Betet ser ut som någon annans borttappade sak
Ett USB-minne vid kontorsentrén, på parkeringen eller i hissen är inte skräp, utan en iscensättning. Det läggs där någon säkert kommer att plocka upp det och märks så att det får en ägare: ett namn, ”Semester 2026” eller ett rumsnummer. Sedan gör du resten själv, och det är hela poängen.
Det fungerar genom en känsla av skyldighet, inte dumhet. En upphittad sak placerar dig genast i rollen som någon som kan hjälpa till. För att lämna tillbaka USB-minnet måste du se vems filer som finns på det, och då börjar det att se ut som en hederlig handling snarare än en risk att ansluta det. Därför fungerar en namnlapp bättre än ett omärkt hölje.
På nästan hälften av de utlagda USB-minnena öppnade någon filer
Den andra hävstången är nyfikenhet, som eldas på av märkningen. ”Konfidentiellt”, ”bonusar”, ”bilder från personalfesten” - ett löfte om någon annans hemlighet som du kan se utan vittnen. Inifrån känns inget av motiven som ett misstag: du är antingen hjälpsam eller bara nyfiken.
Varför även försiktiga personer går på det
En bedragare behöver inte en naiv person, utan en upptagen. Metoden slår till när du hanterar flera saker samtidigt och vill lösa ett litet ärende på 30 sekunder. Din försiktighet försvinner inte, men du fattar inget separat beslut om fyndet.
Det är bara oförsiktiga som går på det här. Jag skulle verkligen inte göra det.
I den studien plockade vanliga människor på ett universitetsområde upp USB-minnena, och oftast förklarade de det med att de ville hitta ägaren. Metoden utnyttjar hjälpsamhet och brådska, inte dumhet.
Sedan kommer samma hävstänger som i ett samtal från ”säkerhetsavdelningen”: brådska, en färdig roll (”du hjälper väl till?”), någon annans auktoritet och en liten tjänst som du känner för att återgälda. Ett USB-minne är den tysta versionen av samma samtal.
Så känner du igen det
Tecknet är allmänt och ganska tillförlitligt: du pressas att fatta ett beslut snabbt och ensam. En äkta förfrågan tål en paus och kontroll via en annan kanal, till exempel ett samtal till numret på den officiella webbplatsen, en fråga till en kollega eller ett mejl till en arbetsadress. Pressen håller i sig ända tills en annan person dyker upp.
- Lämna fyndet till någon som ansvarar för sådant, till exempel receptionen eller systemadministratören
- Kontrollera en brådskande förfrågan via en kanal som du själv har hittat, inte via kontaktuppgifterna i meddelandet
- Ge dig själv en paus: metoden bygger på de första sekunderna
- Ansluta den upphittade enheten till din egen dator eller jobbdator för att ”hitta ägaren”
- Öppna en fil vars märkning lovar någon annans hemlighet
- Tro att försiktighet i sig skyddar dig
Läs klart i Miqo-appen
1 minut kvar, sedan ett quiz i slutet. Du hittar den under ”Psykologi → Social ingenjörskonst”
Rikta mobilkameran hit för att öppna App Store eller Google Play.
Källor
- Tischer et al., ”Users Really Do Plug In USB Drives They Find”, IEEE Symposium on Security and Privacy, 2016: av 297 minnen som lades ut på ett universitetsområde togs 98 % med, och filer öppnades på ungefär 45 %