Кристофер Хэднеги - Искусство обмана [Социальная инженерия в мошеннических схемах]

Эти принципы настолько эффективны, что у вас наверняка возникнет желание применять их и в повседневной жизни. Будет большой соблазн превратить других людей в инструменты достижения собственных целей. Что же, в этом случае придется применить на практике управление ожиданиями и контролировать свое желание использовать эти принципы за пределами пентестов и «отключать» эти навыки в повседневном общении.

В ходе «Операции „Нефть“» мне часто приходилось умерять свой пыл. Например, надо было ждать больше двух недель, пока OilHater заметит меня и ответит на одном из форумов. Кроме того, он часто пропадал и мне приходилось ставить себя на место «Пола»: как бы он отреагировал на это. И каждый раз я не знал — пропал ли OilHater насовсем или только на несколько дней. Но управление ожиданиями и терпение позволили мне добиться своего.

Когда мы с учениками обсуждаем тему установления раппорта, меня часто спрашивают: как отработать необходимые навыки еще до становления профессиональным социальным инженером (ну, например, в процессе профессиональной подготовки)? Чтобы на реальном задании все, как говорится, от зубов отскакивало. В этом разделе я собрал советы, которые пригодятся для отработки и оттачивания практического применения этих 10 принципов.

Не нужно ждать начала рабочего дня, чтобы потренироваться. Выберите один из принципов (например, валидацию) и попробуйте попрактиковать его на ближайшем семейном мероприятии. Понаблюдайте за двоюродной сестрой, с которой давно не виделись, а потом скажите в ее адрес искренний комплимент. Задайте ей личный вопрос и внимательно выслушайте ответ. Обратите внимание на то, насколько охотно она будет говорить.

На следующей встрече выберите другой принцип (например, использование невербальных сигналов) и обратите внимание на то, как меняется реакция людей в зависимости от перемены вашей позы в ходе разговора. Со временем вы наработаете собственный набор инструментов и поймете, что эффективно и не эффективно лично для вас. Вскоре вы научитесь использовать принципы автоматически.

Читайте книги о раппорте (например, Робина Дрейке). Подробный список можно найти на https://www.social-engineer.org/resources/seorg-book-list/. Изучение этих принципов в теории позволяет закрепить знания, чтобы их было проще применить на практике.

Когда ситуация развивается не по плану и общение не ладится, не пытайтесь спрятаться от неудачного опыта и поскорее его забыть. Гораздо полезнее поступить наоборот: разложить произошедшее по полочкам и постараться определить причины провала.

Лично мне на неудачах учиться проще, чем на успехах. Да и успехи приобретают большее значение благодаря неудачам. Привычка анализировать неудачи и извлекать из них уроки помогает мне быть лучшим учителем и эффективнее справляться с профессиональными задачами в роли специалиста по проверке безопасности.

В этой главе мы разобрали, что такое раппорт, как его устанавливать и использовать в своих интересах. Связанные с этим процессом навыки помогают повысить эффективность общения, они очень важны для тех, кто собирается стать социальным инженером.

Не важно, какие средства вы планируете использовать в работе (фишинг, вишинг, СМС или личное взаимодействие), эти навыки помогут добиться максимальных результатов. И хочу подчеркнуть еще раз: учиться расставаться с людьми, не разрушая раппорт, так же важно, как и учиться его устанавливать.

Я часто замечал, что в процессе обучения вышеописанным принципам расставание с объектом дается сложнее всего. Главная причина — в том, что интуитивно это кажется чем-то плохим. Человек только что рассказал вам историю своей жизни, дал массу информации по делу и еще больше — не по делу, а вы в ответ просто поворачиваетесь и уходите?

Конечно, нет. Расставаться нужно красиво. Следуя всем 10 принципам, сделать это несложно. Сейчас я приведу несколько примеров.

Вот первая ситуация. Можно искусственно ограничить время взаимодействия. Я могу посмотреть на часы и сказать: «О боже, как быстро время пролетело! С вами было так интересно беседовать, что я совсем перестал смотреть на часы [ валидация ]. Очень жаль, но мне пора бежать [ усмирение эго ]».

Если для установления раппорта вы выбрали взаимовыгодный обмен и валидацию, можете сказать: «Только подумайте! Меня так увлек разговор с вами [ еще больше валидации ], что я совсем забыл: жена/муж просил(а) меня купить салат по дороге домой. Лучше мне поторопиться [ снова равнозначный обмен: объект сообщил вам личную информацию, и вы „поделились“ с ним рассказом о супруге и ваших планах на ужин ]!»

Обычно я заранее продумываю несколько стратегий выхода из общения с учетом конкретной легенды. Так проще найти валидирующие и добрые формы поведения, которые позволят расстаться с человеком, не разрушая раппорт.

Используя техники установления раппорта в закрытой среде (например, в самолете, поезде или общественном транспорте), нужно отдавать себе отчет в том, что возможности прекратить общение и уйти у вас будут ограниченны. Например, при использовании этих принципов во время перелета я рекомендую сразу ориентировать собеседника на временнóе ограничение. Например: «Я собирался немного поспать, потому что мне придется поработать на свежую голову сразу после приземления. Но сначала я хотел поинтересоваться: откуда вы?» Я тем самым сообщал человеку, что не настроен на длительное взаимодействие. Впрочем, слишком часто такой заход не давал желаемого эффекта и я ввязывался в трехчасовое (а однажды, не поверите, девятичасовое!) общение. Какое там поспать! Поэтому теперь я просто надеваю наушники и стараюсь не встречаться глазами с теми, с кем не хочу говорить.

Раппорт — это связь между вами и другими людьми. Выстраивая ее, вы каждый раз выбираете, каким образом себя вести, чтобы собеседник почувствовал себя лучше или хуже после общения с вами. И каждый раз в результате вы сталкиваетесь с возможностью повлиять на человека, с которым говорите, и даже как-то им манипулировать. Об этом мы и поговорим в следующей главе.

В этой главе мы будем говорить как о влиянии, так и о манипуляции, но сначала я хочу сосредоточиться именно на влиянии. Что это вообще такое? Давайте определимся для начала.

Я трактую это понятие следующим образом: «Влияние позволяет заставить другого человека захотеть сделать то, что вам от него нужно». То есть у человека должна возникнуть мысль о том, что нужно совершить некое действие а оно впоследствии окажется вам на руку. Но ваш визави должен запомнить это действие так, словно он сам решил его сделать. Потому что собственные идеи кажутся нам самыми замечательными на свете и мы готовы вкладывать в их реализацию массу сил.