Розділ 3. Коли зламують не техніку, а тебе

Найслабша частина системи
Серед людей, які професійно зламують системи, ходить стара приказка. Найлегший спосіб дізнатися чужий пароль це не зламувати його, а зробити так, щоб тобі назвали його самі.
Подумай, скільки треба, щоб пробити цифровий захист. Шифрування, файрволи, коди підтвердження, стіни, які компанії зводять навколо твоїх акаунтів роками й за шалені гроші. Шахрай міг би довбати ці стіни місяцями. А міг би натомість просто набрати твій номер, стурбовано зітхнути в слухавку і за півтори хвилини вмовити тебе самого відчинити двері зсередини. Вгадай, що він обере.
Зветься таке соціальна інженерія. Це коли зламують саму людину, а машини навіть не торкаються. Тому вся техніка в твоєму телефоні безсила: технічно ж нічого не зламано. Усе, що треба, робиш ти сам, добровільно, бо тобі дали дуже переконливу причину.
Чому воно спрацьовує навіть на обережних? У минулому розділі шахраям була потрібна бутафорія, фальшиві сторінки, підмінені номери. Тут не треба нічого. Схема тягнеться прямо до важелів із першого розділу, а важелі ці, як не дивно, найкраще, що в тобі є. Ти боїшся, бо хочеш захистити рідних. Співчуваєш, бо тобі не байдуже. Слухаєш старшого, бо на довірі взагалі тримається все навколо. І шахрай просто розвертає твої добрі інстинкти не в той бік.
Дивись, як легко воно стає. «Ваш онук потрапив у ДТП, треба терміново внести заставу», і страх із любов'ю вистрілюють разом, бабуся перестає думати й починає діяти. «Це техпідтримка, ми виявили вірус у вашому акаунті, зараз усе разом полагодимо», і накриває полегшення з вдячністю: нарешті хтось допоможе. «Це податкова, є одне питання, яке треба закрити сьогодні», і піднімається повага з легким холодком: із державою не сперечаються.
І зверни увагу, скільки роботи він при цьому не зробив. Не копіював сторінок. Навіть номер не підміняв. Просто намацав почуття, через яке ти пропустиш перевірку, і надавив. Решту ти доробиш сам.
І складник у всіх трьох випадках однаковий: сильна емоція, а поверх неї ще й нуль часу на роздуми. Оце й усе ремесло. Розігнати тобі серце, не дати зупинитися, і повільна, уважна частина так і не встигне ввімкнутися.
Звідси незручна правда, на якій стоїть увесь розділ. У найдосконалішій системі безпеки світу є одна частина, яку не можна ні залатати, ні оновити, ні сховати за файрвол: людина, що нею користується. Наляканий, охочий допомогти, поставлений на поспіх, будь-хто з нас це найм'якший вхід у будь-яку систему, яку взагалі колись побудували. Це не образа. Просто слабке місце сидить саме там: не в телефоні, а в цілком нормальній людській реакції на правильно натиснутий важіль.
Тому й захист зміщується. У цьому розділі ти вчишся іншого. Ловити ту мить, коли хтось грає на твоїх емоціях, і саме її вважати сигналом тривоги.
Пройдемо три версії. Перша з них найстаріша, і вона ж найжорстокіша, бо б'є прямо по тих, кого ти любиш. Родич у біді.
Родич у біді
Уяви телефон твоєї бабусі, який дзвонить звичайного дня.
Молодий голос у паніці, крізь сльози: «Бабусю, це я, я вскочив у халепу…». Голос глухий, чи то плаче, чи то зв'язок поганий, не розбереш, але серце вже стиснулось, бо це ж онук. Потім слухавку перехоплює хтось інший, спокійний, офіційний, адвокат. Сталася ДТП, онук за кермом, є постраждалий, онука вже затримали. Заставу треба внести сьогодні, готівкою, і краще тихо: справа судова, дуже делікатна, рідним не кажіть, буде тільки гірше.
А тепер відчуй, що коїться в неї всередині. Жах за дитину. Любов. Сором, бо їй наказали тримати таємницю. І весь час цокає годинник. Жодне з цих почуттів не випадкове, кожне ввімкнули навмисне, за першу ж хвилину, поки вона не встигла отямитись.
Схема зветься «родич у біді». Найжорстокіша в книжці, бо зброєю в ній стають найдорожчі тобі люди. Б'ють здебільшого по літніх, тож якщо в тебе є бабусі й дідусі, цей шматок наполовину написаний для того, щоб ти захистив саме їх. Хоча той самий прийом уже підбирається й до молодших, до тебе теж, тільки в новішій обгортці, до якої ще дійдемо.
Хтось скаже: ну це рідкість, зі мною таке не трапиться. Аж ні. Одна мережа працювала саме за цим сценарієм: заплаканий онук, фальшивий адвокат, термінова застава. Поки її не накрили, вона витягла з родин близько двадцяти одного мільйона доларів. Двадцять один мільйон! По одному переляканому дзвінку за раз. Це ціле виробництво, зі сценаріями, ролями й кол-центрами.
Придивись до ролей, тут усе продумано до дрібниць. «Онука» навмисне ледь чути: то він схлипує, то бурмоче, то зв'язок тріщить. Це щоб мозок бабусі сам домалював решту й почув знайомий голос. У старіших версіях був хід іще підліший. Шахрай каже просто «Бабусю, це я!» і мовчить, чекає. І бабуся сама підставляє ім'я: «Михайлику, це ти?». Ось і все! Тепер шахрай знає ім'я онука, а отримав його задарма, з її ж вуст. Далі вступає «адвокат» чи «слідчий», щоб додати ваги й перехопити керування. Наказ мовчати відрізає жертву від того єдиного, що миттєво все зупинило б. Від родички, яка сказала б: «зачекай, я щойно бачила Михайла, з ним усе гаразд».
Тепер сучасна версія, вона вже полює й на тебе, і на твоїх батьків. І приходить не дзвінком, а простим повідомленням:
«Мам, привіт, у мене телефон розбився, пишу з нового номера. Виручиш? Треба терміново оплатити, а в банк зайти не можу».
Жодного плачу не треба. Лише повідомлення з незнайомого номера, нібито від твоєї дитини, друга чи брата, «з нового номера». Деталь про розбитий телефон робить одразу дві справи. Пояснює, звідки взявся дивний номер. І заодно, чому ця «дитина» не може просто зателефонувати й підтвердити все голосом. Далі йде прохання переказати гроші або щось оплатити.
Один випадок мало не закінчився бідою, але його встигли обірвати. Чоловікові в Англії написала «донька»: телефон розбився, виручи з покупкою. Він заплатив, близько тисячі шестисот фунтів, бо що тут думати, дитина ж просить. А за кілька хвилин задзвонила донька, зі свого звичного номера, жива й спокійна. Ті повідомлення були підробкою від першого слова. Оскільки він дізнався швидко й одразу подзвонив у банк, банк устиг провести перевірку й повернув майже все.
Подивись, що саме його врятувало. Точно не пильність під час розмови, бо гроші він уже переказав. Урятував живий голос дитини з рідного номера. Ну і те, що чоловік кинувся діяти в ту ж секунду, щойно зрозумів.
А тепер найпростіше. Один-єдиний рух накриває геть усі версії заразом, і дзвінок, і повідомлення, і заплаканий голос, і розбитий телефон.
Будь-яке повідомлення чи дзвінок про близьку людину в терміновій біді, якій прямо зараз потрібні гроші, перевіряй одним способом. Сам зв'яжися з цією людиною за номером, який у тебе вже є. Поклади слухавку й подзвони онукові. Напиши доньці на її звичний номер. Набери другові на його власний телефон. Якщо додзвонитися ніяк, подзвони комусь іншому з рідних. Ця схема ламається в ту секунду, коли ти виходиш на справжню людину тим шляхом, якому вже довіряєш.
А наказ тримати все в таємниці, «нікому не кажи, це між нами»? Переверни його на правило. Прохання мовчати не ознака делікатної ситуації, а ознака шахрайства. Правді не потрібно, щоб ти мовчав.
Далі шахрай, який тебе взагалі не лякає. Навпаки, він пропонує допомогу.
Незнайомець, який хоче допомогти
Попередня схема працювала на страху. Ця тримається на протилежному почутті й тому підступніша: на полегшенні.
Починається все з проблеми, про яку ти й не здогадувався. На весь екран вискакує вікно: «Увага: ваш пристрій заражено, зателефонуйте за цим номером». Або падає повідомлення про якусь підозрілу активність у твоєму акаунті. Або телефонує «техпідтримка» сервісу, яким ти й справді користуєшся. Обгортка щоразу інша. А всередині завжди те саме: щось зламалося, тобі стало лячно, і, яке щастя, той, хто про поломку повідомив, люб'язно береться її ж і полагодити.
Ось він, гачок. Такий шахрай приходить не як загроза, а як рятівник. А коли ти вже перелякався за вірус чи зламаний акаунт, спокійний фахівець, який пропонує провести тебе за руку, здається просто дарунком небес. Підозрювати його вже не хочеться, бо ви тепер ніби в одній команді: ти проти проблеми, а поруч твій новий помічник. Хіба ж помічник тебе обдурить?
От тільки проблему вигадав сам помічник.
Ось повна версія, яку слідчі прозвали «фантомним хакером». Вона йде в три акти, і терпіння в цій конструкції справді вражає.
Акт перший, «техпідтримка». Тебе переконують, що з комп'ютером чи телефоном біда, і щоб полагодити, радять поставити одну невеличку програму. Ти її ставиш, бо тобі ж допомагають. А через неї помічник залазить у твій пристрій наскрізь, бачить увесь екран, зокрема й те, як ти заходиш у банк. І ти досі певен, що поруч друг.
Акт другий, новий дзвінок, тепер нібито «з твого банку». Голос повідомляє, що твої рахунки зламали й буквально хвилину тому з них уже пробували щось зняти. І перший акт підготував це ідеально: ти ж і сам щойно бачив на екрані щось дивне, поки «майстер» порався в пристрої. Отож рятуй гроші, каже голос, переводь усе на новий, захищений рахунок, поки не пізно. Ти вже зустрічав цю фразу в минулому розділі, і вона й досі та сама брехня. Безпечного рахунку не існує!
Акт третій, якщо ти й далі вагаєшся. Дзвонить «представник державного органу» й підтверджує всю історію від початку до кінця. Офіційний голос з офіційної установи ручається за перших двох. Тепер троє поважних людей із трьох різних місць кажуть тобі одне й те саме, і засумніватися вже здається якимось безглуздям. Це ж не змова проти тебе одного, правда?
Крізь усі три акти проходить наказ мовчати: слідство делікатне, ні з ким не обговорюйте. Одна лише ця схема вкрала сотні мільйонів доларів, здебільшого в літніх людей, саме тому, що кожен акт робив наступний правдоподібнішим.
А під усім цим сидить простий механізм, бо версія на три акти це лиш найдорожча збірка. Роздягни її, і в будь-якій схемі «доброго помічника» ті самі два ходи. Перший: вигадати кризу, яку ти не можеш перевірити, вірус, злам, підозріла активність. Другий: поставити себе єдиним, хто здатен тебе від неї врятувати. Страх відчиняє двері, полегшення заводить тебе всередину.
Усе це наскрізь протинають дві прикмети, і їх варто закарбувати.
Перша: справжня підтримка ніколи не звертається першою. Твій банк, технологічна компанія, державна установа, ніхто з них не подзвонить тобі сам. І не вискочить попередженням про вірус, щоб потім наживо вести тебе через «лагодження». По допомогу ходиш ти, офіційними шляхами. Натомість допомога, що прийшла непрохано й уже знає про твою «проблему», це наживка.
А тепер друге, і от воно вже майже без винятків. Ніколи не став застосунок чи програму на прохання того, хто сам до тебе постукав. Програма віддаленого доступу віддає незнайомцеві весь твій екран, акаунти, повідомлення, гроші, поки ти дивишся й віриш, що тобі допомагають. Жодному справжньому помічникові не треба залазити в твій пристрій, щоб вирішити твою проблему. Якщо голос у слухавці хоче, щоб ти щось завантажив задля «допомоги», саме це прохання і є вся схема. Клади слухавку.
А «безпечний рахунок» із другого акту? Ти вже знаєш. Його не існує, ні в цьому розділі, ні в жодному іншому.
Тож захист усе той самий, дарма що почуття цього разу вдячність, а не страх. Незрозуміла проблема, якої ти не можеш перевірити сам, плюс незнайомець, який так доречно вигулькнув її полагодити. Разом це завжди «стоп». Перевір проблему сам, тим шляхом, який обрав ти, а не тобі підказали. І якщо ніякої проблеми немає, вітаю, ти щойно познайомився з шахраєм.
Далі шахрай, якому потрібна від тебе лиш одна річ. Один код.
«Просто продиктуйте код»
Деяким схемам потрібні твої гроші. Цій потрібні шість цифр. І коли ти зрозумієш, чому ці шість цифр коштують більше, ніж здається, ти більше ніколи нікому їх не віддаси.
Код ти знаєш. Заходиш у застосунок, і приходить SMS: «Ваш код підтвердження: 738204». Вводиш, і ти всередині. Це одноразовий код, і існує він заради однієї речі: довести, що заходиш саме ти. Той самий другий замок на дверях, та двофакторна, яку всі радять увімкнути. Порада добра. Але замок вартий рівно стільки, скільки твоя звичка не давати ключ незнайомцям.
Хід простий. Логін і пароль у шахрая вже є: куплені у витоку, виловлені фішинговою сторінкою або просто вгадані, бо ти взяв той самий пароль ще десь. Зупиняє шахрая лиш другий замок: коли він пробує зайти, код приходить на твій телефон, а не на його. Тому йому треба, щоб ти сам той код продиктував.
Він телефонує. На екрані назва твого банку. Голос професійно спокійний: зафіксовано підозрілу активність, зараз ми підтвердимо вашу особу, «ми щойно надіслали вам код, продиктуйте, будь ласка». І тут, точно тієї ж миті, дзинь, SMS із кодом справді падає тобі на екран. Усе сходиться, тож ти читаєш цифри вголос. А в цю саму секунду шахрай вбиває їх на сторінці банку, у справжній, і другий замок слухняно клацає. Тебе навіть не зламали. Тобі простягнули ключ… і ти чемно вклав його в чужу руку.
Схема виявилась настільки дієвою, що з неї зробили бізнес. Одна група збудувала цілий сервіс: платиш тижневу підписку, вбиваєш ім'я й номер жертви, а далі система телефонує їй сама, вдає банк і виманює той самий код. Поки слідчі до нього дісталися, сервіс встиг обдзвонити понад дванадцять тисяч людей. Дванадцять тисяч! Одна проста програма за підпискою перетворила «продиктуйте код» на торговий автомат.
І не десь далеко. Слідчі накривали цілі кол-центри голосового фішингу, того самого вішингу, що працювали з України й коштували жертвам лише в одній сусідній країні понад вісім мільйонів євро. Живі люди, реальні кол-центри, дзвінки цілими днями, і все побудоване на одній м'якій миті, коли доброзичливий голос просить підтвердити номер.
Ось думка, що перевертає всю картину. Вона коротка, тому лишиться з тобою назавжди. Одноразовий код підтверджує ту дію, яку ти робиш просто зараз. А раз ти щойно сам не заходив і нічого не оплачував, код на екрані означає лиш одне. У твій акаунт ломиться хтось чужий, і бракує йому тільки тебе, щоб дотиснути останній крок.
Тому запам'ятай просту річ: цей код лиш для твоїх очей, і більше нічиїх. Не читай його вголос. Не вбивай на сторінці, куди привело посилання. Не диктуй нікому, ким би він себе не звав і хоч би як поважно рипів у слухавці дзвінок. Твій банк ніколи не подзвонить із проханням продиктувати код. Ніколи. Код це спосіб банку переконатися, що це ти, а справжній банк і так знає, що нікуди тебе не відправляв.
Тож коли код падає на екран, а голос у слухавці його просить, саме ця пара і є сигнал тривоги. Не читай. Клади слухавку. Хвилюєшся, що там справді щось із рахунком? Набери номер із картки й спитай сам. По лінії, яку набрав ти, а не тобі, і в людей, яким не треба, щоб ти доводив свою особу, зачитуючи їм SMS.
Оце й третє обличчя соціальної інженерії. Страх, полегшення і чемний офіційний голос по твій код, три різні маски, а ціль під ними одна, м'яка, жива. Зведімо їх докупи.
Три ознаки, що тобою грають
Три схеми: переляканий родич, доброзичливий незнайомець, чемний голос по твій код. Різні почуття, різні сценарії. Але під ними соціальна інженерія щоразу лишає ті самі три відбитки. Відчув бодай один, зупиняйся.
Раптова сильна емоція. Страх за того, кого любиш. Полегшення, що прийшла допомога. Розгублене бажання не сперечатися з владою. У справжньому житті емоції теж бувають, але коли повідомлення чи дзвінок швидко витягує з тебе велике почуття, помічай це. Почуття виконує роботу. Воно тут, щоб заглушити ту частину тебе, яка інакше поставила б питання.
Тиск діяти негайно. Застава сьогодні. Вірус полагодити цієї ж хвилини. Код підтвердити, поки «вікно не закрилось». Терміновість ніколи не про твій розклад, вона про те, щоб забрати в тебе ті десять хвилин, за які ти все перевірив би. Живі люди й поважні установи зачекають. Тільки шахрайство не може собі цього дозволити.
Штовхають робити це наодинці. «Нікому не кажи». «Хай лишиться між нами». «Це таємниця». Ця прикмета видає всю схему з головою, бо чесної причини існувати в неї немає. Правді твоє мовчання не потрібне. Таємниця тут заради одного: тримати тебе подалі від людини, яка сказала б «це шахраї».
Ось і весь шаблон. Сильне почуття, немає часу, роби сам. Коли ці троє з'являються разом, ти не в надзвичайній ситуації. Ти в сценарії.
А захист той самий, що ти будуєш іще з першого розділу. Соціальна інженерія натискає ті самі важелі, просто замість фальшивої сторінки на них тисне жива людина. Отож пауза: почуття квапить тебе, а ти навмисне сповільнись. Перевір своїм шляхом: поклади слухавку й сам вийди на людину чи установу за номером, якому давно довіряєш. І скажи комусь, промов усе вголос хоч одній живій душі, перш ніж діяти. Уся схема й тримається на тому, щоб ти цього не зробив.
Поглянь наостанок, чого жодній із цих схем так і не знадобилося. Ніхто не ламав твій телефон, не підбирав пароль, не долав жодного захисту. Треба було одне: застати тебе на гарячому почутті й почекати, поки ти сам відчиниш двері.
Звідси питання, на яке відповідає наступний розділ. Якщо ти дверей не відчиниш, не продиктуєш код, не переведеш гроші, не встановиш програму, то по що вони приходили від початку?
Відповідь це те, навколо чого крутиться геть усе: твої дані й твої акаунти. Логіни, паролі й коди, які насправді і є ключами від усього, що ти маєш. Саме на них полювання. Тож далі ходімо захищати ключі.