Jak oszust łapie na haczyk? Socjotechniczne ABC

Przygotowanie sceny, wiarygodna przesłanka, akcja! Tak w skrócie wygląda scenariusz typowego phishingu lub smishingu. W przedstawieniu mniej liczy się technologia, a bardziej socjotechniki, na które łapią się nierzadko nawet świadomi zagrożeń klienci.

Jak skłonić ludzi, by zrobili coś, na czym nam zależy? To pytanie może mieć złowrogi wymiar, gdy stawia je przestępca czający się na pieniądze lub dane ofiary. Odpowiedzią jest socjotechnika, czyli chwyty pozwalające skutecznie perswadować, manipulować zachowaniem. Chociaż phishing ma już kilka dekad historii, to złoczyńcy wciąż korzystają z tych samych schematów wpływania na psychikę adresatów swoich wiadomości. Zasady pozostają podobne, zmienia się tylko (czasem wyjątkowo sprytnie) sceneria.

Zbudowanie zaufania – dekoracja dla przedstawienia

Kluczem do udanego phishingu jest w pierwszej kolejności wyłączenie krytycznego myślenia u ofiary. Jeśli przestępcy chcą, aby użytkownik najpierw kliknął link w wiadomości e-mail lub SMS, a potem przeszedł przez kolejne kroki wyłudzenia, trzeba uruchomić u odbiorcy „autopilota”.

Psychologowie mówią o dwóch systemach, które wykorzystuje na co dzień nasz mózg. Jeden opiera się na analizie, refleksji, świadomym namyśle. Drugi – na szybkiej reakcji, drogach na skróty. Celem oszustów jest pchnięcie nas na drugą ze ścieżek. Aby się to udało, trzeba odpowiednio przygotować podłoże, dekorację przedstawienia.

Najczęściej stosowane techniki w tym celu to wykorzystanie znanych instytucji, logotypów, schematów wiadomości . Wiadomości phishingowe zazwyczaj dość starannie odtwarzają tożsamość wizualną podmiotu, pod który chcą się podszyć przestępcy. Jeśli celem jest bank, to mail ma szatę graficzną bardzo zbliżoną do oryginału. Jeśli firma kurierska, to szablonem dla oszustów jest typowa wiadomość o przesyłce.

Ofiara ma zadziałać odruchowo. W końcu spotyka się z czymś „znanym”. Nierzadko tak jest w kolejnych krokach. Jesteśmy w stanie przeoczyć inny (ale podobny) adres witryny, błędy w treści wiadomości i inne szczegóły, które przyciągają uwagę, gdy działamy w trybie analitycznym.

Socjotechniką używaną w niektórych typach oszustw phishingowych może być również odwołanie się do autorytetu . To pozwala pchnąć ofiarę w stronę odruchowej reakcji, nawet jeśli spotyka się z czymś nowym. Przykładem może być logo państwowej instytucji (pisze do nas Urząd Skarbowy, chociaż nigdy nie mieliśmy z nim wcześniej do czynienia w skrzynce pocztowej), a w scamach inwestycyjnych - celebryci zachęcający do zapoznania się z okazją.

Kluczem do udanego wyłudzenia jest stworzenie zarysu wiarygodnej historii (tzw. pretexting) . W masowo rozsyłanych wiadomościach phishingowych oszuści nie są zwykle zbyt kreatywni. Liczą raczej na to, że ofiara sama sobie dopowie brakującą część scenariusza. „Powiadomienie o przesyłce? Faktycznie, zamawiałem coś w poniedziałek”. Bardzo często jednak trafiają w próżnię, np. gdy mail trafia do osób, które nie mają rachunku w banku, pod który się podszywa wiadomość. Nieco inaczej jest w tzw. spear phishingu, nacelowanym na konkretne osoby. Tu historia bywa rozbudowana i nierzadko poparta kilkoma ziarenkami prawdy.

Etap drugi – do dzieła!

Po przygotowaniu gruntu nadchodzi czas na najważniejszy dla oszustów element – pchnięcie ofiary do działania. Tu pierwszoplanową rolę odgrywa psychologia, a celem jest skłonienie do wykonania konkretnej czynności. Zwykle chodzi o kliknięcie link, a później podanie danych karty płatniczej, wysłanie środków albo autoryzowanie innej operacji istotnej dla finansowego zysku atakujących. Czasem w grę wchodzi instalacja oprogramowania albo podzielenie się wrażliwymi (niefinansowymi) danymi.

Socjotechniki stosowane przez oszustów to, w kolejności od najczęściej spotykanych w praktyce:

Wywoływanie wrażenia pilności, konieczności szybkiej reakcji, presja czasu . Zwykle ma postać jasno zdefiniowanego terminu (w tym „natychmiast”), po którym czekają na nas niemiłe konsekwencje. Sens tego chwytu jest oczywisty – adresat ma zadziałać odruchowo, a nie analizować wiadomość.

Wzbudzenie strachu, obaw . Klasycznym przykładem mogą być komunikaty phishingowe, w których ostrzega się o „zablokowaniu konta”, „utracie środków” albo (co za perfidia) o trwającym włamaniu na rachunek. Mocne emocje przejmują stery.

Wizja wyjątkowej korzyści, okazyjnej nagrody . Nieco rzadziej stosowanym haczykiem jest odwołanie się do instynktu łowcy okazji. Pretekstem może być wygrana w konkursie, czekająca darowizna, nieoczekiwany zwrot podatku, ale także likwidacja e-sklepu ze znanymi markami i czekające w zasięgu ręki przeceny. W połączeniu z odwołaniem się do „ekskluzywności” okazji i konieczności natychmiastowej reakcji daje to czasem efekt, na który liczą przestępcy – odruchową reakcję.

Podkreślenie niedostępności zazwyczaj pojawiające się tam, gdzie ofiarę próbuje się zanęcić fałszywym zyskiem. Ta technika, znana, chociażby z reklam, opiera się na stworzeniu wrażenia rzadkości i konieczności konkurowania o jakieś dobro („tylko jedna sztuka dostępna”, „5923 osoby ogląda”). Podstęp ma w tle mechanizm nazywany społecznym dowodem słuszności. Jeśli tak wiele osób korzysta (z konkursu, „inwestycji” itp.), to to musi być dobre. Nie ma na co czekać.

Korzystna wymiana , czyli przypadek, gdzie druga strona wprawdzie oczekuje czegoś w zamian, ale proponuje znacznie więcej. Wypełnienie formularza, pobranie oprogramowania kontra kilkaset złotych na „bonie przedpłaconym”. Jeśli oszustom uda się skutecznie wyeksponować zysk i sprawić, że ofiara poczuje, że jest on prawie w portfelu, to jest szansa, że adresat przejdzie kolejne kroki.

Techniki wpływu mają za zadanie odwrócenie uwagi ofiary od wątpliwości, jakie wzbudzić mogłaby nietypowa, niespodziewana wiadomość. Wówczas niedoskonałości historii, którą chce opowiedzieć oszust i techniczne „czerwone flagi” komunikatu mają szansę umknąć uwadze adresata. Dla pewnego bardzo atrakcyjnego z punktu widzenia przestępców „segmentu” ofiar, obietnice zysku albo groźby są wręcz wystarczającym bodźcem niezależnie od tego, jak niedbale przygotowano wiadomość phishingową. Właściwie zastosowane sztuczki socjotechniczne to klucz do udanego wyłudzenia.

Jak się bronić?

Nawet specjaliści zajmujący się cyberbezpieczeństwem nie spotkali się zapewne ze wszystkimi bez wyjątku rodzajami phishingowych zachęt. Wyliczone techniki, zwykle w jakiejś kombinacji, są jednak fundamentem większości wyłudzeń. Dlatego warto je znać, ale ważniejsze od znajomości szczegółów socjotechnicznych chwytów jest zatem zdanie sobie sprawy z celu ich stosowania. Oszuści chcą wyłączyć naszą naturalną podejrzliwość, wewnętrznego sceptyka .

Bankier.pl Najlepszym sposobem na radzenie sobie ze sztuczkami oszustów jest nieufność. Trafiając na wiadomość, w której jest jasno wskazany następny krok, którego się od nas oczekuje, musimy założyć na wstępie, że mamy do czynienia z wyłudzeniem. Dopiero wtedy sens mają klasyczne porady – nie klikaj w linki, skontaktuj się z nadawcą innym kanałem komunikacji.

Czytaj cały artykuł u źródła — Bankier.pl