Jak hakuje się człowieka, a nie komputer

Bezpośrednie obejście zabezpieczeń wymaga czasu, sprzętu i rzadkiej wiedzy. Ominięcie ich przez człowieka wymaga telefonu i wiarygodnej historii. Ta technika nazywa się inżynierią społeczną i jest starsza od internetu: te same schematy działały, gdy dane dostępowe przechowywano w papierowych kartotekach, a nie w aplikacji.

Działa to nie dlatego, że osoby po drugiej stronie są głupie. Prośba trafia w zawodowe odruchy: pomóc, nie spowalniać pracy, nie wyjść na marudę przy kimś, kto się spieszy. Odmowa oznacza mały konflikt tu i teraz, a zgoda zajmuje sekundę. Słabym punktem jest tutaj nie charakter, lecz sytuacja, w której stawia się człowieka.

Kevin Mitnick, najsłynniejszy haker lat 90., później opisywał to samo: dostęp częściej zdobywał rozmową niż kodem. Od tamtej pory zmieniła się sceneria, nie mechanizm: zamiast telefonu do recepcji jest wiadomość od „pomocy technicznej” i wiadomość „z banku”.

Przygotowanie zwykle zajmuje więcej czasu niż sama rozmowa. Imię, stanowisko, kto jest czyim przełożonym, jak firma nazywa wewnętrzne systemy - wszystko to zbiera się wcześniej z publicznie dostępnych źródeł: mediów społecznościowych, podpisów w e-mailach, ogłoszeń o pracę. Potem próba przebiega według znanego schematu, a kolejne kroki niemal zawsze pojawiają się w tej samej kolejności.

Najważniejszy jest ostatni krok. Hasła prawie nigdy nie prosi się wprost: zamiast tego prosi się o działanie, które samo w sobie wygląda niewinnie. Kod z wiadomości, przycisk „to ja” w aplikacji, strona „sprawdź logowanie”. Zgadzasz się na drobiazg, a oddajesz dostęp do wszystkiego.

Wszystkie warianty mają jeden wspólny znak: ktoś cię pospiesza, a jednocześnie odciąga od zwykłego kanału - do innego komunikatora, na inną stronę albo do rozmowy od razu. Wątpliwości pojawiają się minutę po odłożeniu słuchawki i to normalne: cała kalkulacja opierała się na szybkości. Prawdziwa pomoc techniczna spokojnie zniesie przerwę i twoje oddzwonienie.