Nepredáva sa lož, ale rola
Phishingový e-mail hrá na množstvo: pošlú ho tisícom ľudí a niekto klikne. Pretexting funguje inak - príbeh vytvoria priamo pre teba. Meno tvojho oddelenia, názov banky, v ktorej naozaj využívaš služby, číslo objednávky, na ktorú naozaj čakáš. Nič z toho nie sú tajné informácie: nájdeš ich na sociálnych sieťach, v únikoch dát alebo v podpise vlastného e-mailu.
Zmyslom detailov nie je nič dokázať. Odstránia otázku: „Kto to vlastne je?“ Kým si overíš jeden detail a ten sedí, ostatné už nekontroluješ - mozog si dotvorí celú rolu. Jeden detail, ktorý sedí, funguje ako záruka za celý príbeh.
Legenda. Vopred si pripravia rolu a dôvod: kontrolu prihlásenia, doručenie alebo chybu v dokumentoch. Dôvod vysvetľuje, prečo volajú práve tebe a práve teraz.
Malá pravda. V prvých sekundách spomenú niečo, čo o tebe naozaj vedia. Nie je to požiadavka, ale vklad dôvery.
Naliehavosť. Objaví sa časové okno: „žiadosť čaká 10 minút“. Na overenie nezostane čas zámerne, nie náhodou.
Izolácia. Požiadajú o zotrvanie na linke, mlčanlivosť voči iným alebo prechod do četovacej aplikácie. Každá tretia osoba môže scenár prekaziť.
Malá požiadavka. Najprv požiadajú o maličkosť - potvrdiť, nadiktovať alebo stlačiť. Keď raz súhlasíš, na druhýkrát sa odmieta ťažšie.
Ako to znie
Rozhovor takmer vždy prebieha jedným smerom: druhá osoba kladie otázky a ty odpovedáš. Kontrolujú pritom teba, hoci zavolali oni tebe. Tu je typická ukážka - nesleduj slová, ale to, kam sa posúva rola.
Tu je bezpečnostné oddelenie. Vidím pokus o prihlásenie do tvojho účtu z iného mesta.
Nikde nedošlo k môjmu prihláseniu.
To som si myslel. Žiadosť o zablokovanie ešte stihnem odoslať, ale časové okno je 10 minút.
Čo mám urobiť?
Nadiktuj mi kód zo správy - potvrdí, že hovorím s majiteľom účtu.
Dobre, hneď.
Tu vidíš tri signály za sebou. Oznámili ti znepokojujúcu správu, ktorú si nemôžeš overiť. Dali ti časový limit. A žiadajú od teba, aby sa potvrdilo, že si to ty, hoci hovor nezačal z tvojej strany. Kód zo správy druhej osobe nič nepotvrdzuje: potrebuje ho presne na prihlásenie a skutočná podpora si ho nikdy nepýta.
Všimni si aj to, kto sa tu ponáhľa. V takomto rozhovore je naliehavosť vždy cudzia: niekto ju priniesol tebe. Odstráň časovač a scenár sa rozpadne, preto ho tam udržiavajú.
Scenár nestojí na naivite, ale na normálnych reakciách: pomôcť, nehádať sa a rýchlo vyriešiť problém. Preto najčastejšie zaberie na zaneprázdnených a zdvorilých ľudí.
Prečo pri pretextingu spomenú o tebe pravdivý drobný detail?
Čo pomôže, keď ťa naháňajú a pýtajú si kód zo správy?
Zdroje
- Mechanizmy ovplyvňovania - podľa prác Roberta Cialdiniho o autorite, nedostatku a konzistentnosti
- rozbor pretextingu - Kevin Mitnick, „Umenie klamstva“
- príznaky - vo verejne dostupných odporúčaniach bánk a CERT-u
Ďalej v sérii „Sociálne inžinierstvo“
3 celé články na webe, ešte 4 v aplikácii
