Zašto je lakše zamoliti nego probiti zaštitu
Za direktno zaobilaženje zaštite potrebni su vreme, oprema i retka znanja. Za zaobilaženje zaštite preko čoveka dovoljni su telefon i uverljiva priča. Taj postupak naziva se socijalni inženjering i stariji je od interneta: iste šeme funkcionisale su i kada su se pristupni podaci čuvali u papirnoj kartoteci, a ne u aplikaciji.
To ne uspeva zato što su ljudi sa druge strane glupi. Molba pogađa radne reflekse: pomoći, ne usporavati proces, ne delovati kao namćor pred nekim ko žuri. Odbiti znači ući u mali konflikt odmah, a pristati traje sekundu. Slaba tačka ovde nije karakter, već situacija u koju je osoba dovedena.
Amateri hakuju sisteme, profesionalci hakuju ljude.
Kevin Mitnik, najpoznatiji haker devedesetih, kasnije je opisivao isto: pristup je češće dobijao razgovorom nego kodom. Od tada su se promenile kulise, a ne mehanizam: umesto poziva u centralu, stižu mejl od „podrške“ i poruka „iz banke“.
Od čega je takav razgovor sastavljen
Priprema obično traje duže od samog razgovora. Ime, funkcija, ko je kome nadređen, kako se u kompaniji nazivaju interni sistemi - sve se to unapred prikuplja iz javno dostupnih izvora: društvenih mreža, potpisa u mejlovima, oglasa za posao. Zatim pokušaj prati poznatu šemu, a potezi se gotovo uvek odvijaju istim redosledom.
- PrePrikupljaju se detalji o organizaciji i ljudima - iz onoga što je ionako svima dostupno.
- PočetakPozivalac navodi te detalje i zato zvuči kao neko iznutra: kolega, saradnik ili zaposleni u banci.
- PritisakPojavljuje se hitnost: pristup će svakog časa biti blokiran, mora da se reši odmah, nema vremena za razmišljanje.
- MolbaUmesto lozinke traži se sitnica: da izdiktiraš kod, pritisneš potvrdu ili otvoriš link.
Glavni potez je poslednji. Lozinku gotovo nikad ne traže direktno: traže da uradiš nešto što samo po sebi deluje bezazleno. Kod iz poruke, dugme „to sam ja“ u aplikaciji, stranica „proveri prijavu“. Pristaneš na sitnicu, a predaš pristup svemu.
Svi oblici imaju jedan zajednički znak: požuruju te i istovremeno odvlače sa uobičajenog kanala - u drugi mesindžer, na drugu stranicu ili u razgovor odmah. Sumnja se javlja minut nakon što spustiš slušalicu i to je normalno: računalo se upravo na brzinu. Prava podrška mirno će sačekati i tvoj poziv.
Zašto prevaranti češće traže radnju, a ne lozinku?
Šta da uradiš ako te „podrška“ požuruje tokom poziva?
Izvori
- Kevin Mitnik, „Umetnost obmane“ (2002) - analiza postupaka iz prvog lica. Isti redosled koraka opisuju službe za borbu protiv telefonskih prevara i godišnji izveštaji o istragama curenja podataka
Dalje u serijalu „Socijalni inženjering“
3 članka u celosti na sajtu, još 4 u aplikaciji
