Як зламують людину, а не комп'ютер

Щоб обійти захист напряму, потрібні час, обладнання та рідкісні знання. Щоб обійти його через людину, потрібні телефон і правдоподібна історія. Цей прийом називається соціальною інженерією, і він старший за інтернет: ті самі схеми працювали, коли облікові дані зберігалися в паперовій картотеці, а не в застосунку.

Це спрацьовує не тому, що люди на тому кінці дурні. Прохання зачіпає робочі рефлекси: допомогти, не гальмувати процес, не здатися занудою тому, хто поспішає. Відмовити - це маленький конфлікт просто зараз, погодитися - секунда. Слабке місце тут не характер, а ситуація, у яку людину ставлять.

Кевін Мітнік, найвідоміший хакер дев'яностих, пізніше описував те саме: доступ він частіше отримував розмовою, а не кодом. Відтоді змінилися декорації, а не механізм: замість дзвінка до приймальні - лист від «підтримки» та повідомлення «з банку».

Підготовка зазвичай займає більше часу, ніж сама розмова. Ім'я, посада, хто кому начальник, як у компанії називають внутрішні системи - усе це заздалегідь збирають із відкритих джерел: соцмереж, підписів в електронних листах, оголошень про вакансії. Далі спроба відбувається за знайомою схемою, і ходи майже завжди йдуть в одному порядку.

Головний хід - останній. Пароль майже ніколи не запитують прямо: просять зробити щось, що саме по собі виглядає невинно. Код із повідомлення, кнопка «це я» у застосунку, сторінка «перевірити вхід». Ти погоджуєшся на дрібницю, а віддаєш доступ до всього.

Ознака в усіх варіантів одна: тебе кваплять і водночас відводять зі звичного каналу - в інший месенджер, на іншу сторінку, у розмову просто зараз. Сумнів приходить через хвилину після того, як слухавку покладено, і це нормально: розрахунок був саме на швидкість. Справжня підтримка спокійно переживе паузу й твій передзвін.