Искусство вторжения

Социальный инженер обычно демонстрирует несколько характерных признаков той роли, которую он разыгрывает. Большинство из нас самостоятельно награждают исполнителя определенной роли дополнительными характеристиками, после того, как нам продемонстрируют некоторые знаковые элементы: мы видим человека в строгом костюме, рубашке и при галстуке, и автоматически предполагаем, что он умен, надежен и работоспособен.

Пример:когда Урли вошел в комнату наблюдения, он был одет в хороший костюм и говорил уверенным командным голосом, и люди в комнате автоматически стали выполнять его указания. Он успешно совершил перехват роли менеджера казино.

Практически каждая атака социального инженера использует вхождение в роль, так что жертва атаки домысливает другие свойства роли и действует соответственно. Такой ролью может быть ИТ-техник, клиент, новый сотрудник или многие другие, которые лучше соответствуют потребностям атакующего.

Чаще всего вхождение в роль включает упоминание имени начальника «мишени», или имен других известных ему сотрудников, или использование местных терминов и жаргона. Для атаки на конкретного человека атакующий старается выбрать соответствующую одежду, аксессуары (значок компании, браслет, дорогую ручку, перстень с символикой престижной школы), стиль прически — все это способствует вхождению в роль, на которую претендует атакующий.

Сила этого метода заключается в том, что если вы посчитали человека кем-то — начальником, клиентом, обычным сотрудником, вы переносите на него и другие характеристики его образа (начальник всегда энергичен и уверен в себе, разработчик программ очень умен, но в социальном плане может выглядеть не слишком блестяще, сотруднику компании всегда можно доверять).

Сколько же нужно приложить усилий, чтобы люди тебе поверили? Не т а к много.

ДОВЕРИЕ

Установление доверительных отношений — это одна из наиболее распространенных атак социальной инженерии, фундамент всего следующего в дальнейшем.

Пример:Урли вынудил Р и ч а р д а — начальника департамента ИТ — предложить ему пообедать вместе, прекрасно понимая, что все те, кто увидят его вместе с Ричардом, проникнутся к нему доверием.

Доктор Сагарин выделяет три метода, используемых в «Искусстве обмана», которые используют социальные инженеры для создания атмосферы доверия. Один из них заключается в том, что атакующий говорит нечто, что якобы работает против его интересов, как, например, в Главе 8 «Искусства обмана» в истории «Один простой звонок», когда атакующий сказал своей жертве: «Теперь напечатайте ваш пароль, но не называйте мне его. Вы никогда и никому не должны называть свой пароль, даже сотрудникам ИТ-персонала». Подобную фразу наверняка может произнести только честный человек.

Второй метод состоит в том, что жертву предупреждают о событии, которое (о чем не подозревает атакуемый) атакующий сам и создает. Например, в истории «Отказ сети», рассказанной в Главе 5 книги «Искусство обмана», где атакующий объясняет, что сетевое соединение может выйти из строя. Затем обманщик делает что-нибудь, что прерывает сетевое соединение жертвы, заставляя ее поверить в его искренность.

Эта тактика предсказания часто используется в сочетании с третьим методом, когда атакующий «доказывает» жертве, что ему можно доверять, устраняя возникшую проблему. Так и произошло в «Отказе сети», когда атакующий сначала предупредил, что сеть может выйти из строя, затем сделал так, что сетевое соединение прервалось, как он и предсказывал, а потом восстановил соединение, утверждая, что он «устранил проблему», вызвав у жертвы чувство доверия и благодарности.

ЖЕРТВУ ЗАСТАВЛЯЮТ ИГРАТЬ ОПРЕДЕЛЕННУЮ РОЛЬ

Социальный инженер часто вынуждает свою мишень играть непривычную роль, например, принуждая ее к подчинению своим агрессивным поведением или взывая к жалости.

Пример:Урли в своем разговоре с Ленорой встал в позицию человека, нуждающегося в помощи (только что расставшегося со своей девушкой, переехавшего в другой город и ищущего работу), чтобы поставить ее в роль помощника.

Чаще всего социальные инженеры стремятся, чтобы их мишень играла роль помощника. После того, как человек взял на себя эту роль, ему очень трудно из нее выйти.

Наиболее хитрый и опытный социальный инженер попытается придумать для жертвы такую роль, в которой та чувствовала бы себя комфортно. Затем он будет вести переговоры так, чтобы использовать жертву в этой роли — Урли сделал именно это с Ленорой и Ме-ган, когда почувствовал, что они с радостью будут помощниками. Люди с удовольствием берут на себя роли с положительным наполнением, которые позволяют им ощущать себя хорошими людьми.

СБИВАНИЕ С МЫСЛИ

Социальные психологи выделяют в процессе восприятия информации человеком два возможных типа — систематический и случайный.

Пример:когда менеджеру пришлось в процессе работы разбираться в непростой ситуации со своей супругой, Урли использовал его эмоциональное состояние и именно в этот момент сделал запрос, который дал ему доступ к бейджам компании.

Доктор Сагарин объясняет: «Если вы думаете в систематическом режиме, то каждый сделанный запрос обдумываете спокойно и не спеша. Когда процесс идет случайным образом, вам приходится принимать решения быстро. Например, к нам может поступить запрос, на который придется отвечать под давлением мысли о том, кто задал этот вопрос, а не реально оценивать важность запрошенной информации. Мы всегда пытаемся работать в режиме систематического обдумывания, когда тема важна для нас. Но недостаток времени, отвлечение внимания или сильная эмоция может переключить нас в случайный режим».

Нам приятно думать, что обычно мы действуем рационально, логически, принимаем решения, основываясь на фактах. А психолог доктор Грегори Нейдерт говорит: «мозг человека находится в неработающем состоянии 90-95% времени». Социальные инженеры стремятся использовать это преимущество, стараясь всеми возможными способами вывести жертву из состояния систематичных размышлений — зная, что люди, размышляющие в случайном режиме, с гораздо меньшей вероятностью могут использовать ресурсы психологической защиты. Чаще всего, они утрачивают подозрительность, не задают вопросы, и не противопоставляют атакующему никаких резонов.

Социальные инженеры стремятся вступить в контакт с мишенями, когда те находятся в случайном режиме размышлений и удерживать их там. Один из способов достичь этого — позвонить жертве минут за пять до окончания рабочего дня, рассчитывая на то, что переключение с рабочих мыслей на домашние и желание уйти с работы вовремя могут заставить человека ответить на вопрос, который в другой ситуации вызвал бы подозрительность.

МОМЕНТ СОГЛАСИЯ

Социальные инженеры создают момент согласия, делая целую серию запросов, начиная с совершенно безобидных.

Пример:доктор Сагарин цитирует историю creditchex, рассказанную в первой главе «Искусства обмана», когда атакующий задает ключевой вопрос о важной информации — идентификационном номере в банке merchant, который используется как пароль для авторизации по телефону — в череде безобидных вопросов. Поскольку начальные вопросы кажутся безобидными, это устанавливает определенный настрой общения, в котором жертва и последующие вопросы рассматривает, как безобидные.