只有自己学会伪装才能识破伪装者 — — 社交工程学攻防知识(下)

  • 很钦佩中国人的智慧,连一条鱼都可以三种吃法;那么一项技能也肯定有完全不同的多种用法,这就是我们提供知识的目的:请开动脑筋。继续上周的话题:更详细介绍关于伪装的方法

继续前文。如果您还没有读过,在这里看到《如何让自己变成另一个人? — — 社交工程学攻防知识(上)

2.5 伪装得越简单效果越好

越简单效果越好,这一点都不夸张。如果伪装有错综复杂的细节,以至于忘记了任何一个细节都会导致失败,那么就真的会失败了。保持故事情节、事实和细节的简单性。就能增强可信性。

人际欺骗领域最有名的心理学家和研究人士 Paul Ekman 博士曾经发表了一篇文章题为《失败的谎言》,其中写道:

很多时候你没有时间去准备,进行练习和记忆。就算事前有充分的预案,也有可能突然冒出一个不能预见的方向。你可能很聪明,但是也很难预见所有可能被问到的问题,于是很难预备所有答案。光有聪明的头脑是不行的。而且,即使不是为情势所迫改变方向,某些撒谎者也会由于记忆问题而想不起前面的描述,结果就不能快速解答新的问题。

这个重要的观点将为什么越简单越好,解释得非常清楚。如果伪装得很复杂,努力去记住所有内容几乎是不可能的,一个很小的错误就能毁掉你的全部。

你必须记住一切事实,并且不要过分追求细枝末节。一个简单的伪装允许故事发展,并且允许目标运用想象去填满那些空隙。切勿试图将伪装做得很精致,但必须牢记伪装中的关键细节

并且 — — 我们曾经提到过那个方法 — — 专业的罪犯和骗子们会使用一些伎俩,包括故意出错。这个想法是基于“人无完人”而建立的,一些小错误会让人感觉你更真实。如果运用这个策略,就必须留心你决定去犯的那些错误,虽然这确实能使对话更自然,但是也增加了伪装的复杂性。还是建议少用这一花招,如果有必要使用,要让它尽可能简单。

2.6 伪装必须显得自然

要想让伪装显得自然,就需要使用如前文中强调的大纲模式,而不是剧本模式。大纲模式下社交工程人员可以自由地发挥,使用太详细的剧本会让你变得很机械。

伪装中可以加入社交工程人员感兴趣的项目或故事。如果每次有人问一个问题或者做出一个论述,你都支支吾吾,需要深入的思考,而不能立即做出明智的回答,你的可信性就会大打折扣。

以下是一些可以让伪装更加自然的方法:

⭕️不要考虑自己的感受:这点很重要。因为通常在伪装时如果想太多就会融入更多的个人情绪,然后恐惧、不安或焦虑就会随之而来,这些都可能导致失败。另外你可能不会经历不安和焦虑,但有可能过度兴奋,这同样会导致你犯很多错误。

⭕️不要把事情太当真:当然,在生活中这就是一条好建议,而且非常适用于社交工程学。作为一名专业的安全人员,你有一份严肃的工作,这是一件严肃的事,但是如果不能笑对自己的错误,就可能会沉默不语,或者在处理后续的小事时如临大敌。我绝不是建议你视安全如儿戏,但是如果你将潜在的失败当作人生中的重大失败,那么产生的压力肯定会导致更坏的结果。只有正确地看待小的失误,才能获得更大的成功。

⭕️学会找到相关信息:即 摆脱思维的束缚,融入这个世界。这是一个非常棒的建议。社交工程人员可能全力计划好了前三个步骤,但是却遗忘了这个关键细节,就有可能会使伪装土崩瓦解。要始终留意身边出现的信息和状况,包括目标的肢体语言、说的话、微表情等,然后将其应用到自己的行动中。

同时,记住说话者能看出什么时候你没有在认真听他说话。这会让很多人感到不爽。每个人都经历过自己的话被别人当耳旁风,你能记得当时自己的感受。也许他们有各自的理由开小差,但这样做的确是非常扫兴的。

一定要注意听目标说的话,集中注意力,你会听到一些对他们很重要的细节,同时也能够获取有助于自身取得成功的信息。

⭕️争取多积累经验。如果您一直在关注 IYP 介绍的社交工程技巧,那么就一定记得其中一个最常出现的关键字就是:多多练习。通过实践去积累经验,要做到能成就伪装,也能识破伪装。抛开死缠烂打的方式,与他人展开简短的会话,可以使你在伪装的时候表现得更加自然。

这些方法绝对能使社交工程人员在伪装中占据优势地位,具备自然的伪装能力可能是一种天赋,但是练习和充分的准备完全可以让没有天赋的人也能做到最好。

2.7 为目标提供逻辑结论或下一个安排

不论你是否相信,事实上,人们都希望被告知下一步该做什么。想象一下,你去看病,医生给你做了检查,并且在纸上记录了一些东西,然后告诉你:“好了,下个月见”。这是让人无法接受的。就算是听到坏消息,人们也希望被告知下一步该做什么。

作为社交工程人员,你要离开目标时,可能需要他采取或不采取行动,或者你已经得到了想要的,只需要离开即可。不论是怎样,这个时候都不能立即离开,你应该给目标一个清晰的结论,否则很可能会令目标怀疑你的目的。

就像医生做完检查却不给你指示,直接打发你回家那样,如果你是社交工程人员,伪装成技术人员进入一栋大楼,在复制好自己想要的文件后一句话不说就走了,肯定会让人怀疑你。甚至有人会立即给你伪装的技术公司打电话,询问究竟是怎么回事,你就露馅了。你必须做一些总结,哪怕很简单也行,要像专业人士那样阐述:“我已经检查了服务器,并修复了文件系统,你们会发现系统在未来几天里运行速度提高22%”,目标就会感觉“花钱值得”。

还要注意的是,你选择的伪装身份必须和你提出的所有请求相一致。如果你伪装成技术人员,就不应该命令周围人做或者不做什么,因为你在为他们服务;如果你伪装成UPS快递员,就不应该要求进入机房。

就如以前提到的,一次完美的伪装需要很多步骤。但对于希望进行完全可信的伪装的社交工程人员来说,这两篇文章中的内容已经足够您使用了。

成功案例

美国历史上最大的银行抢劫案 — — Stanley Mark Rifkin 亲手策划,没有花一分钱、没有使用任何武器、没有任何人质,他一个人轻松带走了1020万美元。

Stanley 是一名电脑极客,在他的小公寓里开了一家电脑咨询公司,他的一个客户是给美国证劵太平洋银行提供电脑服务的公司。坐落在洛杉矶的美国证券太平洋银行总部有55层,看上去就像一个花岗岩和玻璃组成的堡垒。身穿深色制服的保安人员在大厅里巡视,隐形的摄像头监视着所有来访者的一举一动。

这栋大楼看起来无懈可击。那么 Stanley 是如何轻松拿走了这么多钱的?

银行的电汇机制应该是最安全的,每笔电汇都必须输入密码,而且这个密码每天都会被强制修改,只有特定的人才能知道。密码被贴在安全房间的墙壁上,而且只有特定人员才可以进入这个房间。以下是公开资料的描述:

“Stanley 来到美国证券太平洋银行,那里的人理所当然地认为他是计算机工作人员。他乘坐电梯来到电汇室所在的D层,伪装成友好而且和蔼可亲的年轻人,他竟然进入了贴着密码的那个房间……他记住了密码,然后在没人怀疑的情况下离开了。然后电汇室的员工接到了麦克汉森的电话,他自称是该银行国际分部的员工,他正确地给出了当天的密码,要求为纽约欧文信托公司资金账户进行转账。整个过程没有任何怀疑。但事实上,那个麦克汉森就是 Stanley。他取走了1020万美元。”

但这显然是太粗略的描述,完全无法体现其中社交工程学的要点。让我们梳理一下:

  • 为了能够在密码房间里不引起怀疑,他需要足够的自信和镇定;
  • 提出汇款要求,他需要一个足够令人信服的故事,而且需要考虑足够多的细节来自圆其说;
  • 面对可能出现的问题,他必须表现得足够自然;
  • 为了不引起银行员工的怀疑,他的所有表达都需要足够熟练和流利……

这些伪装必须经过细致的安排,要考虑到每一个极其微小的细节。直到遇见了一个前同事,Stanley 才被揭穿。Stanley 被抓的时候,认识他的人都非常震惊,甚至有人强调:“他不可能是小偷!人人都喜欢Mark!”

我绝不是在鼓励抢银行!而是在分析伪装。

很显然,他的伪装是非常到位的。他的计划经过了深思熟虑,安排周详,排练娴熟。他知道自己的目标是什么,每一步都做得非常完美。如果不是很早以前熟悉 Stanley 的人看了新闻后把他认了出来,他是不可能被发现的。

Stanley 的计划是把偷出来的钱变成不可追溯的钻石。为了实现这一目标,他首先需要变身一名银行雇员以拿到钱,然后变身一名钻石收购商将这些现金“洗掉”,最后把钻石卖掉,获得可以使用的、无迹可寻的、干净的现金。

他的伪装不涉及装备和说话方式的变化,却需要依次扮演银行工作人员、钻石采购商和销售商。这其中需要完成3到4次、甚至5次身份转化,他做得非常完美,几乎骗了所有人。

他的行为是不可饶恕的。但是在社交工程领域,他真的是个天才。如果他的能力用在正义的目标上,一定能非常有价值。

小结

伪装通常是专业身份窃贼开始入手的第一步。鉴于身份盗用最近几几年来已经越来越频繁地出现,你真的有必要知道它的原理,以便做到精准有效地识别。

民主派人士队伍中经常出现抓特务的游戏,因为人们意识到当局派来的卧底会潜伏在自己的队伍中。这种警惕性是必要的,但是,如果你使用了不专业不靠谱的鉴别方式,其结果不仅是无法发觉真正的的卧底,更会严重损伤团队内部的互信。得不偿失。当局毫不忌讳宣传他们的群众斗群众策略,就是希望为异议群体制造混乱和恐慌,如果你不能精准识别并引发了内部失信,那就彻底中计了。

尤其是在互联网上的卧底,也许会感觉很难识别,但是这种手段却非常常用,就如前文所介绍的,美国警方假冒活动家潜入社运组织内部钓鱼,事实上匿名者组织也被这样渗透过。但是我们不能因此放弃利用互联网的动员和联合,否则将是因噎废食。

对于中国的反渗透工作来说,鉴别应该不是很难,但是肯定需要时间和精力。此处不方便太多说明,原因很简单,当局也在关注着这些公开发表的内容,一旦写明,其方法立刻就会失效,因为对手会迅速调整策略,以防止自己被发现。于是,如果您对此感兴趣,请努力研究,根据我们提供的社交工程基本知识,结合您的经验,完全可以总结出一套自己的鉴别方法。

就如本系列文章最初强调的那样,伪装的知识并非只提供给防御,它也可以用来作为技巧去追求正义的目标。反抗需要很多技巧,从在线到线下,从数字技术到心理学和社会学,掌握得越多您的行动就会越顺利和安全。最后,还是那句话:重在练习。⚫️

广告

发表评论

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据