Самое слабое звено защиты сидит за столом и хочет помочь

Самый известный взломщик девяностых почти не ломал защиту. Он звонил и просил — и ему отдавали доступ добровольно, вежливо, за четыре минуты. Разбор механики: почему помочь проще, чем проверить.

Почему помочь легче, чем проверить

Механизм, который эксплуатирует социальный инженер, не имеет отношения к глупости.

У большинства людей есть сильная установка быть полезными — особенно когда просьба звучит правдоподобно, исходит от своего и подана как срочная. Отказать в такой ситуации социально дороже, чем помочь: отказ требует объяснений, создаёт конфликт и выставляет вас формалистом.

Проверить тоже дороже. Проверка означает потратить время, дозвониться до кого-то ещё, а заодно показать коллеге, что вы ему не доверяете. Издержки проверки реальны и наступают немедленно, издержки доверчивости — гипотетические и отложенные.

Поэтому дефолтный выбор — помочь. И он рационален ровно до того момента, когда на линии оказывается не коллега.

Митник описывает разницу между собой и обычным мошенником так: мошенник обманывает людей, чтобы забрать деньги, а социальный инженер использует обман, влияние и убеждение, чтобы получить информацию. Деньги можно вернуть, информацию — нет: она уже открыла следующую дверь.

Цикл, по которому это работает

Атака почти никогда не выглядит как одно обращение. Она разворачивается циклом.

Сначала разведка: имена сотрудников, структура отделов, внутренний жаргон, формат внутренних номеров, кто у кого в подчинении. Всё это собирается из открытых источников, из звонков в приёмную, из разговоров с людьми, которые не видят в вопросе ничего особенного.

Потом установление доверия. Атакующий звонит и не просит ничего ценного — он уточняет мелочь, представляется, оставляет о себе след как о своём.

Потом эксплуатация: запрос, ради которого всё делалось.

И наконец использование полученного как трамплина к следующему шагу. Информация, добытая в одном отделе, служит верительной грамотой в другом.

Ключевая деталь — инкрементальность. Ни один отдельный кусочек не выглядит секретным. Номер отдела не тайна. Имя руководителя проекта не тайна. Название внутренней системы не тайна. Собранные вместе, они конструируют легенду, которой верят.

Митник сравнивает это со сборкой пазла: каждый фрагмент по отдельности ничего не значит, картинка появляется только целиком — и появляется она у атакующего, а не у жертв, каждая из которых отдала по одному фрагменту.

Обратная схема: когда жертва звонит сама

Самая неприятная разновидность выглядит так.

Сначала атакующий создаёт жертве проблему — например, делает так, что у неё перестаёт работать доступ. Потом оказывается рядом с решением: рассылка «по техническим вопросам обращайтесь», визитка, сообщение в чате.

Жертва звонит сама.

И в этот момент отношения переворачиваются. Человек, который звонит за помощью, уже мотивирован сотрудничать: он просит, ему нужно, он благодарен заранее. Проверять того, кого позвал сам, психологически почти невозможно — это ведь вы инициировали контакт.

Митник называет это обратной социальной инженерией. Разница с прямой схемой принципиальная: при прямой жертва оказывает услугу и может задуматься, при обратной — принимает услугу и не задумывается вовсе.

Твёрдая оболочка, мягкая середина

Для корпоративной защиты у Митника есть точный образ, придуманный исследователями из Bell Labs: candy security, безопасность конфеты. Твёрдая оболочка снаружи, мягкая начинка внутри.

Периметр защищён всерьёз: файрволы, VPN, пропускной режим. Но всё, что внутри периметра, живёт в режиме взаимного доверия. Достаточно один раз попасть внутрь — хотя бы голосом, хотя бы убедив одного человека, что вы уже внутри, — и дальше вы движетесь свободно, потому что внутри никто никого не проверяет.

Сам Митник формулирует общий диагноз жёстче: безопасность слишком часто просто иллюзия, и иногда эта иллюзия хуже, чем легковерие, наивность или невежество. Человек, уверенный, что защищён, не проверяет. Человек, знающий, что уязвим, задаёт вопросы.

Брюс Шнайер, которого Митник цитирует, добавляет вторую половину: безопасность — это не продукт, а процесс. Купить её нельзя.

Что именно нажимают

В отдельной главе Митник разбирает свои приёмы через шесть принципов влияния Роберта Чалдини и даёт к каждому сценарий атаки.

Авторитет: голос, который говорит от имени руководства, проверяют редко. Здесь работает тот же механизм, что в знаменитом эксперименте с медсёстрами, которым звонил незнакомый «врач» и распоряжался ввести препарат — большинство подчинялось, не сверяя ничего.

Симпатия и сходство: свой человек, общий язык, общий опыт. Землякам помогают охотнее.

Взаимность: сначала мелкая услуга вам, потом просьба к вам. Долг ощущается физически.

Последовательность: если человек уже согласился на маленькое, отказать в следующем шаге труднее — иначе придётся признать, что первый шаг был ошибкой.

Социальное доказательство: «все в отделе уже сделали это».

Дефицит и срочность: времени нет, решать надо сейчас, пауза равна потере.

К этому добавляются рычаги грубее: чувство вины за подведённого коллегу, страх перед начальством, сочувствие к новичку, который вот-вот получит выговор.

И последняя деталь ремесла: атакующий никогда не доводит разговор до открытого подозрения, если собирается вернуться. Он заканчивает парой незначительных вопросов, чтобы опасный вопрос затерялся среди них и не запомнился. Митник называет это «не сжигать источник».

Почему знание об этом не защищает

Тут та же ловушка, что во всех механизмах такого рода.

Прочитав описание схемы, человек получает уверенность, что теперь-то распознает. Но распознавать придётся не схему, а конкретный звонок в пятницу вечером, когда вы заняты, а на линии — коллега с понятной просьбой и горящим сроком. Схема будет очевидна задним числом, как очевидна разгадка фокуса после объяснения.

Митник и описывает себя как фокусника: нечестный иллюзионист, который заставляет смотреть на левую руку, пока правая делает работу.

Работает здесь не бдительность, а процедура, которая не зависит от вашего состояния в моменте. Правило, по которому доступ не выдаётся по телефону никогда — независимо от того, кто звонит и насколько срочно. Обратный звонок по внутреннему справочнику, а не по номеру, который назвал собеседник. Второй человек в цепочке для операций выше определённого уровня.

Всё это работает по одной причине: процедура не спрашивает, насколько вы уверены.

Где это кончается

Социальная инженерия интересна тем, что в ней обман не нуждается в подделке фактов. Почти всё, что говорит атакующий, может быть правдой — кроме одного: кто он такой. Дальше собеседник достраивает картину сам, из собственных ожиданий.

Это общее свойство работающей лжи. Она редко бывает полностью выдуманной — чаще это верные детали, собранные в неверную рамку, и человек, который в эту рамку добровольно входит.

Разборы такого рода — по первоисточникам, с проверкой цитат и цифр — я выкладываю в канале проекта: https://t.me/pizdaboly_book

Источники

1. Митник К., Саймон В. Искусство обмана (The Art of Deception). 2002. Человеческий фактор и иллюзия безопасности — гл. 1, с. 32-34; candy security — гл. 6, с. 113-114; принципы влияния и сценарии атак — гл. 15.

2. Cialdini, R. Influence: The Psychology of Persuasion. Шесть принципов влияния; Митник ссылается на изложение в Scientific American, февраль 2001.

3. Schneier, B. Формулировка «безопасность — это процесс, а не продукт» — цит. по Митнику, гл. 1, с. 32-33.

PiZДаБoLы — книга о том, как устроена ложь: от первой клетки, научившейся мимикрии, до современной пропаганды.

Станислав Биргер — аспирант, биотехнолог, исследователь.