สิ่งที่ขายไม่ใช่คำโกหก แต่คือบทบาท
อีเมลฟิชชิงใช้วิธีหว่านแห:ส่งไปหาคนนับพัน แล้วจะมีใครสักคนคลิก แต่พรีเท็กซ์ติงทำงานต่างออกไป ผู้หลอกลวงจะสร้างเรื่องราวให้เหมาะกับคุณ ทั้งชื่อแผนกของคุณ ชื่อธนาคารที่คุณใช้บริการอยู่จริง หรือหมายเลขคำสั่งซื้อที่คุณกำลังรอจริงๆ สิ่งเหล่านี้ไม่ใช่ข้อมูลลับ แต่อาจอยู่ในโซเชียลมีเดีย ข้อมูลรั่วไหล หรือแม้แต่ลายเซ็นอีเมลของคุณเอง
จุดประสงค์ของรายละเอียดเหล่านี้ไม่ใช่เพื่อพิสูจน์อะไร แต่เพื่อขจัดคำถามว่า "นี่ใครกัน" ระหว่างที่คุณตรวจสอบรายละเอียดหนึ่งแล้วพบว่าตรงกัน คุณก็จะเลิกตรวจสอบรายละเอียดที่เหลือ สมองจะเติมเต็มบทบาททั้งหมดให้เอง รายละเอียดเล็กๆเพียงอย่างเดียวที่ตรงกันทำหน้าที่เสมือน หลักประกันให้เรื่องราวทั้งหมด
เรื่องที่แต่งขึ้น พวกเขาเตรียมบทบาทและเหตุผลไว้ล่วงหน้า เช่น ตรวจสอบการเข้าสู่ระบบ การจัดส่ง หรือข้อผิดพลาดในเอกสาร เหตุผลนั้นอธิบายว่าทำไมจึงโทรหาคุณโดยเฉพาะ และทำไมต้องเป็นตอนนี้
ความจริงเล็กๆ ในช่วงไม่กี่วินาทีแรก พวกเขาจะพูดถึงสิ่งที่รู้เกี่ยวกับคุณจริงๆ นี่ไม่ใช่คำขอ แต่เป็นเงินมัดจำของความไว้วางใจ
ความเร่งด่วน พวกเขาจะสร้างกรอบเวลาขึ้นมา เช่น "คำขอยังค้างอยู่ มีเวลา 10 นาที" การไม่มีเวลาให้ตรวจสอบนั้นถูกออกแบบไว้ ไม่ใช่เกิดขึ้นโดยบังเอิญ
การแยกคุณออก พวกเขาขอให้คุณอย่าวางสาย อย่าเล่าให้ใครฟัง หรือย้ายไปคุยในแอปส่งข้อความ บุคคลที่สามเพียงคนเดียวก็ทำให้บทที่วางไว้พังได้
คำขอเล็กๆ ตอนแรกพวกเขาจะขอเรื่องเล็กน้อย เช่น ให้ยืนยัน บอกรหัส หรือกดบางอย่าง เมื่อคุณยอมครั้งหนึ่งแล้ว การปฏิเสธครั้งที่สองจะยากขึ้น
ฟังออกได้อย่างไร
บทสนทนาแทบจะเป็นไปทางเดียวเสมอ อีกฝ่ายเป็นคนถามคำถาม ส่วนคุณเป็นคนตอบ พวกเขากำลังตรวจสอบคุณ ทั้งที่เป็นฝ่ายโทรหาคุณเอง นี่คือตัวอย่างบทสนทนา ลองดูไม่ใช่แค่คำพูด แต่ดูว่าบทบาทกำลังถูกเลื่อนไปทางไหน
นี่คือฝ่ายรักษาความปลอดภัย เราพบความพยายามเข้าสู่บัญชีของคุณจากอีกเมืองหนึ่ง
ฉันไม่ได้เข้าสู่ระบบที่ไหนเลย
คิดไว้แล้ว เราส่งคำขอบล็อกให้ทันได้ แต่มีเวลา 10 นาที
ต้องทำอะไรบ้าง
บอกรหัสจากข้อความให้เราฟัง รหัสนี้จะยืนยันว่าเรากำลังคุยกับเจ้าของบัญชี
ได้ รอสักครู่
ตรงนี้มีสัญญาณเตือน 3 อย่างต่อเนื่องกัน คุณได้รับข่าวที่น่าตกใจและตรวจสอบไม่ได้ คุณได้รับเส้นตาย และถูกขอให้พิสูจน์ว่าคุณคือเจ้าของบัญชี ทั้งที่คุณไม่ได้เป็นฝ่ายเริ่มโทร รหัสในข้อความไม่ได้ยืนยันอะไรกับอีกฝ่าย:รหัสนี้มีไว้เพื่อเข้าสู่บัญชีโดยตรง และฝ่ายสนับสนุนที่แท้จริงจะไม่ขอรหัสนี้
ลองสังเกตด้วยว่าใครกันแน่ที่กำลังรีบ ความเร่งรีบในบทสนทนาแบบนี้เป็นของคนอื่นเสมอ พวกเขาเป็นคนนำมันมาให้คุณ เอาตัวจับเวลาออก แล้วบทที่วางไว้ก็จะพัง นั่นจึงเป็นเหตุผลที่พวกเขาต้องคอยรักษาความเร่งรีบไว้
บทที่วางไว้ไม่ได้อาศัยความไร้เดียงสา แต่ใช้ปฏิกิริยาปกติของคนเรา เช่น อยากช่วย ไม่อยากโต้เถียง และอยากจัดการเรื่องให้จบเร็วๆ นั่นจึงเป็นเหตุผลว่าทำไมคนที่มักตกเป็นเป้าหมายคือคนที่ยุ่งและสุภาพ
ทำไมผู้ใช้พรีเท็กซ์ติงจึงบอกรายละเอียดเล็กๆที่เป็นจริงเกี่ยวกับคุณ
ถ้าคุณถูกเร่งและถูกขอรหัสจากข้อความ อะไรจะช่วยได้
แหล่งอ้างอิง
- กลไกการโน้มน้าวอ้างอิงจากงานของ Robert Cialdini ว่าด้วยอำนาจ ความขาดแคลน และความสอดคล้อง
- การวิเคราะห์พรีเท็กซ์ติงจาก Kevin Mitnick หนังสือ "ศิลปะแห่งการหลอกลวง"
- สัญญาณเตือนจากคำแนะนำสาธารณะของธนาคารและ CERT
ถัดไปในซีรีส์ “วิศวกรรมสังคม”
ฉบับเต็มบนเว็บไซต์ 3 บทความ และอีก 4 บทความในแอป
