"Белые" звонки "белых" хакеров — как мы видели жертву глазами колл-центра

Я больше 10 лет работал в кибербезопасности, в качестве пентестера, руководителя пентеста, руководителя редтим, в конце концов CISO и владельца бизнеса. Моей специализацией в найме был инфраструктурный пентест — это когда вы "атакуете" системы заводов или другой промышленности, а потом помогаете им закрыть найденные уязвимости.

Но самыми интересными для меня всегда были проекты, связанные с социальной инженерией, она же социотехническое тестирование. Это когда вы атакуете не только информационные системы, но и людей, когда ваша задача — оценить и "технический", и "человеческий" факторы. В конце концов, в 2024 году мы организовали первые в России соревнования по социальной инженерии в рамках фестиваля PHDays.

Было это задолго до "расцвета" современных колл-центров, в середине и конце 10-х годов. Да, делали мы это полностью легально, в интересах клиента. Но методы, которые мы использовали, в основном не отличаются от того, что сейчас делают мошенники. Принципы тут одни и те же.

Во-первых, сочетание угрозы и срочности. Не секрет, что человек в стрессе ошибается чаще, и нашей задачей было его на этот стресс вывести или эксплуатировать уже существующий стресс. Например, бухгалтерам лучше звонить во время сдачи отчетности — шансы получить результат возрастают в 3-4 раза. Секретарям надо говорить волшебные слова "Иван Иваныч сказал сделать срочно", "если вы не перезвоните то все пропало" и прочее. Ну, есть и другие способы, не будем подсказывать.

Во-вторых, это рутинность звонка. "Здравствуйте, куда подать машину для Алексея Анатольевича? Продиктуйте адрес". Спокойно, занудно, предельно вежливо и уверенно — и мы получали адрес не только "Алексея Анатольевича", но и адрес его любовницы, от которой его нужно забрать.

Те же принципы эксплуатируют и колл-центры. Причина их успеха не в тайных техниках манипуляций людьми. В основе всего лежит ... эволюция. Дело в том, что человек — это, в общем, потомок бесшерстной обезьяны, которая никогда не находилась на вершине пищевой цепи. И при встрече с хищником выживала та обезьяна, которая не думала, а бежала. Со временем амигдала (миндалевидное тело) "научилась" блокировать префронтальную кору, отключая логику. Наш мозг реагирует на угрозу потери денег так же, как тысячи лет назад наши предки реагировали на саблезубого тигра.

Мошенники могут использовать разные схемы, разные "образы", представляться полицейскими, прокуратурой, кем угодно, мы видели даже схему с кальянщиком. Но им трудно противостоять именно потому, что они эксплуатируют уязвимость в нашем мышлении — ту, которая когда-то обеспечила выживание нас как вида.

Если интересно больше историй про "социотехнику" или разборы конкретных примеров — ставьте лайк и подписывайтесь!публикация 32 - от Артема

Как не отдать приятному человеку в трубке адрес, деньги и доступы — на курсе nohack.ru