Nu se vinde o minciună, ci un rol
Un e-mail de phishing se bazează pe volum: este trimis la mii de oameni și cineva va da clic. Pretextingul funcționează altfel: povestea este construită în jurul tău. Numele departamentului tău, banca la care chiar ai cont, numărul comenzii pe care chiar o aștepți. Nimic din toate acestea nu este informație secretă: se găsește pe rețelele sociale, în scurgeri de date sau chiar în semnătura propriului tău e-mail.
Scopul detaliilor nu este să dovedească ceva. Ele înlătură întrebarea „cine este, de fapt?”. Cât timp verifici un detaliu și se potrivește, nu le mai verifici pe celelalte - creierul tău completează întregul rol. Un singur detaliu care se potrivește funcționează ca o garanție pentru întreaga poveste.
Legenda. Pregătesc dinainte un rol și un motiv: verificarea accesului, o livrare, o eroare în documente. Motivul explică de ce te sună tocmai pe tine și tocmai acum.
Un adevăr mărunt. În primele secunde menționează ceva ce se știe cu adevărat despre tine. Nu este o cerere, ci un avans de încredere.
Urgența. Apare o fereastră: „cererea rămâne în așteptare zece minute”. Nu mai rămâne timp pentru verificare intenționat, nu din întâmplare.
Izolarea. Îți cer să nu închizi, să nu discuți cu nimeni sau să treci pe o aplicație de mesagerie. Orice a treia persoană poate distruge scenariul.
O cerere mică. Mai întâi îți cer un lucru neînsemnat - să confirmi, să dictezi sau să apeși. După ce ai acceptat o dată, îți este mai greu să refuzi a doua oară.
Cum sună
Conversația merge aproape întotdeauna într-o singură direcție: interlocutorul pune întrebări, iar tu răspunzi. Te verifică pe tine, deși el te-a sunat. Iată un fragment tipic - uită-te nu la cuvinte, ci la felul în care se schimbă rolul.
Aici este serviciul de securitate. Văd o încercare de accesare a contului tău din alt oraș.
Nu m-am conectat nicăieri.
Așa mă gândeam și eu. Mai pot trimite cererea de blocare, dar intervalul este de zece minute.
Ce trebuie să fac?
Dictează-mi codul din mesaj - va confirma că vorbesc cu titularul contului.
Bine, o clipă.
Aici apar trei semnale la rând. Ți s-a transmis o veste alarmantă pe care nu o poți verifica. Ți s-a dat un termen-limită. Și ți se cere să dovedești că ești tu, deși nu tu ai inițiat apelul. Codul din mesaj nu confirmă nimic pentru interlocutor: este necesar tocmai pentru autentificare, iar serviciul real de asistență nu îl va cere.
Observă și cine se grăbește aici. Într-o astfel de conversație, graba aparține întotdeauna altcuiva: ți-a fost adusă. Elimină cronometrul și scenariul se destramă, de aceea îl mențin.
Scenariul nu se bazează pe naivitate, ci pe reacții normale: să ajuți, să nu te cerți și să rezolvi rapid problema. De aceea le este aplicat cel mai des persoanelor ocupate și politicoase.
De ce menționează cei care folosesc pretextingul un detaliu adevărat despre tine?
Ce te ajută dacă te grăbești și ți se cere un cod dintr-un mesaj?
Surse
- Mecanismele de influență se bazează pe lucrările lui Robert Cialdini despre autoritate, raritate și consecvență
- analiza pretextingului se găsește la Kevin Mitnick, „Arta înșelătoriei”
- semnele de avertizare apar în materialele publice ale băncilor și CERT
Urmează în seria „Inginerie socială”
3 articole integral pe site, încă 4 în aplicație
