Антон Кравченко – Где нас обманывают? (страница 7)

Кейсы

- Кейс: мошенник узнал имя бухгалтера из сайта и использовал его в письме. Разбор: открытая информация стала элементом доверия.

- Кейс: сотрудник подтвердил отпуск руководителя. Разбор: это помогло сценарию срочного платежа.

Упражнения

- Проведите аудит открытых сведений о себе или компании.

- Составьте список информации, которую нельзя подтверждать неизвестным людям.

Контрольные вопросы

- Почему “безобидная” информация может быть опасной?

- Чем подтверждение отличается от раскрытия?

Вывод

Выуживание редко выглядит как атака. Его защита — не подозрительность ко всем, а правило минимального раскрытия и официального канала.

Глава 7. Перенаправление на целевое действие

Определение

Перенаправление на целевое действие — это момент, когда весь сценарий сводится к конкретному шагу: сообщить код, перейти по ссылке, открыть файл, оплатить, изменить реквизиты, установить приложение, подтвердить вход или передать доступ.

История и контекст применения

В старых схемах целевым действием были наличные, подпись, передача документа или устное согласие. В цифровой среде оно часто принимает форму клика, ввода кода, разрешения доступа, установки приложения или подтверждения операции.

Психологический механизм

Человек может спорить о легенде, но пропустить момент действия. Манипуляция становится опасной именно тогда, когда обсуждение превращается в выполнение.

Нейробиологическая основа

При длительном напряжении простая инструкция даёт ощущение выхода. Чем дольше человек удерживался в сценарии, тем привлекательнее становится “сделайте один шаг, и всё закончится”.

Где применяется

- коды подтверждения и OTP

- ссылки на формы

- вложения и архивы

- удалённый доступ

- платежи и переводы

- изменение реквизитов

- подписание документов

Почему работает

Работает потому, что целевое действие часто выглядит маленьким: один код, одна ссылка, одна галочка, одна доплата. Но именно этот шаг может открыть доступ или создать необратимые последствия.

Пошаговая схема безопасного распознавания

Спросить: “Что конкретно от меня хотят сделать?”

Классифицировать действие: деньги, доступ, данные, подпись, файл, публикация.

Оценить обратимость.

Проверить источник и необходимость действия.

Отделить проблему от предложенного способа решения.

При красном уровне риска не выполнять действие вообще.

Возвращаться только к штатному процессу.

Признаки применения

- после длинного объяснения появляется простая инструкция

- шаг подаётся как формальность

- действие выполняется в нестандартном канале

- последствия объяснены размыто

Красные флаги

- “просто назовите код”

- “просто откройте файл”

- “просто подтвердите вход”

- “просто оплатите 1 рубль”

- “просто установите приложение”

Защита

- коды и пароли не передаются никому

- ссылки открываются только из официального приложения или сайта

- вложения проверяются через источник и безопасность

- доступы выдаются только по регламенту

- платежи и реквизиты проверяются через callback и второе лицо

Ограничения метода

Некоторые целевые действия легитимны. Поэтому задача не в запрете всех действий, а в том, чтобы каждое необратимое действие прошло проверку источника, канала и основания.

Практические примеры

Пример 1. “Для отмены перевода назовите код”. На самом деле код может подтверждать вход или перевод.

Пример 2. “Откройте счёт во вложении”. Вложение может быть техническим входом в компрометацию устройства.

Кейсы

- Кейс: человек ввёл код на сайте, похожем на банк. Разбор: целевое действие было замаскировано под проверку.

- Кейс: сотрудник изменил реквизиты поставщика по письму. Разбор: действие требовало второго подтверждения.

Упражнения

- Составьте список действий, которые вы никогда не делаете из входящего сообщения.