Det som säljs är inte en lögn, utan en roll
Ett nätfiskemejl spelar på stora volymer: det skickas till tusentals, och någon kommer att klicka. Pretexting fungerar annorlunda - en berättelse byggs kring just dig. Namnet på din avdelning, banken du faktiskt använder, beställningen du verkligen väntar på. Inget av detta är hemlig information: det finns i sociala medier, i dataläckor eller i din egen e-postsignatur.
Poängen med detaljerna är inte att bevisa något. De undanröjer frågan ”vem är det här egentligen?”. När du kontrollerar en detalj och den stämmer slutar du kontrollera resten - hjärnan fyller i hela rollen. En enda detalj som stämmer fungerar som en garanti för hela berättelsen.
Förevändningen. En roll och en anledning förbereds i förväg: en inloggningskontroll, en leverans eller ett fel i dokumenten. Anledningen förklarar varför de ringer just dig och just nu.
En liten sanning. Under de första sekunderna nämner de något som faktiskt är känt om dig. Det är inte en fråga, utan en handpenning på förtroendet.
Brådska. Ett tidsfönster dyker upp: ”ansökan ligger kvar i tio minuter”. Det finns ingen tid att kontrollera, och det är avsiktligt - inte en slump.
Isolering. De ber dig att inte lägga på, inte prata med någon annan eller gå över till en meddelandeapp. En tredje person kan rasera hela manuset.
En liten begäran. Först ber de om en småsak - att bekräfta, läsa upp eller trycka. När du har gått med på det en gång blir det svårare att säga nej andra gången.
Så låter det
Samtalet går nästan alltid åt ett håll: den andra personen ställer frågor och du svarar. Det är dig de kontrollerar, trots att det var de som ringde dig. Här är en typisk dialog - titta inte på orden, utan på hur rollen förskjuts.
Det här är säkerhetsavdelningen. Jag ser ett försök att logga in på ditt konto från en annan stad.
Jag har inte loggat in någonstans.
Det var det jag trodde. Jag hinner skicka en begäran om blockering, men tidsfönstret är tio minuter.
Vad behöver jag göra?
Läs upp koden i meddelandet - den bekräftar att jag pratar med kontoägaren.
Okej, ett ögonblick.
Här kommer tre varningssignaler på rad. Du får ett oroande besked som du inte kan kontrollera. Du får en tidsgräns. Och du ombeds bevisa att du är du, trots att det inte var du som ringde upp. Koden i meddelandet bekräftar ingenting för den andra personen: den behövs just för att logga in, och riktig support ber aldrig om den.
Lägg också märke till vem som har bråttom här. I den här typen av samtal är brådskan alltid någon annans: den har de tagit med sig till dig. Ta bort tidspressen, så faller manuset samman - det är därför den hålls kvar.
Manuset bygger inte på naivitet, utan på normala reaktioner: att hjälpa till, inte säga emot och lösa saken snabbt. Därför drabbar det oftast upptagna och artiga personer.
Varför nämner den som använder pretexting en liten sann detalj om dig?
Vad hjälper om du stressas och ombeds uppge en kod från ett meddelande?
Källor
- Påverkansmekanismerna bygger på Robert Cialdinis arbeten om auktoritet, knapphet och konsekvens
- en analys av pretexting finns hos Kevin Mitnick i ”The Art of Deception”
- varningssignaler finns i offentliga råd från banker och CERT
Nästa i serien ”Social ingenjörskonst”
3 artiklar i sin helhet på webbplatsen, 4 till i appen
