Лекция 10. Социальная инженерия: от звонка «из банка» до романтических афер

Десятая лекция курса — самая прикладная: она измеряется в сохранённых деньгах. Социальная инженерия — это взлом человека вместо взлома системы: зачем месяцами подбирать пароль, если можно позвонить и человек сам всё переведёт? Сегодня разберём главные сценарии — телефонный, почтовый, романтический — по тактам, как партитуру. Вы увидите: все они собраны из деталей нашего курса. А в конце соберём семейный протокол — ради него одного стоило доходить до десятой лекции.

1. Взлом человека

В любой защищённой системе есть элемент, который нельзя обновить патчем, — человек. Социальные инженеры говорят об этом прямо: проще попросить пароль, чем взломать его. «Попросить» здесь означает — создать состояние, в котором человек отдаст сам: испуг, доверие к авторитету, спешку, влюблённость. Заметьте смену масштаба: культ из прошлой лекции строит тотальную среду месяцами; социальный инженер собирает одноразовую микросреду на двадцать минут звонка. Детали те же — рычаги пятой лекции, кнопки второй, изоляция четвёртой, — только спрессованные в скрипт, по которому работает колл-центр.

2. Звонок «из банка»: пять тактов

Разберём партитуру со схемы. Такт первый — испуг: «по вашей карте подозрительная операция, идёт вывод средств» — туннель открыт, дальше человек соображает на треть. Такт второй — авторитет: «служба безопасности», фамилия-должность, банковские термины, фоновый шум колл-центра; иногда СМС с «официального» номера — подмена номера технически проста. Такт третий — срочность: «каждая минута — минус деньги», думать некогда. Такт четвёртый — изоляция: «никому не сообщайте, идёт следствие, возможна утечка среди сотрудников» — гениальный ход: он отрезает вас от всех, кто мог бы отрезвить, и заранее объясняет, почему настоящий банк потом скажет «мы не звонили». Такт пятый — «безопасный счёт»: спасите деньги переводом. Занавес. Теперь главное, что нужно унести: антидот один и работает на любом такте — положить трубку и перезвонить самому по номеру с обратной стороны карты. Не по номеру из СМС, не «нажмите ноль» — набрать самому. Мошенник этот ход не переживает никогда.

3. Развитие сюжета

Сценаристы не стоят на месте, но такты те же. Вторая серия: после «банка» звонит «следователь» или «сотрудник госбезопасности» — авторитет повышен, добавлена вина («ваши данные использованы преступниками, вы теперь участник дела») и подписка о неразглашении — изоляция, оформленная «официально». Дальше возможны недели обработки: человек «помогает следствию», берёт кредиты («мы проверяем сотрудников банка»), передаёт наличные курьерам. Звучит невероятно — пока не вспомнить конвейер из прошлой лекции: лестница обязательств работает и здесь — каждый следующий шаг чуть больше предыдущего, а признать абсурд — значит обесценить всё уже сделанное. Запомните маркер этой стадии: требование тайны от близких — всегда флаг. У настоящих банков и настоящего следствия нет процедуры «никому не говорите и переведите деньги».

4. Фишинг: крючки в почте и мессенджерах

Фишинг — та же инженерия буквами: письмо или сообщение, маскирующееся под знакомый сервис, и ссылка на сайт-двойник, где вы сами вводите пароль или данные карты. Крючки стандартные: страх («аккаунт будет заблокирован»), жадность («вам выигрыш/возврат/наследство»), любопытство («вам фото, посмотрите»), срочность — всё из пятой лекции. Признаки: давление на эмоцию плюс ссылка/вложение; адрес отправителя с подменой букв; обращение «уважаемый клиент» вместо имени; и главный — несовпадение домена в адресной строке сайта-двойника. Протокол тот же, что с звонком, только буквами: не ходить по ссылке из письма — открыть сервис самому, руками, через закладку или приложение. Если «проблема» существует, вы увидите её в личном кабинете. Спойлер: почти никогда.

5. Романтические аферы: длинная игра

Самый жестокий жанр — потому что крадёт не только деньги. Знакомство на сайте или в соцсети; собеседник внимателен, свободен, слегка нездешен — военный врач в командировке, инженер-вдовец на буровой. Недели бомбардировки любовью — доброе утро, спокойной ночи, планы на встречу и совместную жизнь. Затем первый маленький кризис с деньгами — таможня, билет, лечение; сумма посильная, отказать неловко (вложенность! вы уже «пара»). Дальше — лестница: кризисы крупнее, легенды изощрённее, а встреча всё откладывается. Механика прозрачна по курсу: симпатия и единство, лестница обязательств, изоляция («только ты меня понимаешь») и стыд, мешающий рассказать друзьям. Маркеры: не может встретиться и созвониться видео месяцами; идеальная подстройка под вас; и деньги, впервые возникшие в романтическом сюжете, — что бы ни было легендой. Проверка обратным поиском фото занимает минуту и разрушает большинство легенд.

6. Атаки на родителей и дипфейк-голоса

Отдельно — о наших родителях: на них нацелены сценарии «мама, я попал в аварию, нужны деньги срочно, телефон не мой». Классика работала голосом «плачущего сына» в плохой связи; теперь хуже — голос подделывается нейросетью по образцам из соцсетей, и «сын» звонит своим голосом. Единственная надёжная защита от дипфейка — внеполосная проверка: перезвонить сыну на его номер; и кодовое слово семьи — заранее условленное, известное только своим, о котором «попавший в беду» должен уметь ответить. Договоритесь о нём сегодня — это две минуты. И помните про стыд: многие пожилые люди теряют больше всего потому, что стесняются «побеспокоить» детей проверочным звонком или признаться, что уже перевели. Проговорите прямо: попасться — не стыдно, это индустрия против одного человека; стыдно только молчать.

7. Семейный протокол

Соберём всё в протокол — примите его семьёй, пока спокойны, как учит пятая лекция. Правило одного звонка: любой входящий разговор о деньгах, картах, «безопасности» и бедах близких завершается фразой «я перезвоню сам» — и звонком по номеру, найденному самостоятельно. Три «никогда» банка — на холодильник родителям: не просит коды из СМС, не переводит на «безопасные счета», не запрещает рассказывать близким. Кодовое слово — против дипфейков и «попал в беду». Правило тайны наоборот: требование «никому не говорите» означает «немедленно расскажи всем». Сервисы — руками: по ссылкам из писем не ходим, открываем сами. И амнистия заранее: в нашей семье попавшийся получает помощь, а не «я же говорил». Этот последний пункт возвращает больше денег, чем все остальные: жертвы, которым стыдно, платят мошенникам дольше всех.

Итоги лекции

• Социальная инженерия взламывает состояние, а не знания: испуг + авторитет + срочность + изоляция = туннель, в котором человек сам отдаёт деньги.
• Пять тактов звонка «из банка» разбиваются одним ходом на любом такте: положить трубку, перезвонить самому по номеру с карты.
• «Безопасного счёта» не существует. Перевод «для защиты денег» — стопроцентный маркер мошенника, без исключений.
• Фишинг лечится правилом «сервисы — руками»: не по ссылке из письма, а самому через приложение.
• Романтические аферы — бомбардировка любовью плюс лестница просьб; маркеры: месяцы без видео и встреч, деньги в сюжете. Обратный поиск фото — минута.
• Дипфейк-голоса побеждаются внеполосной проверкой и кодовым словом семьи. Договоритесь о нём сегодня.
• Семейный протокол: правило одного звонка, три «никогда», тайна наоборот, амнистия заранее. Стыд жертвы — главный союзник мошенника.

Вопросы для самопроверки

1. Разложите звонок «службы безопасности» по пяти тактам. Какой рычаг из пятой лекции работает на каждом?
2. Почему «никому не говорите» — гениальный (и саморазоблачающий) ход сценария? Что он отключает?
3. Объясните близкому, почему «безопасного счёта» не существует, — одной фразой, без терминов.
4. Какие два маркера романтической аферы самые надёжные? Почему обратный поиск фото так эффективен?
5. Составьте семейный протокол из пяти пунктов лекции — с конкретным кодовым словом и списком, кому его сообщить.

Литература к лекции

• Митник К. «Искусство обмана» — классика социальной инженерии от самого известного её практика.
• Чалдини Р. «Психология влияния» — теперь вы видите, как каждый принцип живёт в скриптах колл-центров.
• Актуальные памятки Банка России о схемах мошенничества — короткие и обновляемые.

Остались две лекции. В следующей — созидательная часть курса: техника распознавания давления и постановки границ — как говорить «нет», сохраняя отношения и самоуважение.