Искусство вторжения
Шрифт:
Мы попросили доктора Сагарина описать психологические принципы, лежащие в основе самых распространенных методов социальных инженеров. В некоторых случаях он подкреплял свои объяснения примерами из предыдущей книги Митника и Саймона «Искусство обмана», которые иллюстрируют ту или иную тактику.
Каждый раздел начинается с простого объяснения принципа и наглядного примера.
ВХОЖДЕНИЕ В РОЛЬ
Социальный инженер обычно демонстрирует несколько характерных признаков той роли, которую он разыгрывает. Большинство
Пример:когда Урли вошел в комнату наблюдения, он был одет в хороший костюм и говорил уверенным командным голосом, и люди в комнате автоматически стали выполнять его указания. Он успешно совершил перехват роли менеджера казино.
Практически каждая атака социального инженера использует вхождение в роль, так что жертва атаки домысливает другие свойства роли и действует соответственно. Такой ролью может быть ИТ-техник, клиент, новый сотрудник или многие другие, которые лучше соответствуют потребностям атакующего.
Чаще всего вхождение в роль включает упоминание имени начальника «мишени», или имен других известных ему сотрудников, или использование местных терминов и жаргона. Для атаки на конкретного человека атакующий старается выбрать соответствующую одежду, аксессуары (значок компании, браслет, дорогую ручку, перстень с символикой престижной школы), стиль прически — все это способствует вхождению в роль, на которую претендует атакующий.
Сила этого метода заключается в том, что если вы посчитали человека кем-то — начальником, клиентом, обычным сотрудником, вы переносите на него и другие характеристики его образа (начальник всегда энергичен и уверен в себе, разработчик программ очень умен, но в социальном плане может выглядеть не слишком блестяще, сотруднику компании всегда можно доверять).
Сколько же нужно приложить усилий, чтобы люди тебе поверили? Не т а к много.
ДОВЕРИЕ
Установление доверительных отношений — это одна из наиболее распространенных атак социальной инженерии, фундамент всего следующего в дальнейшем.
Пример:Урли вынудил Р и ч а р д а — начальника департамента ИТ — предложить ему пообедать вместе, прекрасно понимая, что все те, кто увидят его вместе с Ричардом, проникнутся к нему доверием.
Доктор Сагарин выделяет три метода, используемых в «Искусстве обмана», которые используют социальные инженеры для создания атмосферы доверия. Один из них заключается в том, что атакующий говорит нечто, что якобы работает против его интересов, как, например, в Главе 8 «Искусства обмана» в истории «Один простой звонок», когда атакующий сказал своей жертве: «Теперь напечатайте ваш пароль, но не называйте мне его. Вы никогда и никому не должны называть свой пароль, даже сотрудникам ИТ-персонала». Подобную фразу наверняка может произнести только честный человек.
Второй метод состоит в том, что жертву предупреждают о событии, которое (о чем не подозревает атакуемый) атакующий сам и создает. Например, в истории «Отказ сети», рассказанной в Главе 5 книги «Искусство обмана», где атакующий объясняет, что сетевое соединение может выйти из строя. Затем обманщик делает что-нибудь, что прерывает сетевое соединение жертвы,
Эта тактика предсказания часто используется в сочетании с третьим методом, когда атакующий «доказывает» жертве, что ему можно доверять, устраняя возникшую проблему. Так и произошло в «Отказе сети», когда атакующий сначала предупредил, что сеть может выйти из строя, затем сделал так, что сетевое соединение прервалось, как он и предсказывал, а потом восстановил соединение, утверждая, что он «устранил проблему», вызвав у жертвы чувство доверия и благодарности.
ЖЕРТВУ ЗАСТАВЛЯЮТ ИГРАТЬ ОПРЕДЕЛЕННУЮ РОЛЬ
Социальный инженер часто вынуждает свою мишень играть непривычную роль, например, принуждая ее к подчинению своим агрессивным поведением или взывая к жалости.
Пример:Урли в своем разговоре с Ленорой встал в позицию человека, нуждающегося в помощи (только что расставшегося со своей девушкой, переехавшего в другой город и ищущего работу), чтобы поставить ее в роль помощника.
Чаще всего социальные инженеры стремятся, чтобы их мишень играла роль помощника. После того, как человек взял на себя эту роль, ему очень трудно из нее выйти.
Наиболее хитрый и опытный социальный инженер попытается придумать для жертвы такую роль, в которой та чувствовала бы себя комфортно. Затем он будет вести переговоры так, чтобы использовать жертву в этой роли — Урли сделал именно это с Ленорой и Ме-ган, когда почувствовал, что они с радостью будут помощниками. Люди с удовольствием берут на себя роли с положительным наполнением, которые позволяют им ощущать себя хорошими людьми.
СБИВАНИЕ С МЫСЛИ
Социальные психологи выделяют в процессе восприятия информации человеком два возможных типа — систематический и случайный.
Пример:когда менеджеру пришлось в процессе работы разбираться в непростой ситуации со своей супругой, Урли использовал его эмоциональное состояние и именно в этот момент сделал запрос, который дал ему доступ к бейджам компании.
Доктор Сагарин объясняет: «Если вы думаете в систематическом режиме, то каждый сделанный запрос обдумываете спокойно и не спеша. Когда процесс идет случайным образом, вам приходится принимать решения быстро. Например, к нам может поступить запрос, на который придется отвечать под давлением мысли о том, кто задал этот вопрос, а не реально оценивать важность запрошенной информации. Мы всегда пытаемся работать в режиме систематического обдумывания, когда тема важна для нас. Но недостаток времени, отвлечение внимания или сильная эмоция может переключить нас в случайный режим».
Нам приятно думать, что обычно мы действуем рационально, логически, принимаем решения, основываясь на фактах. А психолог доктор Грегори Нейдерт говорит: «мозг человека находится в неработающем состоянии 90-95% времени». Социальные инженеры стремятся использовать это преимущество, стараясь всеми возможными способами вывести жертву из состояния систематичных размышлений — зная, что люди, размышляющие в случайном режиме, с гораздо меньшей вероятностью могут использовать ресурсы психологической защиты. Чаще всего, они утрачивают подозрительность, не задают вопросы, и не противопоставляют атакующему никаких резонов.