 |
 |
 |
 |
|
 |
 |
(Chapter 6 «Can You Help Me?»)
Перевод: Artem (artem sib@inbox.ru)
Вы знаете, как социальные инженеры обманывают людей, предлагая им свою помощь.
Другой излюбленный подход основан на обратном: социальный инженер делает вид, что
нуждается в помощи другого человека. Мы можем сочувствовать людям в затруднительном
положении, и подход оказывается эффективным снова и снова, позволяя социальному
инженеру достигнуть своей цели.
Чужак
История в главе 3 показала, как атакующий может служащего сообщить свой
(табельный) номер. В этой истории применяется другой подход, чтобы добиться того же
результата, и показывает, как атакующий может им воспользоваться.
Наравне с Джонсами
В Силиконовой долине есть некая мировая компания, название которой упоминаться не
будет. Отделы сбыта и другие подразделения, расположенные по всему миру, соединены со
штаб-квартирой компании посредством глобальной сети (WAN). Взломщик, проворный
малый по имени Брайан Аттерби (Brian Atterby), знал, что почти всегда легче проникнуть в
сеть в одном из отдаленных мест, где уровень безопасности должен быть ниже, чем в
головном офисе.
Взломщик позвонил в офис в Чикаго и попросил соединить с мистером Джонсом.
Секретарь в приемной спросила, знает ли он имя мистера Джонса; он ответил: «Оно где-то
здесь, я ищу его. Сколько у вас работает Джонсов?». Она сказала: «Три. В каком он
подразделении?» Он сказал: «Если вы зачитаете мне имена, может, я вспомню его».
–
Барри, Джозеф и Гордон.
–
Джо. Я вполне уверен, что это он. И… в каком он подразделении?
–
Развития бизнеса
–
Отлично. Соедините меня с ним, пожалуйста.
Она соединила его. Когда Джонс взял трубку, атакующий сказал: «Мистер Джонс? Это
Тони из отдела (начисления) заработной платы. Мы как раз выполняем ваш запрос о
переводе ваших денег на кредитный счет».
–
ЧТО?! Вас обманули. Я не делал таких запросов. У меня даже нет счета.
–
Проклятие, я уже выполнил запрос.
Джонс был в смятении от мысли, что его деньги могли отправиться на чей-нибудь счет,
он начал думать, что парню на том конце провода не следовало торопиться. Прежде чем он
успел ответить, атакующий сказал: «Я понимаю, что произошло. Изменения вносятся по
номеру служащего. Какой у вас номер?»
Джонс сообщил свой номер. Звонивший сказал: «Действительно, вы не делали запрос».
«Они становятся все более бестолковыми с каждым годом», – подумал Джонс.
«Я внесу исправление прямо сейчас. Не беспокойтесь, вы получите вашу зарплату без
проблем», – заверил парень.
Командировка
Почти сразу после этого позвонили системному администратору в отдел сбыта в
Остине, Техас.
«Это Джозеф Джонс, – представился звонивший. – Я из отдела развития бизнеса. Я
буду в отеле Дрискил (Driskill Hotel) через неделю. Мне нужна временная учетная запись,
чтобы я мог получать электронную почту, не делая междугородных звонков».
«Повторите имя и сообщите мне свой номер», – сказал системный администратор.
Лже-Джонс дал ему номер и продолжил: «У вас есть высокоскоростные номера?».
«Подожди, приятель. Я должен проверить тебя по базе данных». Через некоторое время
