Искусство обмана

Анализ обмана
Весь этот фокус основывался на единственной фундаментальной тактике социальной 
инженерии: получение доступа к информации, которую работники компании считают безвред-
ной, когда на самом деле она опасна.
Первая банковская служащая подтвердила термин для описания номера идентификации, 
используемого для звонков в CreditChex: Merchant ID. Вторая выдала телефонный номер для 
звонков в CreditChex и самый важный кусок информации: номер Merchant ID банка. Вся эта ин-
формация казалась клерку безвредной. В конце концов, ведь банковская служащая думала, что 
она говорит с кем-то из CreditChex – так что плохого было в раскрытии номера?
Всё это было положено в основу для третьего звонка. У Грейса было всё необходимое, что-
бы позвонить в CreditChex. Он представился служащим одного из банков-клиентов, – Нацио-
нального банка, – и просто спросил всё, что нужно.
Помимо хороших навыков в краже информации, которыми обладает любой хороший кар-
манник, Грейс обладал талантом незаметно угадывать настроение людей. Он знал об обычной 
тактике прятанья ключевых вопросов среди безвредных. Он знал, что личный вопрос проверит 
второго клера на желание сотрудничать, прежде чем спрашивать о номере Merchant ID.
Ошибку первого служащего, касающуюся подтверждения терминологии номера ID 
CreditChex, практически невозможно предотвратить. Эта информация столь широко известна в 
банковской индустрии, что кажется незначительной – хорошая модель безвредной информации. 
Но второй служащей, Крис, не следовало отвечать на вопросы без проверки, действительно ли 
звонивший был тем, кем назвался. По крайней мере, ей следовало спросить у него имя и номер, 
чтобы перезвонить. В этом случае атакующему было бы намного труднее замаскироваться под 
представителя CreditChex.
Сообщение от Митника
В этой ситуации Merchant ID – аналог пароля. Если бы персонал банка относился к нему 
как к ATM PIN, они бы лучше оценивали критичность природы этой информации. А в вашей ор-
ганизации есть внутренний номер, к которому люди относятся без особой осторожности?
Для звонков в CreditChex было бы лучше использовать что-нибудь другое, вместо номера, 
сообщаемого звонившим, чтобы проверить действительно ли этот человек работает там, и дей-
ствительно ли компания обрабатывает запросы своего клиента. Однако, учитывая практику на-
стоящего мира и временной прессинг, в котором сегодня работают многие люди, этой проверки 
по телефону достаточно кроме случаев, когда служащий подозревает, что совершается атака.