie. Preteksting działa inaczej - historię buduje się wokół ciebie. Nazwa twojego działu, bank, z którego naprawdę korzystasz, numer zamówienia, którego naprawdę oczekujesz. To wszystko nie jest tajną informacją: można to znaleźć w mediach społecznościowych, w wyciekach danych albo w podpisie twojej własnej wiadomości.
Szczegóły nie mają niczego udowodnić. Usuwają pytanie: „Ale właściwie kto to jest?”. Kiedy sprawdzasz jeden szczegół i wszystko się zgadza, przestajesz sprawdzać resztę - mózg dopowiada sobie całą rolę. Jeden pasujący drobiazg działa jak gwarancja całej historii.
Legenda. Z wyprzedzeniem przygotowuje się rolę i powód: sprawdzenie logowania, dostawa, błąd w dokumentach. Powód wyjaśnia, dlaczego dzwonią właśnie do ciebie i właśnie teraz.
Drobna prawda. W pierwszych sekundach pada informacja, która naprawdę jest o tobie znana. To nie prośba, lecz zaliczka na poczet zaufania.
Presja czasu. Pojawia się okno czasowe: „zgłoszenie czeka już dziesięć minut”. Z założenia, a nie przypadkiem, nie zostaje ci czas na sprawdzenie.
Izolacja. Proszą, żeby nie rozłączać się, nie rozmawiać o tym z nikim albo przenieść rozmowę do komunikatora. Każda trzecia osoba może zburzyć scenariusz.
Mała prośba. Najpierw proszą o drobiazg - potwierdzenie, podyktowanie czegoś albo kliknięcie. Kiedy zgodzisz się raz, za drugim razem trudniej odmówić.
Jak to brzmi
Rozmowa niemal zawsze przebiega w jedną stronę: druga osoba zadaje pytania, a ty odpowiadasz. To ciebie sprawdzają, choć to do ciebie zadzwonili. Oto typowy fragment - nie patrz na same słowa, lecz na to, jak zmienia się rola.
Tu dział bezpieczeństwa. Widzę próbę zalogowania się na twoje konto z innego miasta.
Nie było logowania.
Tak właśnie myślałem. Zdążę jeszcze wysłać zgłoszenie blokady, ale okno trwa dziesięć minut.
Co mam zrobić?
Podyktuj kod z wiadomości - potwierdzi, że rozmawiam z właścicielem konta.
Dobrze, już.
Widać tu trzy sygnały jeden po drugim. Przekazano ci niepokojącą wiadomość, której nie możesz sprawdzić. Wyznaczono ci termin. I proszą cię, żeby udowodnić, że jest się sobą, choć połączenie nie zostało rozpoczęte przez ciebie. Kod z wiadomości niczego nie potwierdza rozmówcy: jest potrzebny właśnie po to, żeby się zalogować, a prawdziwa obsługa nigdy o niego nie prosi.
Zauważ też, kto się tu spieszy. W takiej rozmowie pośpiech zawsze należy do kogoś innego: ktoś przyniósł go tobie. Usuń zegar odliczający czas, a scenariusz się rozpada - właśnie dlatego tak kurczowo się go trzymają.
Scenariusz nie opiera się na naiwności, lecz na normalnych reakcjach: chęci pomocy, unikaniu kłótni i szybkim załatwieniu sprawy. Dlatego najczęściej padają jego ofiarą osoby zajęte i uprzejme.
Po co w pretekstingu podaje się prawdziwy drobny szczegół na twój temat?
Co pomoże, gdy ktoś cię pogania i prosi o kod z wiadomości?
Źródła
- Mechanizmy wpływu - na podstawie prac Roberta Cialdiniego o autorytecie, niedostępności i konsekwencji
- analiza pretekstingu - Kevin Mitnick, „Sztuka podstępu”
- oznaki ostrzegawcze - w publicznych materiałach informacyjnych banków i CERT
Dalej w serii „Inżynieria społeczna”
3 artykuły w całości na stronie, jeszcze 4 w aplikacji
