от Кевин Митник-измамника, който побърка ФБР
Някои от тези истории могат да ви накарат да мислите, че всеки един в бизнеса е пълен идиот, готов, дори нетърпелив, да издаде всяка тайна, която знае. Защо атаките на социалните инженери са толкова успешни? Не защото хората са глупави или им липсва здрав разум. А защото ние, като човешки същества, всички сме уязвими на измама, защото хората могат да се предоверят, ако бъдат манипулирани по определени начини.
Социалният инженер е винаги подготвен да обърне недоверието в доверие. Добрият социален инженер планира своята атака като игра на шах, очаквайки въпросите, които неговата мишена би могла да зададе, и е готов с подходящите отговори/това ме навява на мисълта, че някои продавачи и търговци са точно социални инженери/.
Една от тези общи техники включва изграждане на чувство на доверие от страна на жертвите на този тип манипулатори. Как един измамник ви кара да му се доверите? Повярвайте ми, той може използвайки най-вече…
Доверието-ключът към измамата
Колкото повече социалният инженер успее да направи своя контакт да изглежда като обикновен разговор, толкова по-лесно избягва подозрението. Когато хората не разполагат с причина да бъдат подозрителни, за социалния инженер е лесно да спечели тяхното доверие. Веднъж след като има вашето доверие, подвижният мост е спуснат и портата на замъка е отворена, така че той може да влезе и да вземе информацията, от която се нуждае.
Бележка:Може да забележите, че тук се говори за социални инженери, телефонни измамници и други подобни все неща в мъжки род. Това не е шовинизъм; това само отразява истината, че повечето практикуващи в тези области са мъже. Но макар и да няма много жени – социални инженери, техният брой се увеличава. Има достатъчно на брой жени – социални инженери, пред които вие не трябва да намалявате своята бдителност, само защото чувате женски глас. В действителност, жените – социални инженери, разполагат с едно отчетливо предимство, защото могат да използват своята сексуалност за получаването на сътрудничество. А особено в България сме свидетели на страшно много руси “социални инженерки”, нали?
Обаждане на Андреа Лопес, примера с видеотеката
Андреа Лопес отговаря на телефона в магазин за отдаване под наем на видеокасети, където работи. Винаги е приятно, когато клиент й каже, че е доволен от обслужването. Този, който се обажда в момента й казва, че за него е удоволствие да работи с този магазин и че желае да изпрати писмо на мениджъра в тази връзка.
Той пита за името и пощенския адрес на мениджъра, на което тя отговаря, че той се казва Том Алисън и му дава адреса. Точно преди да затвори на него му хрумва друга идея и той казва: „Бих искал да напиша писмо и до централното ви управление, но какъв е номерът им?” Тя му дава и тази информация. Той благодари, добавя нещо приятно за това колко любезна е била, а тя му казва „довиждане”. Обаждане като това, си мисли тя, винаги помага смяната да свърши по-бързо. Колко хубаво би било, ако хората правеха това по-често.”
Второ обаждане, този път на Джини
„Благодаря ви, че се обадихте на студио „Видео”. Аз съм Джини, как мога да ви помогна?” „Здравей, Джини, ентусиазирано казва обаждащият се, сякаш всяка седмица разговаря с Джини. Тук е Томи Алисън/социалния инженер вече има името на мениджъра от предния разговор/, мениджър на форест Парк, магазин 863. Тук имаме един клиент, който иска да наеме Poки 5, а нашите копия свършиха. Можете ли да проверите дали имате при вас?”
Тя се връща след малко и казва: „Да, разполагаме с три копия.” „Добре, ще видя дали иска да дойде до вас. Благодаря. Ако някога имате нужда от някаква помощ от магазина, просто се обадете и попитайте за Томи. Ще се радвам да направя каквото мога за вас.”
Три или четири пъти през следващите две седмици Томи се обажда на Джини за помощ за едно или друго нещо. Те са очевидно напълно редовни искания и той винаги е много приятелски настроен без да звучи, че все едно се домогва до нея. Той е малко бъбрив, като разговаря с нея и за други неща, от рода на: „Чу ли за големия пожар в Истуук парк? Сума ти улици са затворени тук.” Тъй като обажданията са малка почивка от рутинното ежедневие, Джини винаги се радва да го чуе.
Ударът
Един ден Томи се обажда и звучи притеснен. Той пита: „Ей, вие имали ли сте проблеми с вашите компютри?” „Не, отговаря Джини. Защо?” „Някакъв е ударил колата си в телефонния възел и техникът от ремонта на телефонната компания каза, че цяла част от града ще загуби телефонния си сигнал и Интернет връзка до момента, в който не отстранят повредата.” „О, не. Мъжът ранен ли е?”
„Откараха го с линейка. Както и да е, бих бил благодарен за мъничко помощ/почна се/. Имам един ваш клиент тук, който иска да наеме Кръстникът, но не си носи картата. Би ли потвърдила тази информация за мен?” „Да, разбира се.” Томи дава името и адреса на клиента и Джини го намира в компютъра. Тя дава номера на акаунта на Томи. „Има ли някакви закъснения с връщането или дължими суми?” пита Томи. „Нищо не излиза.”
„Добре, супер. Аз ще му дам касетата и ще отбележа на ръка номера на сметката му, като ще вкарам информацията по-късно в базата данни, когато компютрите заработят отново. Освен това, той иска да плати с Виза карта, която използва и във вашия магазин, която обаче също не носи със себе си. Какъв е номерът на картата и датата, на която валидността й изтича?” Тя му диктува номера и датата на валидност. Томи й казва: „Ей, благодаря ти за помощта. Ще ти се обадя скоро”, и затваря.
Анализ на измамата
Първоначалните обаждания до Джини са само за изграждане на доверие. Когато идва време за действителната атака, тя „сваля гарда” и приема Томи за човека, за когото той се представя – управител на друг магазин от веригата. И защо да не го приеме – тя вече го познава макар и само по телефона, разбира се. Но те са установили бизнес приятелство, което е базата за доверието. Веднъж след като го приема като правдоподобна фигура, управител в същата компания, доверието е изградено и останалото е като разходка в парка.
Дадената ситуация се случва във видеотека, но модела на поведение на тези измамници е същия и при други видове мишени, които манипулират било то фирма, човек или каквото там им поръчат.
Бележка на Митник: Техниката на „жилото” по изграждането на доверие показана в горния пример е една от най-ефективните тактики на социалния инженер. Трябва да помислите, наистина ли познавате човека, с когото говорите. В някои редки случаи лицето би могло да не е това, за което се представя. Съответно всички ние трябва да се научим да наблюдаваме, мислим и поставяме под съмнение достоверността.
По какво преценяваме хората
Помислете за вашето собствено отношение, когато някой, когото не познавате, ви попита за нещо. Ако някакъв опърпан непознат дойде до вратата ви, едва ли ще го пуснете вътре. Ако обаче, добре облечен непознат дойде до вратата ви, с лъснати до блясък обувки, перфектна прическа, с изискани маниери и усмивка, вие ще бъдете доста по-малко подозрителни. Може би това е Джейсън от филма Петък тринадесети, но вие сте склонни да се доверите на това лице, тъй като то изглежда нормално и не носи извит нож в ръката си.
Какво по-очевидно от това, че ние преценяваме хората по телефона по същия начин. Това лице звучи ли по начин, все едно се опитва да ни продаде нещо? Приятелски и отворено ли звучи, или усещате някаква враждебност или натиск? Начинът му на изразяване говори ли за образован човек? Ние преценяваме всички тези неща и може би около дузина други несъзнателно, светкавично, често в първите няколко секунди от разговора.
Бележка на Митник: В природата на човека е да мисли, че не е много вероятно да бъде измамен в някаква конкретна сделка, поне не и докато не се появи причина, която да го убеди в обратното. Ние претегляме рисковете и след това, през повечето време даваме предимство на съмнението си. Това е естественото поведение на цивилизования човек… поне на този цивилизован човек, който никога не е бил жертва на лъжа или манипулация, или не е бил измамван с голяма сума пари.
На работа хората ни питат за различни неща през цялото време. Имате ли адреса на електронната поща на това момче? Къде е последната версия на клиентския списък? Кой е подизпълнител за тази част от проекта? Моля, изпратете ми последна актуализация по напредъка на проекта? Какво е името на този, името на онзи? Даваме ги без много колебание щом трябва да помогнем!
И познайте какво: понякога тези, които задават тези въпроси са хора, които не познавате лично и които работят за друга част на компанията или поне се представят, за такива. Но ако информацията, която предоставят, бъде проверена и излезе, че те са сред хората, които познаваме, ние разширяваме нашия кръг на доверие, за да включим и тях, и безгрижно им даваме това, което искат.
Разбира се, може и да се озадачим и да си зададем въпроса: „Защо на някой от завода в Далас му е притрябвало да види новите продуктови планове?” или „Дали би могло да навреди, ако дам името на сървъра?“. Така си задаваме един или два въпроса. Ако отговорите звучат разумно и поведението на човека ги потвърждава, ние „сваляме гарда“, връщаме се към природната си склонност да се доверим на нашия колега и правим това, което е поискано от нас да направим.
Не си помисляйте и за миг, че атакуващият ще се насочва само към хора, които използват компютърните системи на компанията. Ами ако момчето в пощенската служба каже: „Ще ми направиш ли бърза услуга? Хвърли това във вътрешната поща!”, то чиновникът знае ли в пощенската служба, че това съдържа USB със специална малка програма за секретарката на главния изпълнителен директор? Сега този атакуващ получава свое собствено копие от електронната поща на главния изпълнителен директор. Страхотно! Би ли могло това да се случи наистина във вашата компания? Отговорът е, абсолютно.
по материали от “Изкуството на измамата”
Кратка биография:
Кевин Митник, роден на 6 август 1963г е консултант за компютърна сигурност, автор на книги и бивш хакер. В края на 20 век той е осъден за различни компютърни престъпления и измами. Преди да го арестуват е бил най-издирвания хакер от ФБР в Америка.Още на 12 години социалното инженерство му става основен метод за получаване на информация, включително потребителски имена, пароли, телефонни номера и т.н. Митник прави първия си опит за неоторизиран достъп до мрежа през далечната 1979г, когато е едва на 16 години. Докато бяга от правосъдието Митник използва клонирани клетъчни телефони, за да скрие местонахожднието си като не спира да краде информация и да манипулира хората. През февруари 1995г Кевин Митник е арестуван в Рали, Северна Каролина като по време на ареста в апартамента му са намерени клонирани телефони, повече от 100 открадната телефонни кодове, множество устройства и няколко фалшиви лични карти. През 1999г Митник признава за 4 обвинения за електронни измами, 2 за компютърни престъпления и едно за незаконно прихващане на телефонна комуникация. Осъден е на 46 месеца затвор плюс 22 месеца за нарушаване на споразумение след арест за компютърни измами през 1989г. Според съдията Митник е изключително опасен тъй като може да предизвика дори ядрена война само ако му се предостави обикновен телефон! След освобождаването му през 2003г първоначално му е забранено да използва каквито и да е комуникационни средства различни от стационарен телефон. Митник се бори срещу това решение и печели в съд в своя полза, за да може да използва Интернет. В момента Кевин Митник ръководи компания наречена Mitnick Security Consulting LLC занимаваща се с консултации по компютърна сигурност и измами!
Няма коментари:
Публикуване на коментар