Ako nabúrajú človeka, nie počítač

Na priame obídenie ochrany potrebuješ čas, vybavenie a vzácne znalosti. Na jej obídenie cez človeka potrebuješ telefón a dôveryhodný príbeh. Tento spôsob sa nazýva sociálne inžinierstvo a je starší než internet: rovnaké schémy fungovali aj vtedy, keď sa prístupové údaje uchovávali v papierovej kartotéke, nie v aplikácii.

Funguje to nie preto, že ľudia na druhom konci sú hlúpi. Prosba zasahuje pracovné reflexy: pomôcť, nezdržiavať proces, nevyzerať otravne pred niekým, kto sa ponáhľa. Odmietnuť znamená malý konflikt práve teraz, súhlasiť trvá sekundu. Slabým miestom tu nie je charakter, ale situácia, do ktorej človeka postavia.

Kevin Mitnick, najznámejší hacker z 90. rokov, neskôr opisoval to isté: prístup získaval častejšie rozhovorom než kódom. Odvtedy sa zmenili kulisy, nie mechanizmus: namiesto telefonátu na recepciu príde e-mail od „podpory“ a správa „z banky“.

Príprava zvyčajne trvá dlhšie než samotný rozhovor. Meno, pracovná pozícia, kto je komu nadriadený, ako firma nazýva svoje interné systémy, to všetko sa vopred zhromažďuje z verejných zdrojov: zo sociálnych sietí, podpisov v e-mailoch a pracovných inzerátov. Potom pokus pokračuje podľa známej schémy a jednotlivé kroky takmer vždy nasledujú v rovnakom poradí.

Hlavný trik prichádza na konci. O heslo sa takmer nikdy nepýtajú priamo: požiadajú ťa o úkon, ktorý sám osebe vyzerá neškodne. Kód zo správy, tlačidlo „to som ja“ v aplikácii, stránka „skontrolovať prihlásenie“. Súhlasíš s maličkosťou, ale odovzdáš celý prístup.

Všetky varianty majú jeden spoločný znak: ponáhľajú ťa a zároveň ťa odvádzajú z obvyklého kanála, do inej aplikácie na komunikáciu, na inú stránku alebo do rozhovoru práve teraz. Pochybnosť príde minútu po tom, čo položíš telefón, a je to normálne: počítali práve s rýchlosťou. Skutočná podpora pokojne zvládne prestávku aj to, že zavoláš späť.