Bilgisayar değil, insan nasıl ele geçirilir

Güvenliği doğrudan aşmak zaman, ekipman ve nadir bulunan uzmanlık bilgisi gerektirir. Bir insan üzerinden aşmak içinse bir telefon ve inandırıcı bir hikâye yeterlidir. Bu yönteme sosyal mühendislik denir ve internetten daha eskidir: erişim bilgileri bir uygulamada değil, kâğıt dosyalarda tutulurken de aynı yöntemler işe yarıyordu.

Bunun nedeni, karşı taraftaki insanların aptal olması değil. İstek, iş yerindeki reflekslere dokunur: yardım etmek, süreci yavaşlatmamak, acele eden birinin karşısında huysuz görünmemek. Hayır demek şu anda küçük bir çatışma yaratır; evet demekse bir saniye sürer. Buradaki zayıf nokta karakterin değil, içine sokulduğun durumun kendisidir.

Doksanlı yılların en ünlü bilgisayar korsanı Kevin Mitnick de daha sonra aynı şeyi anlatmıştı: Erişimi çoğunlukla kodla değil, konuşarak elde ediyordu. O zamandan beri değişen mekanizma değil, ortam oldu: santrali aramak yerine artık "destek"ten bir e-posta ve "bankadan" bir mesaj geliyor.

Hazırlık genellikle konuşmanın kendisinden daha uzun sürer. İsim, görev, kimin kime bağlı olduğu, şirketin iç sistemlerine ne ad verdiği gibi bilgiler sosyal medya, e-posta imzaları ve iş ilanları gibi herkese açık kaynaklardan önceden toplanır. Sonra girişim tanıdık bir şemayı izler ve adımlar neredeyse her zaman aynı sırayla gelir.

Asıl hamle sonuncusudur. Şifreni neredeyse hiç doğrudan sormazlar; senden tek başına zararsız görünen bir şey yapmanı isterler. Mesajdaki bir kod, uygulamadaki "bu benim" düğmesi, "girişini kontrol et" sayfası. Küçük bir şeye onay verirsin ama tüm erişimi teslim edersin.

Tüm türlerin ortak bir işareti vardır: seni acele ettirirken alışık olduğun kanaldan uzaklaştırırlar - başka bir mesajlaşma uygulamasına, başka bir sayfaya ya da hemen şimdi yapılacak bir konuşmaya. Şüphe, telefonu kapattıktan bir dakika sonra gelir ve bu normaldir: bütün hesap hız üzerine kuruludur. Gerçek destek, beklemeye ve senin geri aramana sakince karşılık verir.