Выносим мозг. Как работают эксплоиты социальной инженерии

«Веч­ная точ­ка вхо­да!», «Столь­ко‑то про­цен­тов атак начина­ется с соци­аль­ной инже­нерии!», «Нель­зя недо­оце­нивать воз­можнос­ти фишин­га!» — это всё донель­зя заез­женные в ИБ фра­зы. А что важ­но для эффектив­ного про­бива?

Тут мне­ния рас­ходят­ся. «Глав­ное — это кре­атив, это же соци­алоч­ка!», «Нет, глав­ное — это хороший пей­лоад, мак­росы, спло­иты на MS Office, а документ кто‑нибудь да откро­ет». И обя­затель­но кто‑то добавит: «Пар­ни, не замора­чивай­тесь! Рас­сыла­ем OWA, вве­дут пароли, а с учет­ками и поч­той рас­кру­тим­ся».

Важ­ны обе час­ти — и «социо», и «тех­ничес­кая». На мой взгляд, это дол­жно быть понят­но пря­мо из наз­вания. Но если с тех­ничес­кой сто­роной обыч­но все хорошо, спло­иты пишут­ся, вор­кшо­пы кру­тят­ся, то с «социо» у нас проб­лемы. Сис­темные.

Ты видел, что­бы к дру­гим видам пен­теста был такой же под­ход, как к соци­аль­ной час­ти соци­алки? Бес­систем­ный и зачас­тую пов­торя­ющий толь­ко то, что уже было сде­лано рань­ше более опыт­ными кол­легами?

Толь­ко пред­ставь: фаз­зим поле, не понимая, как оно работа­ет и почему так отве­чает, прос­то ждем, что что‑нибудь да выпол­нится, потому что все так дела­ют.

С соци­аль­ными скил­лами у мно­гих хакеров и в обыч­ной‑то жиз­ни не очень, потому они и тяготе­ют к тех­нике. А тут уж и подав­но при­ходит­ся выходить из зоны ком­форта. Кто‑то еще в этот момент пыта­ется отмахнуть­ся и ска­зать: «Пси­холо­гия не наука!»

Дис­клей­мер. Если ты счи­таешь, что пси­холо­гия не наука, то эта статья не для тебя.

Ос­таль­ным же доб­ро пожало­вать!

Ос­нова соци­аль­ной инже­нерии — пси­холо­гия вли­яния. Но хоть пси­холо­гия и наука, вок­руг нее кру­тит­ся мно­жес­тво псев­дона­учных течений: НЛП, физи­огно­мика, сом­нитель­ные тех­ники, мас­киру­ющиеся под пси­холо­гию сект, и мно­гое‑мно­гое дру­гое. Поэто­му...

Дис­клей­мер 2. Автор в статье опи­рает­ся на исклю­читель­но при­нятые и про­верен­ные в науч­ном сооб­щес­тве теории, иссле­дова­ния и пуб­ликации. А так­же ана­лизи­рует собс­твен­ный опыт соци­аль­ной инже­нерии через приз­му подоб­ных теорий.

Эта база опи­рает­ся в пер­вую оче­редь на иссле­дова­ния соци­аль­ных пси­холо­гов XX и XXI веков, а так­же сов­ремен­ные зарубеж­ные и рос­сий­ские иссле­дова­ния о под­вержен­ности мошен­ничес­тву.

Эволюционное легаси

Пред­ставь себе при­ложе­ние с неким API, которое раз­вивалось на про­тяже­нии мно­гих‑мно­гих лет, но ник­то его никог­да не перепи­сывал и лишь добав­лял всё новые и новые фун­кции. Раз­работ­чики и задачи менялись, поэто­му ник­то до кон­ца не понима­ет, что там за легаси‑код. В ста­рые фичи ник­то не лез, никако­го ревью не делал, прос­то дописы­вали новые, ког­да воз­никала необ­ходимость. Железо тоже не апгрей­дили, и, что­бы сох­ранять эффектив­ность, при­ходи­лось добав­лять опти­миза­цию путем про­пус­ка час­ти про­верок. Эта­кое «спе­куля­тив­ное исполне­ние».

Это при­ложе­ние — наш мозг, раз­вивший­ся в про­цес­се эво­люции.

За­час­тую наибо­лее уяз­вимы те механиз­мы, которые наши пред­ки исполь­зовали для выжива­ния на самом ран­нем эта­пе ста­нов­ления челове­чес­кого общес­тва. Пол­ностью изба­вить­ся от это­го нас­ледия мы не можем, можем лишь пытать­ся кон­тро­лиро­вать себя, зак­рывая к ним дос­туп на более высоком уров­не мыш­ления, но в глу­бине каж­дый человек уяз­вим.

Кто уязвимее?

Ког­да чита­ешь СМИ, кажет­ся, что уяз­вимее все­го пен­сионе­ры. Но это лишь потому, что исто­рии об обма­нутой бабуш­ке вызыва­ют наиболь­ший эмо­циональ­ный отклик, вот их и исполь­зуют в СМИ.

На деле же вот ста­тис­тика Евро­пола по жер­твам мошен­ничеств, обра­тив­шимся в полицию:

• 18–34 года — 27,7%;
• 35–54 года — 23,4%;
• 55–64 года — 21,7%;
• 65+ лет — 18,5%.

Но ведь мно­гие в полицию не обра­щают­ся, вер­но? Поэто­му пос­мотрим на ста­тис­тику, получен­ную с жес­тких дис­ков сер­вера быв­шего мошен­ничес­кого кол‑цен­тра в Бер­дян­ске:

• 20–29 лет — 23%;
• 30–39 лет — 44%;
• 40–49 лет — 19%;
• 50–59 лет — 12%;
• 60+ лет — 2%.

Ста­тис­тика иная, но тоже сов­сем не в поль­зу молоде­жи.

Воз­раст не уве­личи­вает веро­ятность обма­на, а ско­рее наобо­рот.

Уро­вень ког­нитив­ных спо­соб­ностей? Не вли­яет.

Сов­мес­тное иссле­дова­ние нес­коль­ких аме­рикан­ских вузов с учас­тием 1220 человек не обна­ружи­ло кор­реляции меж­ду уров­нем ког­нитив­ных спо­соб­ностей и веро­ятностью стать жер­твой мошен­ничес­тва.

От­дель­но сто­ит вспом­нить кейс 68-лет­него спе­циалис­та по физике эле­мен­тарных час­тиц Пола Фрэм­пто­на, кан­дидата на Нобелев­скую пре­мию. Его с помощью баналь­ного мошен­ничес­тва через сайт зна­комств зас­тавили поп­робовать про­вез­ти через гра­ницу чемодан с дву­мя килог­рамма­ми кока­ина! Неудач­но для него.

Спе­циалис­ты по безопас­ности наибо­лее «устой­чивы» к соци­аль­ной инже­нерии? Не сов­сем.

С одной сто­роны, мы, инте­ресу­ющиеся соци­аль­ной инже­нери­ей, обра­щаем вни­мание на подоб­ные тех­ники и нам про­ще их заметить. Одна­ко нас в какой‑то сте­пени «ослепля­ет» эффект свер­хуверен­ности. Мы убеж­дены, что сами уж точ­но всё пой­мем и на нас‑то это не сра­бота­ет! Это извес­тное ког­нитив­ное иска­жение, которое про­явля­ется во мно­жес­тве про­фес­сий. К при­меру, по ста­тис­тике:

• опыт­ные водите­ли чаще попада­ют в серь­езные ава­рии;
• опыт­ные плов­цы тонут чаще;
• опыт­ные элек­три­ки чаще получа­ют трав­мы от уда­ров током.

Вы­вод: с помощью соци­аль­ной инже­нерии мож­но эффектив­но про­водить ата­ки на любые соци­аль­ные груп­пы, важ­но лишь соз­давать под­ходящие сце­нарии.

О сце­нари­ях мы погово­рим далее.

Уязвимая оптимизация

Объ­ем нашего моз­га не менял­ся уже нес­коль­ко тысяч лет. Пред­ставь, что у зем­ледель­ца из Древ­ней Гре­ции мозг был точ­но таким же. Но объ­ем информа­ции, которую он обра­баты­вал ежед­невно, не идет ни в какое срав­нение с сов­ремен­ной наг­рузкой. И бла­года­ря прог­рессу она рас­тет гораз­до быс­трее, чем эво­люци­онно подс­тра­ивает­ся наше «железо».

Как же наш мозг справ­ляет­ся с этим? Исполь­зует уже вырабо­тан­ный нес­коль­ко тысяч лет назад механизм опти­миза­ции сте­реотип­но‑пос­ледова­тель­ное поведе­ние (СПП). СПП поз­воля­ет нам при­нимать решения без ана­лиза ситу­ации на осно­вании прош­лого опы­та и неко­его про­воци­рующе­го фак­тора. Это зна­читель­но эко­номит ресур­сы, уво­дит рутин­ные про­цес­сы в «фоновый режим» и поз­воля­ет заод­но обду­мывать что‑то. Это корот­кий путь обра­бот­ки информа­ции, в то вре­мя как ана­лиз — длин­ный. Нашим пред­кам такая опти­миза­ция неод­нократ­но помога­ла и спа­сала жиз­ни в ситу­ациях, где на ана­лиз не было вре­мени. Эво­люци­онно это выгод­но!

Ав­томати­чес­кая, сте­реотип­ная фор­ма поведе­ния пре­вали­рует над все­ми осталь­ными фор­мами поведе­ния, потому что она энер­госбе­рега­ющая и самая эффектив­ная в боль­шинс­тве слу­чаев. Она поз­воля­ет эко­номить огра­ничен­ные ресур­сы моз­га.

От него нель­зя ожи­дать, что он успе­ет про­ана­лизи­ровать и обду­мать все аспекты жиз­ни, все события, ситу­ации, кон­такты даже в рам­ках одно­го дня любого из нас. Он быс­тро клас­сифици­рует событие по клю­чевым деталям (про­воци­рующим фак­торам) и реаги­рует.

Но ког­да это поведе­ние нас под­водит? В тех ситу­ациях, ког­да наш опти­мизи­рован­ный мозг выбира­ет на осно­вании про­воци­рующе­го фак­тора невер­ную модель поведе­ния. Ошиб­ка клас­сифика­ции.

При­мер. Соци­аль­ный пси­холог из Гар­варда Эллен Лан­гер про­вела экспе­римент «Оче­редь к ксе­рок­су». По нему человек пытал­ся прой­ти к копиро­валь­ному аппа­рату без оче­реди, исполь­зуя для это­го три вида просьб:

• Без объ­ясне­ния при­чины («Мож­но я прой­ду без оче­реди?») — 60% положи­тель­ных отве­тов.
• С логич­ным объ­ясне­нием («Мож­но я прой­ду без оче­реди? Потому что я очень тороп­люсь и у меня все­го пара стра­ниц») — 94% положи­тель­ных отве­тов.
• С иллю­зией объ­ясне­ния («Мож­но я прой­ду без оче­реди? Потому что мне нуж­но сде­лать копии») — 93% положи­тель­ных отве­тов!

Про­воци­рующим фак­тором в этой ситу­ации было не само объ­ясне­ние и его обос­нован­ность, а лишь наличие объ­ясне­ния — союз «потому что». Мы уяз­вимы к уль­тра­нор­маль­ным сиг­налам — про­воци­рующим фак­торам, и эту уяз­вимость мож­но экс­плу­ати­ровать, даже для вызова поведе­ния, про­тиво­реча­щего здра­вому смыс­лу.

DoS мозга

Са­мый прос­той спо­соб вклю­чить «энер­госбе­рега­ющий режим» — эмо­циональ­но или сен­сорно перег­рузить мозг челове­ка.