Продають не брехню, а роль
Фішинговий лист бере масовістю: його розсилають тисячам, і хтось натисне. Претекстинг працює інакше - під тебе створюють історію. Назва твого відділу, назва банку, яким ти справді користуєшся, номер замовлення, на яке ти справді чекаєш. Усе це не секретна інформація: вона є в соцмережах, у витоках даних, у підписі твого ж листа.
Сенс деталей не в тому, щоб щось довести. Вони знімають запитання «а хто це взагалі». Поки ти перевіряєш одну деталь і вона збігається, решту ти вже не перевіряєш - мозок домальовує роль цілком. Одна деталь, що збіглася, працює як порука за всю історію.
Легенда. Заздалегідь готують роль і привід: перевірка входу, доставка, помилка в документах. Привід пояснює, чому телефонують саме тобі й саме зараз.
Маленька правда. У перші секунди називають те, що про тебе справді відомо. Це не запит, а внесок у довіру.
Терміновість. З’являється вікно: «заявка висить 10 хвилин». Часу на перевірку не залишається навмисно, а не випадково.
Ізоляція. Просять не класти слухавку, не обговорювати це або перейти в месенджер. Будь-яка третя людина руйнує сценарій.
Маленьке прохання. Спочатку просять про дрібницю - підтвердити, продиктувати, натиснути. Погодившись один раз, вдруге відмовити складніше.
Як це звучить
Розмова майже завжди йде в один бік: співрозмовник ставить запитання, а ти відповідаєш. При цьому перевіряють тебе, хоча зателефонували тобі. Ось типовий уривок - дивись не на слова, а на те, як змінюється роль.
Це служба безпеки. Бачу спробу увійти у твій акаунт з іншого міста.
Я нікуди не входив.
Так і думав. Я ще встигну надіслати заявку на блокування, але вікно - 10 хвилин.
Що потрібно зробити?
Продиктуй код із повідомлення - він підтвердить, що я розмовляю з власником акаунта.
Добре, зараз.
Тут одразу три ознаки. Тобі повідомили тривожну новину, яку неможливо перевірити. Тобі дали термін. І тебе просять довести, що ти - це ти, хоча дзвінок почав не ти. Код із повідомлення нічого не підтверджує співрозмовнику: він потрібен саме для входу, і справжня підтримка його не запитує.
Зверни увагу ще й на те, хто тут поспішає. У такій розмові поспіх завжди чужий: його принесли тобі. Прибери таймер - і сценарій розсиплеться, тому його й утримують.
Сценарій тримається не на наївності, а на нормальних реакціях: допомогти, не сперечатися, швидко розв’язати питання. Тому найчастіше він спрацьовує на зайнятих і ввічливих людях.
Навіщо в претекстингу називають правдиву дрібну деталь про тебе?
Що допоможе, якщо тебе кваплять і просять код із повідомлення?
Джерела
- Механізми впливу - за роботами Роберта Чалдіні про авторитет, дефіцит і послідовність
- розбір претекстингу - у Кевіна Мітніка, «Мистецтво обману»
- ознаки - у публічних пам’ятках банків і CERT
Далі в серії «Соціальна інженерія»
3 статті повністю на сайті, ще 4 - у застосунку
