Призрак в Сети. Мемуары величайшего хакера

Прежде чем заняться социальной инженерией, про цель нужно все разузнать. Собрать данные о компании, о том, как работает конкретный отдел или служебное подразделение, каковы его задачи, к какой информации имеют доступ сотрудники отдела, узнать стандартную процедуру подачи запросов, от кого они сами обычно получают запросы, при каких условиях оператор выдает желаемую информацию, а также изучить сленг и терминологию компании.

Пока другие ребята относили телевизоры для починки в ремонтные мастерские, я шёл по стопам Стива Джобса и Стива Возняка и стал сам делать синюю коробку, помогающую мне манипулировать телефонной сетью и даже бесплатно звонить.

Методы социальной инженерии работают просто потому, что люди склонны доверять авторитетам и должностям, например уполномоченному сотруднику компании. Тут и применяем на практике все, что разузнали. Когда я был готов узнавать секретные номера, то набрал номер одного из представителей телефонной компании и сказал: «Здравствуйте, это Джейк Робертс из отдела конфиденциальной информации.

Когда старший оператор подошел к телефону, я снова представился и спросил: «Вы получали уведомление о том, что мы собираемся изменить наш телефонный номер?»

Женщина отошла ненадолго, проверила, потом снова взяла трубку и ответила:

– Нет, не получали.

Тут я говорю:

– Наш актуальный номер 213 687-9962.

Она отвечает:

– А мы звоним на 213 320-0055.

Бинго!

– Хорошо, – говорю я. – Мы пошлем уведомление об изменении на второй уровень (так в этой компании именуют менеджера среднего звена).

Однако, когда я позвонил в отдел конфиденциальной информации, оказалось, что мое имя должно быть в списке сотрудников с разрешенным допуском и сопровождаться внутренним корпоративным номером. В противном случае оператор не может сообщить мне никакой информации об абонентах. Новичок или некомпетентный социальный инженер могли бы сразу сбросить вызов, а это вызвало бы подозрения.

Я начал импровизировать: «Странно, менеджер сказал, что добавил меня в список. Нужно ему сообщить, что вы не получили уведомление об этом».

Тут еще одна проблема: я каким-то образом должен предоставить любой внутренний телефонный номер компании, куда мне якобы можно позвонить!

Пришлось обзвонить три бизнес-отдела, прежде чем я нашел менеджера среднего звена, притом мужчину, чтобы я мог выдать себя за него.