Så hackar man människor, inte datorer

Att kringgå skyddet direkt kräver tid, utrustning och sällsynta kunskaper. Att kringgå det via en människa kräver en telefon och en trovärdig historia. Metoden kallas social ingenjörskonst, och den är äldre än internet: samma upplägg fungerade när behörigheter förvarades i pappersarkiv i stället för i en app.

Det fungerar inte för att personerna i andra änden är dumma. Förfrågan träffar arbetslivets reflexer: att hjälpa till, inte bromsa processen och inte verka besvärlig inför någon som har bråttom. Att säga nej innebär en liten konflikt just nu, medan ett ja tar en sekund. Den svaga punkten är inte din karaktär, utan situationen som personen försätts i.

Kevin Mitnick, 90-talets mest kända hackare, beskrev senare samma sak: oftare fick han tillgång genom samtal än genom kod. Sedan dess har kulisserna förändrats, men inte mekanismen: i stället för ett samtal till receptionen kommer ett mejl från "supporten" och ett meddelande "från banken".

Förberedelserna tar vanligtvis längre tid än själva samtalet. Namn, befattning, vem som är chef över vem och vad företaget kallar sina interna system samlas in i förväg från öppna källor: sociala medier, mejlsignaturer och platsannonser. Sedan följer försöket ett välbekant mönster, och stegen kommer nästan alltid i samma ordning.

Det viktigaste steget är det sista. De ber nästan aldrig direkt om ditt lösenord, utan om att du ska göra något som verkar ofarligt i sig. En kod från ett meddelande, en knapp med texten "det är jag" i en app eller en sida för att "kontrollera inloggningen". Du går med på en liten sak, men lämnar över tillgången till allt.

Alla varianter har ett gemensamt tecken: de stressar dig och leder dig samtidigt bort från din vanliga kanal, till en annan meddelandetjänst, en annan sida eller ett samtal här och nu. Tvivlet kommer en minut efter att du har lagt på, och det är normalt: hela upplägget bygger på snabbhet. Riktig support klarar lugnt av en paus och att du ringer tillbaka.