Thứ được bán không phải lời nói dối, mà là một vai diễn
Email lừa đảo đánh vào số lượng: được gửi cho hàng nghìn người, thế nào cũng có người nhấp vào. Kịch bản giả danh hoạt động khác hẳn: một câu chuyện được dựng riêng quanh bạn. Tên phòng ban của bạn, ngân hàng bạn thực sự đang giao dịch, mã đơn hàng bạn thực sự đang chờ. Không thứ nào trong đó là thông tin bí mật: chúng có trên mạng xã hội, trong các vụ rò rỉ dữ liệu hoặc ngay trong chữ ký email của bạn.
Mục đích của các chi tiết không phải để chứng minh điều gì. Chúng xóa đi câu hỏi "Người này rốt cuộc là ai?" Khi bạn kiểm tra một chi tiết và thấy nó khớp, bạn sẽ không kiểm tra những chi tiết còn lại nữa - não bộ tự hoàn thiện cả vai diễn. Một chi tiết nhỏ khớp đúng sẽ trở thành bảo chứng cho toàn bộ câu chuyện.
Dựng chuyện. Họ chuẩn bị trước một vai trò và lý do: kiểm tra đăng nhập, giao hàng, lỗi trong giấy tờ. Lý do đó giải thích vì sao họ gọi đúng cho bạn và đúng vào lúc này.
Một sự thật nhỏ. Trong vài giây đầu, họ nhắc đến điều thực sự đã biết về bạn. Đó không phải là một yêu cầu, mà là khoản đặt cọc cho sự tin tưởng.
Tạo gấp gáp. Một khoảng thời gian xuất hiện: "yêu cầu chỉ được giữ trong mười phút". Việc bạn không còn thời gian kiểm tra là có chủ ý, không phải tình cờ.
Cô lập. Họ đề nghị bạn đừng cúp máy, đừng kể với ai hoặc chuyển sang ứng dụng nhắn tin. Bất kỳ người thứ ba nào cũng có thể phá hỏng kịch bản.
Một yêu cầu nhỏ. Đầu tiên, họ nhờ một việc vặt - xác nhận, đọc mã hoặc bấm vào đâu đó. Một khi đã đồng ý lần đầu, bạn sẽ khó từ chối lần thứ hai hơn.
Bạn sẽ nghe thấy điều này như thế nào
Cuộc trò chuyện gần như luôn diễn ra theo một chiều: người kia đặt câu hỏi, còn bạn trả lời. Họ kiểm tra bạn, dù chính họ là người gọi cho bạn. Đây là một đoạn hội thoại điển hình - đừng chỉ chú ý đến lời nói, hãy để ý vai trò đang bị chuyển đổi như thế nào.
Đây là bộ phận an ninh. Tôi thấy có một lần đăng nhập vào tài khoản của bạn từ thành phố khác.
Tôi đâu có đăng nhập ở đâu.
Tôi cũng đoán vậy. Tôi vẫn kịp gửi yêu cầu khóa tài khoản, nhưng chỉ có mười phút.
Tôi cần làm gì?
Đọc mã trong tin nhắn cho tôi - mã đó sẽ xác nhận tôi đang nói chuyện với chủ tài khoản.
Được, chờ tôi một chút.
Ở đây có 3 dấu hiệu liên tiếp. Bạn được báo một tin đáng lo mà không thể tự kiểm tra. Bạn bị đặt ra thời hạn. Và bạn bị yêu cầu chứng minh mình chính là mình, dù bạn không phải người bắt đầu cuộc gọi. Mã trong tin nhắn không xác nhận điều gì với người ở đầu dây bên kia: mã đó chính xác là thứ họ cần để đăng nhập, và bộ phận hỗ trợ thật sẽ không hỏi xin mã.
Hãy để ý xem ai đang vội ở đây. Trong kiểu cuộc trò chuyện này, sự gấp gáp luôn thuộc về người khác: họ mang nó đến cho bạn. Bỏ chiếc đồng hồ đếm ngược đi, kịch bản sẽ sụp đổ, nên họ mới cố giữ nó ở đó.
Kịch bản này không dựa vào sự cả tin, mà dựa vào những phản ứng bình thường: giúp đỡ, không tranh cãi và nhanh chóng giải quyết vấn đề. Vì vậy, nó thường nhắm đến những người bận rộn và lịch sự.
Vì sao kẻ giả danh nói một chi tiết nhỏ có thật về bạn?
Điều gì giúp ích khi bạn bị giục và được hỏi mã trong tin nhắn?
Nguồn
- Các cơ chế gây ảnh hưởng dựa trên những công trình của Robert Cialdini về uy quyền, sự khan hiếm và tính nhất quán
- phân tích về kịch bản giả danh trong cuốn "Nghệ thuật lừa dối" của Kevin Mitnick
- các dấu hiệu cảnh báo được nêu trong những tài liệu hướng dẫn công khai của ngân hàng và CERT
Tiếp theo trong loạt bài “Kỹ nghệ xã hội”
3 bài viết đọc đầy đủ trên trang web, thêm 4 bài trong ứng dụng
