Пользователь, которому предлагают починить программу после передачи кода, может воспринять это условие как техническую формальность. Проблема мешает работе, а собеседник выглядит компетентным и уже объясняет порядок ремонта, поэтому смысл запрошенной операции легко упустить.
В социальной инженерии кви про кво, quid pro quo, означает обещание услуги или выгоды за действие, нужное атакующему. Посмотрим, как оценивать такое предложение, пока обещанный ремонт не закончился чужим доступом.
Что означает услуга за услугу
Латинское выражение передаёт идею встречного обмена. В обычной жизни обмен сам по себе ничего плохого не означает. Для атаки нужен обман, при котором привлекательная польза помогает получить сведения, права или другое опасное действие.
В справочнике Security Vision среди примеров названы помощь, услуга и подарок в обмен на конфиденциальную информацию или доступ. Условие обмена отличает эту технику от простого обращения с просьбой.
Иногда выражение путают со словом «квипрокво», обозначающим путаницу, когда одно принимают за другое. В нашем случае речь о quid pro quo в контексте атаки.
Канал не определяет технику. Обещание можно произнести по телефону, отправить в чате или разместить на странице. Проверять всё равно придётся то, что от Вас требуют взамен.
Что скрывается за маленьким условием
У предложения есть привлекательный результат. Убрать ошибку, вернуть доступ, бесплатно настроить программу. Затем появляется действие, без которого результат якобы невозможен.
Запрошенное действие нужно рассмотреть отдельно от обещанной услуги и выяснить, какую операцию подтверждает код, кто получит управление устройством и какие файлы будут доступны программе. После выполнения просьбы эти права могут остаться у постороннего.
Если необходимость объясняет только неизвестный помощник, проверка ещё не состоялась. Потраченное им время и вежливый разговор не добавляют ему полномочий.
Помощь с рабочим сервисом
Возьмём учебную ситуацию. Приложение не работает, и собеседник предлагает быстро восстановить доступ. Для этого просит одноразовый код из аккаунта.
Обещание относится к ремонту, а код может относиться к входу. Если он позволяет войти постороннему, последствия определяются операцией в сервисе. Слова помощника о том, зачем ему понадобился код, сервис проверить не может.
Выход из разговора здесь вполне нормален. Можно обратиться в настоящую поддержку, подтвердить заявку и выяснить допустимый порядок помощи. Если исправление якобы возможно только через передачу секрета неизвестному человеку, спешить с ним не нужно.
Бесплатная программа с лишними правами
Другой вымышленный пример начинается с полезного инструмента или бесплатной настройки. Для получения услуги предлагают установить программу и разрешить доступ к файлам либо управлению компьютером.
Пользователь смотрит на будущий результат, а разрешение воспринимает как промежуточный шаг. Но для компьютера это как раз существенное изменение. У программы появляются права, которые могут сохраниться и после разговора.
Известное название средства удалённой помощи не решает вопрос с оператором. Настоящим инструментом способен воспользоваться посторонний. Поэтому происхождение программы, объём прав и личность исполнителя проверяют до установки и подключения.
С чем легко спутать кви про кво
| Понятие | Что находится в центре | Как проверить |
|---|---|---|
| Кви про кво | Услуга за действие | Разобраться с тем, что получит помощник |
| Байтинг | Привлекательная приманка | Проверить источник файла, предмета или предложения |
| Претекстинг | Вымышленная роль и повод | Подтвердить полномочия и обстоятельства |
| Обратная СИ | Обращение пользователя к ложному помощнику | Установить происхождение контакта |
Техники могут сочетаться, если ложный специалист обещает ремонт за доступ и заранее размещает контакт там, где пользователь ищет решение. В одном разговоре тогда присутствуют претекстинг, кви про кво и обратная схема.
Чтобы остановить передачу кода, необязательно сначала выбрать единственное название. Достаточно увидеть неподтверждённое условие и понять его последствия.
Почему неудобно отказаться
Когда собеседник уже потратил время и подробно объяснил проблему, прекращать разговор бывает неудобно, особенно если неисправность действительно мешает работе. Это чувство не подтверждает полномочия помощника, но может помешать сделать паузу для проверки.
Однако возникшее чувство обязательства никак не связано с правом собеседника на аккаунт. Разговор можно прекратить, а задачу передать через проверенный канал. Настоящая поддержка для этого и должна быть доступна.
В компании стоит проверить, насколько легко её найти. Если сотрудник полчаса ищет контакт и получает ответ «создайте заявку из неработающего аккаунта», бесплатный помощник в поиске быстро становится привлекательнее.
Объяснять этот риск универсальной психологической кнопкой не нужно. Люди и обстоятельства различаются. Для защиты важнее понятный маршрут помощи и ограничения на существенные действия.
Четыре вопроса перед обменом
- Подтверждено ли, кто предлагает услугу?
- Предусмотрено ли это действие обычной процедурой?
- Какие сведения и права достанутся собеседнику?
- Можно ли проверить необходимость через известный независимый канал?
Наличие настоящей компании с таким названием отвечает только на часть первого вопроса. Мошенник тоже может её назвать. Установить нужно участие конкретного специалиста в конкретном обращении.
Смысл условия полезно проговорить без названия услуги. «Я разрешаю неизвестному человеку работать в своей сессии». После такой формулировки обещание быстрого ремонта уже не заслоняет последствия.
Если данные или доступ уже переданы
Обратитесь в известную поддержку и сообщите, что именно произошло. Пароль, одноразовый код, доступ к файлам и удалённое управление требуют разных проверок. Назовите программу, время и действия собеседника, сохраните переписку.
Одной смены пароля может быть мало, если осталась сессия или добавлен новый способ входа. Эти детали разбирают отдельно. Общий порядок есть в памятке по защите.
Другие стороны той же схемы рассмотрены в материалах о претекстинге и обращении к ложной поддержке.