Кристофер Хэднеги
Искусство обмана: Социальная инженерия в мошеннических схемах
Всем, что случилось в моей жизни социального инженера, отца, мужа, начальника, друга, я обязан своей прекрасной жене. Ариса, мою любовь к тебе не выразить словами.
Колин, сынок, я наблюдаю, как ты растешь и становишься молодым мужчиной, которого не проведешь. Когда мы вместе работаем, я понимаю, что это не зря. Я тебя люблю.
Амайя, свет моей жизни! Ты знаешь, как заставить меня улыбнуться даже в самый мрачный день, ты — радость моего сердца и моя любовь. Нет слов, чтобы выразить мою гордость за то, каким хорошим человеком ты становишься.
К русскому изданию
О чем эта книга, кратко можно сформулировать так: она об аналитической силе простых средств. Информация доступна, и с ее помощью можно сделать все что угодно. Доступность информации в сочетании с несложными манипулятивными приемами открывает любые двери.
В 1947 году, когда начиналась холодная война, основатель аналитической разведки Шерман Кент заявил, что в мирное время 80 % данных для политических решений можно добыть в открытых источниках [Allen W. Dulles. Memorandum Respecting Section 202 (Central Intelligence Agency) of the Bill to Provide for a National Defense Establishment, April 25, 1947, p. 525. // При цитировании работ и интервью использовались аббревиатуры и сокращения. Полные описания, названия и библиографические сведения приведены в разделе Библиография. Вот перечень наиболее часто упоминаемых в примечаниях учреждений. // AAA-SI — архивы американского искусства Смитсоновского института, Вашингтон, округ Колумбия, и Нью-Йорк; // Columbia — отдел редких книг и рукописей библиотеки Колумбийского университета, Нью-Йорк; // GRI — Исследовательский институт Гетти, Лос-Анджелес; HFF — фонд Хелен Франкенталер, Нью-Йорк; // JMF — фонд Джоан Митчелл, Нью-Йорк; // MOMA — архив Музея современного искусства, Нью-Йорк; // NYPL — собрание английской и американской литературы Генри и // Альберта Бергов в фондах Астора, Ленокса и Тилдена, Нью-Йоркская публичная библиотека; // NYU — библиотека Фалеса и специальные коллекции библиотеки Нью-Йоркского университета; // PKHSC — дом-музей и учебный центр Поллока — Краснер, Ист-Хэмптон, Нью-Йорк; // Princeton — подразделение рукописей отдела редких книг и специальных собраний библиотеки Принстонского университета, Принстон, Нью-Джерси; Syracuse — исследовательский центр специальных коллекций библиотеки Сиракузского университета, Нью-Йорк; // UConn — архивы и специальные собрания исследовательского центра Томаса Дж. Додда библиотеки Университета Коннектикута, Сторс, Коннектикут; // Yale — собрание американской литературы библиотеки редких книг и рукописей Бейнеке Йельского университета, Нью-Хейвен, Коннектикут.]. Уже выйдя на пенсию, бывший директор Разведуправления Министерства обороны США скорректировал эту оценку: 90 % открытых источников и лишь 10 % — агентурных операций [Donna O’Harren, “Opportunity Knocking: Open Source Intelligence For the War on Terrorism,” Thesis, Naval Postgraduate School, December 2006, p. 9.]. Раньше пользовались газетами, журналами, ведомственными брошюрами, проспектами с выставок и телефонными справочниками. Сейчас все стало еще легче: к перечисленному добавились корпоративные сайты и социальные сети; смартфоны сопровождают фотографии геотегами, а для сбора данных о контактах любого человека достаточно просмотреть список его друзей.
Открытые источники дают огромную власть и одновременно делают вас крайне уязвимым. Информации из открытых источников достаточно, чтобы узнать об активном человеке почти все. Как? Однажды я потерял контакт с коллегой, с которым долго сотрудничал. Он удалил свою почту, профиль в Facebook и даже счет на PayPal. Но, когда потребовалось, я нашел его… по списку любимых книг. Можно сменить фамилию, переехать в другую страну и устроиться в международную организацию, но нельзя отказать себе в удовольствии отметиться под книгой, над которой работал. Сочетание русских и английских книг выдавало переводчика, а потом обнаружилось подтверждение — комментарий, в котором проскользнуло настоящее имя владельца аккаунта. Мы снова сотрудничаем, но мой коллега заволновался: только ли я смог проследить его связи со старой жизнью? Информация под руками, и все вполне законно — нужно лишь комбинировать данные.
В другом случае открытые данные пришлось сочетать с импровизацией. Моего приятеля, пожилого уже человека, обманули при покупке в интернете. Он перевел деньги по номеру телефона, после чего продавец попросту перестал отвечать на звонки. Мы перевели один рубль по тому же телефону, и через интерфейс онлайн-банка узнали его имя, отчество и первую букву фамилии. Затем я позвонил на тот же телефон через Skype:
— Иван Иванович, здравствуйте. Вас выбрали присяжным на процесс по делу о коррупции. Вы сможете явиться в Тверской городской суд послезавтра? Повестку мы пришлем.
— Но я живу в Туле.
— Вы ведь Иванов?
— Нет, я Петров.
— Простите, вечно у нас всё путают.
Мы нашли «Петрова» в соцсети, со всеми родственниками. Приятель по-стариковски обратился к его отцу. Тот оказался человеком понимающим, извинился, а через 15 минут извинялся сам незадачливый обманщик. Да, мы имели дело с неопытным мелким мошенником, который не умел прятаться, но, во-первых, большинство из нас и не думает скрывать информацию о себе, а во-вторых, нельзя не пожалеть воришку — он показался мне таким беззащитным и в общем неплохим человеком.
Ну а вот дело посерьезнее. Работая с бухгалтерскими системами десять лет назад, мы не спрашивали пароли у владельцев рабочих мест: они были одинаковыми. Сегодня изощренные программы заставляют менять пароли и требуют фраз потруднее. Их трудно запомнить, но творческие бухгалтеры находят выход — они записывают пароли на обратной стороне клавиатуры. Злоумышленнику ничего не стоило проникнуть в нужный офис, устроившись на работу в клининговую компанию. Минимальная зарплата, текучка, уборщики меняются чуть ли не каждый день, да и кто замечает столь незначительного человека? А уж сфотографировать с экрана компьютера список крупных дебиторов — дело нескольких секунд. Простейшая разведка, дерзкая афера и банальная беспечность привели к невосполнимой потере рыночных позиций.
Читая «Искусство обмана», я переживал моральную коллизию. С одной стороны, автор учит использовать добро как слабость, тем самым обесценивая его. С другой — знание защищает. Описанные Кристофером Хэднеги методики сильны, но в то же время они и шаблонны. Как в фокусах иллюзиониста, их сила развеивается перед тем, кто знает секрет. Отрадно, что мошенники не умнее своих жертв, у них просто другие цели. Ввиду этого книга воспринимается совсем иначе. Она дает свободу совершать осознанные поступки, а не следовать манипуляциям, свободу ограничивать доступ к информации о себе, свободу частной жизни.
При редактирования перевода нам приходилось принимать решения о выборе слов для обозначения часто встречающихся терминов. В конечном счете он сводился к тому, предназначать ли книгу для узкого круга людей, тесно связанных с социальной инженерией, или делать ее понятной для всех. Мы выбрали второе. Надеемся на понимание читателей, для которых профессиональный жаргон стал родным — за «сбором данных из открытых источников» они узнают OSINT, за «легендой» — претекст и т. д.
...Денис Букин, психолог, психотерапевт, автор книги «Развитие памяти по методикам спецслужб»
Об авторе
КРИСТОФЕР ХЭДНЕГИ — генеральный директор компании Social-Engineer, LLC. Он ведущий разработчик и создатель первого систематизированного поискового интернет-ресурса, посвященного социальной инженерии, [Крупные конференции хакеров и специалистов по информационной безопасности. DEF CON проводится в Лас-Вегасе с 1993 года, DerbyCon — с 2011 года в Луисвилле. — Прим. науч. ред.] и разработчик популярной игры «Захват флага» [«Захват флага» (Capture the Flag) — командная игра, участники которой стремятся захватить «флаг» соперника. В разных вариантах игры «флагом» может быть что угодно: настоящий флаг, предмет или информация. В книге речь идет об игре для специалистов по информационной безопасности, в которой игроки либо выполняют задания по взлому защиты, либо охраняют свои серверы, атакуя при этом серверы противников. «Флагом» здесь становится информация, которую надо выкрасть у других и защитить у себя. Сайт игры в России: https://ctfnews.ru. — Прим. науч. ред.], предназначенной для социальных инженеров (Social Engineering Capture The Flag — SECTF). Кристофер — востребованный во всем мире спикер и тренер: он выступал на таких мероприятиях, как RSA, Black Hat, DEF CON, и даже получал приглашение проводить консультации в Пентагоне. В Twitter он пишет под ником @humanhacker.
О техническом консультанте
МИШЕЛЬ ФИНЧЕР — глава отдела информационной безопасности в химической компании. Уже больше 20 лет она занимается изучением человеческого поведения, а также является специалистом по информационной безопасности. Мишель специализируется на изучении психологических основ принятия решений, связанных с безопасностью, особенно в контексте социальной инженерии.
В роли тренера и спикера по различным техническим и поведенческим аспектам она выступала перед специалистами правоохранительных органов и разведки, а также в частном секторе, в том числе на таких мероприятиях, как Black Hat Briefings, RSA, SourceCon, SC Congress, Interop и Techno Security.
Мишель получила степень бакалавра в области проектирования с учетом человеческого фактора в Академии ВВС США, а также степень магистра в сфере консультирования в Обернском университете. Она является сертифицированным специалистом в сфере информационной безопасности (CISSP).
