Cách xâm nhập con người, không phải máy tính

Muốn vượt qua lớp bảo vệ trực tiếp, cần có thời gian, thiết bị và kiến thức hiếm. Muốn vượt qua nó thông qua một người, chỉ cần một chiếc điện thoại và một câu chuyện nghe có vẻ hợp lý. Thủ thuật này được gọi là kỹ nghệ xã hội, và nó có từ trước cả mạng Internet: những chiêu tương tự đã hiệu quả khi thông tin truy cập được lưu trong hồ sơ giấy chứ chưa nằm trong ứng dụng.

Cách này hiệu quả không phải vì người ở đầu dây bên kia ngốc nghếch. Lời đề nghị đánh trúng những phản xạ nơi công sở: giúp đỡ, không làm chậm công việc, không muốn bị người đang vội nghĩ là rắc rối. Từ chối đồng nghĩa với một va chạm nhỏ ngay lúc đó, còn đồng ý chỉ mất một giây. Điểm yếu ở đây không nằm ở tính cách, mà ở tình huống mà người đó bị đặt vào.

Kevin Mitnick, kẻ xâm nhập nổi tiếng nhất thập niên 90, sau này cũng mô tả điều tương tự: ông thường có được quyền truy cập thông qua cuộc trò chuyện hơn là bằng mã. Từ đó đến nay, bối cảnh đã thay đổi, còn cơ chế thì không: thay vì gọi đến quầy lễ tân, giờ đây kẻ lừa đảo gửi thư điện tử từ «bộ phận hỗ trợ» hoặc tin nhắn «từ ngân hàng».

Khâu chuẩn bị thường mất nhiều thời gian hơn chính cuộc trò chuyện. Tên, chức vụ, ai là cấp trên của ai, trong công ty gọi các hệ thống nội bộ như thế nào, tất cả đều được thu thập trước từ các nguồn công khai: mạng xã hội, chữ ký thư điện tử, tin tuyển dụng. Sau đó, vụ tiếp cận diễn ra theo một khuôn mẫu quen thuộc, với các bước gần như luôn theo cùng một thứ tự.

Nước đi quan trọng nhất là bước cuối. Họ gần như không bao giờ hỏi thẳng mật khẩu, mà yêu cầu bạn làm một việc vốn trông có vẻ vô hại. Một mã trong tin nhắn, nút «đúng là tôi» trong ứng dụng, trang «kiểm tra đăng nhập». Bạn đồng ý với một việc nhỏ, nhưng lại trao toàn bộ quyền truy cập.

Mọi biến thể đều có chung một dấu hiệu: họ thúc ép bạn, đồng thời kéo bạn rời khỏi kênh quen thuộc, sang một ứng dụng nhắn tin khác, một trang khác hoặc vào ngay một cuộc trò chuyện. Bạn bắt đầu nghi ngờ một phút sau khi gác máy, và điều đó hoàn toàn bình thường: toàn bộ tính toán dựa vào tốc độ. Bộ phận hỗ trợ thật sự sẽ bình thản chờ bạn tạm dừng và gọi lại.