Ne prodaja se laž, ampak vloga
Lažno e-poštno sporočilo cilja na množico: pošljejo ga tisočim in nekdo bo kliknil. Pretekstiranje deluje drugače: zgodbo sestavijo prav zate. Ime tvojega oddelka, ime banke, pri kateri imaš račun, številka naročila, ki ga res čakaš. Nič od tega ni skrivna informacija: najde se na družbenih omrežjih, v razkritih podatkih ali v podpisu tvojega elektronskega sporočila.
Namen podrobnosti ni v tem, da bi kaj dokazale. Odpravijo vprašanje: »Kdo pa je to sploh?« Ko preveriš eno podrobnost in se ujema, drugih ne preverjaš več, saj možgani sami dopolnijo celotno vlogo. Ena ujemajoča se malenkost deluje kot jamstvo za celotno zgodbo.
Legenda. Vnaprej pripravijo vlogo in razlog: preverjanje prijave, dostavo ali napako v dokumentih. Razlog pojasni, zakaj kličejo prav tebe in prav zdaj.
Majhna resnica. V prvih nekaj sekundah omenjajo nekaj, kar o tebi res vedo. To ni zahteva, ampak polog zaupanja.
Nujnost. Pojavi se časovno okno: »zahtevek čaka deset minut«. Časa za preverjanje namerno ni, ne po naključju.
Osamitev. Prosijo te, naj ne odložiš, naj se o tem s kom ne pogovarjaš ali naj se preseliš v aplikacijo za sporočanje. Vsaka tretja oseba lahko poruši scenarij.
Majhna prošnja. Najprej prosijo za malenkost: da potrdiš, narekuješ ali pritisneš. Ko enkrat privoliš, je drugič težje zavrniti.
Kako zveni
Pogovor skoraj vedno poteka v eno smer: sogovornik postavlja vprašanja, ti pa odgovarjaš. Pri tem preverjajo tebe, čeprav so poklicali oni tebi. Tukaj je značilen odlomek: ne glej besed, ampak to, kam se premakne vloga.
Tukaj varnostna služba. Vidim poskus prijave v tvoj račun iz drugega mesta.
Nisem se nikamor prijavil.
To sem si mislil. Zahtevek za blokado še lahko pošljem, ampak časovno okno je deset minut.
Kaj moram narediti?
Narekuj mi kodo iz sporočila, potrdila bo, da govorim z lastnikom računa.
Prav, samo trenutek.
Tukaj so tri opozorilne točke zapored. Sporočili so ti zaskrbljujočo novico, ki je ne moreš preveriti. Dali so ti rok. In prosijo te, da dokažeš, da si ti res ti, čeprav klic ni prišel od tebe. Koda iz sporočila sogovorniku ničesar ne potrjuje: potrebna je natanko za prijavo, prava podpora pa zanjo nikoli ne prosi.
Opazi še, kdo se tukaj mudi. Nujnost je v takem pogovoru vedno tuja: prinesejo jo k tebi. Odstrani časovnik in scenarij razpade, zato ga tudi ohranjajo.
Scenarij ne temelji na naivnosti, ampak na običajnih odzivih: pomagati, ne ugovarjati in hitro rešiti zadevo. Zato najpogosteje ujame zaposlene in vljudne ljudi.
Zakaj pri pretekstiranju omenijo majhno resnično podrobnost o tebi?
Kaj pomaga, če te priganjajo in prosijo za kodo iz sporočila?
Viri
- Mehanizmi vplivanja po delih Roberta Cialdinija o avtoriteti, pomanjkanju in doslednosti
- analiza pretekstiranja pri Kevinu Mitnicku, »Umetnost prevare«
- opozorilni znaki v javnih priporočilih bank in CERT-a
Naprej v seriji „Socialni inženiring“
3 članki v celoti na spletni strani, še 4 v aplikaciji
