Satılan şey yalan değil, roldür
Kimlik avı e-postası sayılara oynar: Binlerce kişiye gönderilir, birileri tıklar. Preteksting ise farklı işler: Sana özel bir hikâye hazırlanır. Departmanının adı, gerçekten kullandığın bankanın adı, gerçekten beklediğin siparişin numarası. Bunların hiçbiri gizli bilgi değildir: Sosyal medyada, veri sızıntılarında veya kendi e-posta imzanda bulunur.
Ayrıntıların amacı bir şeyi kanıtlamak değildir. "Bu kişi de kim?" sorusunu ortadan kaldırırlar. Bir ayrıntıyı kontrol edip doğru çıktığını gördüğünde, diğerlerini artık kontrol etmezsin; beynin rolü bütünüyle tamamlar. Doğru çıkan tek bir küçük ayrıntı, tüm hikâyenin kefili gibi çalışır.
Kurgu. Rol ve gerekçe önceden hazırlanır: giriş kontrolü, teslimat, belgelerde hata. Gerekçe, neden özellikle seni ve neden tam şimdi aradıklarını açıklar.
Küçük bir gerçek. İlk birkaç saniyede senin hakkında gerçekten bilinen bir şeyi söylerler. Bu bir talep değil, güven için peşinattır.
Acele. Bir süre sınırı ortaya çıkar: "başvuru on dakika beklemede kalacak". Kontrol edecek zamanın olmaması tesadüf değil, planın parçasıdır.
Yalıtma. Telefonu kapatmamanı, konuyu kimseyle konuşmamanı veya bir mesajlaşma uygulamasına geçmeni isterler. Üçüncü herhangi bir kişi senaryoyu bozabilir.
Küçük bir rica. Önce ufak bir şey isterler: Onaylamanı, kodu söylemeni veya bir yere dokunmanı. Bir kez kabul ettiğinde, ikinci kez reddetmek daha zor olur.
Nasıl duyulur?
Konuşma neredeyse her zaman tek yönlü ilerler: Karşındaki sorular sorar, sen cevap verirsin. Seni arayan o olduğu hâlde, sorgulanan kişi sensindir. İşte tipik bir konuşma; kelimelere değil, rolün nasıl değiştiğine bak.
Güvenlik biriminden arıyorum. Hesabına başka bir şehirden giriş yapılmaya çalışıldığını görüyorum.
Ben hiçbir yerden giriş yapmadım.
Ben de öyle düşünmüştüm. Engelleme talebini gönderebilirim ama on dakikalık bir süre var.
Ne yapmam gerekiyor?
Mesajdaki kodu söyler misin? Hesap sahibiyle konuştuğumu doğrulayacak.
Tamam, şimdi.
Burada peş peşe üç işaret var. Kontrol edemeyeceğin endişe verici bir haber aldın. Sana bir süre sınırı verildi. Aramayı sen başlatmamış olduğun hâlde, senden senin sen olduğunu kanıtlaman isteniyor. Mesajdaki kod karşı tarafa hiçbir şeyi doğrulamaz: Koda, hesabına giriş yapmak için ihtiyaçları vardır ve gerçek destek ekipleri bunu istemez.
Burada kimin acele ettiğine de dikkat et. Böyle bir konuşmada aciliyet her zaman başkasına aittir: Sana getirilen bir şeydir. Zaman sınırını kaldırdığında senaryo çöker; bu yüzden o sınırı korurlar.
Bu senaryo saflığa değil, normal tepkilere dayanır: Yardım etmek, itiraz etmemek ve meseleyi hızla çözmek. Bu yüzden en çok meşgul ve kibar insanların başına gelir.
Preteksting yapanlar neden senin hakkında küçük bir doğru ayrıntı söyler?
Acele ettiriliyor ve mesajdaki kod isteniyorsa ne yapmalısın?
Kaynaklar
- Etkileme mekanizmaları, Robert Cialdini'nin otorite, kıtlık ve tutarlılık üzerine çalışmalarına dayanır
- preteksting incelemesi Kevin Mitnick'in "Aldatma Sanatı" kitabında
- işaretler ise bankaların ve CERT'in kamuya açık bilgilendirme metinlerinde yer alır
“Sosyal Mühendislik” dizisinde sıradaki
3 makalenin tamamı sitede, 4 tane daha uygulamada
