Kako vdrejo v človeka, ne v računalnik

Za neposreden obhod zaščite potrebuješ čas, opremo in specializirano znanje. Za obhod prek človeka potrebuješ telefon in verodostojno zgodbo. Tehnika se imenuje socialni inženiring in je starejša od interneta: enake sheme so delovale, ko so bili prijavni podatki shranjeni v papirni kartoteki, ne v aplikaciji.

To deluje ne zato, ker bi bili ljudje na drugi strani neumni. Prošnja zadene delovne reflekse: pomagati, ne zavirati postopka, ne izpasti nadležno pred nekom, ki se mu mudi. Zavrnitev pomeni majhen konflikt ta hip, privolitev pa traja sekundo. Šibka točka tukaj ni značaj, ampak situacija, v katero človeka postavijo.

Kevin Mitnick, najbolj znani heker devetdesetih, je pozneje opisal isto: dostop je pogosteje dobil s pogovorom kot s kodo. Od takrat se je spremenilo okolje, ne mehanizem: namesto klica na recepcijo dobiš e-pošto „podpore“ in sporočilo „iz banke“.

Priprava običajno traja dlje kot sam pogovor. Ime, delovno mesto, kdo je komu nadrejen, kako v podjetju poimenujejo notranje sisteme - vse to vnaprej zberejo iz javnih virov: družbenih omrežij, podpisov v e-pošti, oglasov za zaposlitev. Nato poskus poteka po znanem vzorcu in koraki so skoraj vedno v istem vrstnem redu.

Ključna je zadnja poteza. Za geslo skoraj nikoli ne prosijo neposredno: prosijo te, da narediš nekaj, kar je samo po sebi videti neškodljivo. Koda iz sporočila, gumb „to sem jaz“ v aplikaciji, stran „preveri prijavo“. Privoliš v malenkost, predaš pa dostop do vsega.

Vse različice imajo en skupen znak: priganjajo te in te hkrati speljejo z običajnega kanala - v drug klepet, na drugo stran ali v pogovor takoj. Dvom pride minuto po tem, ko odložiš telefon, in to je normalno: računali so prav na hitrost. Prava podpora bo mirno počakala na tvoj povratni klic.