Кристофер Хэднеги - Искусство обмана [Социальная инженерия в мошеннических схемах]

Она быстро отвела глаза, но потом сказала:

— Мне кажется, у нас все соблюдается как нужно. Но я не уверена. Не хотела бы кому-то создать неприятности.

— Понимаю, Бэт, ничего страшного. Спасибо за честность. Тогда начну проверку. Я еще вернусь к вам, когда закончу.

И я свободно пошел бродить по офису.

Открытые вопросы, как и следует из их названия, не предполагают какой-то конкретной формулировки ответа. Скорее они позволяют собеседнику ориентироваться на собственное мнение. На открытые вопросы обычно нельзя ответить просто «да» или «нет», и, значит, человек сам решает, какой объем информации раскрыть. Он ощущает одновременно свою власть в процессе разговора и валидацию с вашей стороны, что способствует установлению раппорта. Открытым можно считать, например, такой вопрос: «Какой ресторан в городе нравится вам больше всего?». А вот «Есть ли хороший ресторан рядом с этим отелем?» — вопрос закрытый. Оба вопроса могут быть уместны в конкретной ситуации, но первый дает возможность лучше изучить собеседника. Открытые вопросы вызывают определенные эмоции, и они звучат в ответе. Объект воздействия получит возможность продемонстрировать свои знания, отношения, убеждения, точку зрения, чувства.

Успех вашего взаимодействия во многом зависит от того, как вы, социальный инженер, будете использовать навыки активного слушания и куда станете направлять вопросы для получения полезной информации. Это важно понимать, чтобы уже на стадии легендирования определить типы вопросов, использование которых естественным образом впишется в общение. Помните, ваша цель — помочь объекту воздействия открыто заговорить про важные подробности, которые помогут вам достичь поставленной заказчиком цели с помощью социальной инженерии.

Девиз «Пусть просто продолжают говорить» для социального инженера не очень подходит. Ведь наша задача состоит не в том, чтобы разговорить собеседника, а в том, чтобы получить от него нужную информацию.

В ходе «Операции „Офисное пространство“» я неоднократно использовал открытые вопросы. Вспомните, например, мой вопрос про лифты. Алисия не только ответила на него, но и продолжила рассуждать о нововведениях в политике безопасности. Таким образом, использование открытых вопросов позволило мне не только получить заветный пропуск, но и собрать важнейшую информацию об охране здания.

Закрытые вопросы позволяют получить короткие и конкретные ответы, состоящие всего из нескольких слов. Опытные специалисты часто используют такие вопросы для подтверждения собранной ранее информации. Кроме того, закрытые формулировки идеально подходят для оценки невербальных сигналов собеседника. Ведь наше тело автоматически отвечает на закрытый вопрос еще до того, как мы успеваем произнести ответ. Причем обычно невербалика не врет, даже когда вслух мы говорим неправду: например, мы пожимаем плечами или отрицательно качаем головой, а на словах соглашаемся.

Я часто использую закрытые вопросы в общении с детьми. Например, я могу сказать: «Я просил тебя лечь спать в 11. Действительно ли ты выключил компьютер в 11 и лег в постель?». Если, отвечая: «Наверное, да. Я не смотрел на время», сын мотает головой, становится понятно, что произошло на самом деле.

Закрытые вопросы также помогают уточнять или подтверждать конкретные факты. Причем, прежде чем переходить к конкретике, имеет смысл сначала задавать более общие вопросы. В частности, для начала беседы подходят вопросы, начинающиеся со слов «кто», «что», «где», «почему» и «как».

В «Операции „Офисное пространство“» я использовал закрытый вопрос, когда спросил секретаршу Бэт, получила ли она уведомление об изменениях в политике безопасности. Она не только кивнула, но и подтвердила свое согласие словами. Однако, когда я задал аналогичный вопрос о том, есть ли, на ее взгляд, проблемы с соблюдением этой политики в их офисе, Бэт согласилась, но при этом пожала плечами. Несоответствие между словами и действиями указало мне на то, что в своем последнем ответе она не уверена. Увидев ее замешательство, я мысленно отметил для себя несколько важных моментов.

Мне отправили ссылку на страницу, где было размещено видео с подписью: «Только самые наблюдательные и умные зрители смогут точно сосчитать, сколько раз люди в белых футболках перекидывают мяч».

Я подумал: «Я же социальный инженер, а мы самые наблюдательные представители рода человеческого. Проще простого!» И кликнул на ссылку.

Я специально пялился в экран, не отворачиваясь и не моргая, — усердно считал каждую передачу мяча. Когда видео закончилось, мне предложили несколько вариантов ответа. Увидев правильный, я победно вскрикнул: «Ага!!!»

А затем закадровый голос произнес:

— Но кто из вас обратил внимание на мужчину в костюме гориллы, который пританцовывая прошелся через весь зал и вышел из кадра?

Я не поверил своим ушам: «Не было там никакой гориллы!» В конце концов, я социальный инженер, самый наблюдательный представитель рода человеческого. Не мог же я упустить что-то настолько очевидное!

Я снова запустил видео и, к своему изумлению, увидел высоченного мужчину в костюме гориллы, который пританцовывая прошелся с одной стороны кадра в другую, обернулся вокруг своей оси и исчез из зоны видимости.

Как я мог его не заметить?

На самом деле все предельно просто. Наводящий текст заставил меня сосредоточиться на строго определенном аспекте: я внимательно считал, сколько раз люди в белых футболках перекинут друг другу мяч. Все остальное мой мозг попросту игнорировал.

Так как же социальному инженеру использовать наводящие вопросы? В одной из описанных выше операций мне удалось заставить объект воздействия задуматься о том, что случится, если я не попаду в офис гендиректора. Я добился этого за счет комбинирования утверждения и наводящего вопроса: «Я прекрасно понимаю: меня не ждали, но как вы объясните начальнику, что мне не удалось решить проблему с его компьютером, когда он вернется из отпуска?»

Кроме того, я часто использую наводящие вопросы и ложную информацию еще на этапе проникновения в здание. У меня есть планшет со встроенной камерой. Отверстие у нее большое, размером с четвертак, да еще и с выступающей линзой, а рядом — отверстие поменьше для микрофона. Я постоянно беспокоюсь, что объект воздействия их заметит. Поэтому я закрепляю на планшете разные «деловые» бумаги и, обращаясь к объекту, постукиваю ручкой по какому-нибудь бланку со словами типа: «Видите? Я должен посмотреть серийный номер двигателя и проверить, не нужно ли его отозвать». Практика показывает, что камеру не замечает никто, потому что я направляю внимание собеседника в другую сторону.