Обычно мошенник сам ищет собеседника, когда звонит, пишет или пытается попасть в офис. При обратной социальной инженерии он заранее подготавливает контакт помощи, к которому пользователь обращается самостоятельно, столкнувшись с настоящей или вымышленной проблемой.
Поскольку человек сам выбрал, куда обратиться, у него может быть меньше сомнений в помощнике. Однако найденный номер или страницу мог разместить злоумышленник, поэтому самостоятельный звонок ещё не подтверждает, что пользователь попал в настоящую поддержку.
Проблема, реклама, помощь
В историческом описании обратной социальной инженерии сначала создают проблему, затем делают заметным ложного помощника, а после обращения пользователя оказывают «поддержку». Эту последовательность с саботажем и рекламой разбирала Sarah Granger в публикации, сохранённой Social-Engineer.org.
Атакующему не всегда требуется заранее ломать устройство, поскольку можно изобразить ошибку или воспользоваться настоящим сбоем. Когда пользователь уже ищет решение, подставленный контакт помогает перевести его к нужному собеседнику.
При звонке по давно известному номеру настоящей поддержки подмены нет. Но если контакт взят из ложного уведомления, пользователь сам продолжает подготовленную атакующим схему.
Почему инициатива пользователя помогает атакующему
Получив неожиданный звонок, человек может задуматься, кто с ним разговаривает и откуда взяли номер. При самостоятельном обращении этот вопрос легче пропустить, потому что разговор начат по собственной инициативе.
Перед передачей доступа нужно установить, кому принадлежит найденная страница, ответ на форуме или контакт рядом с сообщением об ошибке. Само желание решить проблему не даёт оснований доверять источнику помощи.
Когда программа не запускается, а документ нужен для текущей работы, быстрое исправление выглядит особенно привлекательно. Поэтому дополнительную просьбу помощника человек может принять за обычную часть обслуживания, не разобравшись с её последствиями.
Даже если собеседник хорошо знает программу и правильно объясняет ошибку, его право получать секреты или управлять устройством нужно подтвердить отдельно.
Пример с восстановлением доступа
Представим, что сотрудник увидел сообщение о недоступности рабочего сервиса и нашёл рядом контакт «службы восстановления». Он обращается туда самостоятельно, после чего ему предлагают установить программу удалённой помощи.
Прежде чем устанавливать программу, сотруднику нужно проверить, кто разместил уведомление и принадлежит ли контакт организации. В настоящей поддержке он сможет выяснить, зарегистрирована ли проблема и требуется ли для её решения подключение к компьютеру.
Известная программа удалённого управления не подтверждает личность того, кто просит её установить. Проверить специалиста и заявку нужно до подключения, поскольку в сессии он получит доступ к устройству.
Для проверки можно открыть сохранённый портал или корпоративный справочник и найти контакт поддержки там. Если второй номер продиктовал прежний собеседник, принадлежность обоих контактов по-прежнему неизвестна.
Пример с поиском технической ошибки
Другой учебный сюжет начинается с обычного поиска. Пользователь находит страницу с описанием своей проблемы и бесплатной консультацией. Помощник обещает восстановление, но для начала просит код входа в аккаунт.
Атакующий мог воспользоваться уже существующей проблемой, разместив подходящее предложение помощи там, где её ищут. В этом случае подмена происходит при выборе консультанта, без предварительного саботажа.
Нужно выяснить, какую операцию подтверждает запрошенный код. Если он предназначен для входа в аккаунт, его передача разрешит доступ постороннему независимо от того, как консультант объясняет связь с ремонтом.
В обоих примерах человеку полезнее выйти из найденного контакта и открыть официальный сервис самостоятельно. Дальнейшее общение можно продолжить через известную поддержку.
Чем обратная схема отличается от других методов
| Признак | Входящий обман | Обратная социальная инженерия | Кви про кво |
|---|---|---|---|
| Кто начинает разговор | Обычно атакующий | Пользователь обращается к подготовленному контакту | Любая сторона |
| Как появляется доверие | Через роль и повод обращения | Через выбранный пользователем источник помощи | Через обещание услуги или выгоды |
| Что проверить | Полномочия собеседника | Происхождение помощника | Условие обмена |
| Возможен ли претекстинг | Да | Да | Да |
Один разговор может включать все эти элементы. Ложный специалист восстановления использует претекстинг. Его условие «подключитесь, тогда помогу» добавляет кви про кво. А заранее размещённый контакт, по которому пришёл сам пользователь, образует обратную схему.
Иногда в тестах встречается определение «жертва сама предлагает помощь». Оно плохо объясняет этот механизм. В типичной обратной схеме человек ищет решение у ложного специалиста. Одна только готовность помогать другим здесь ничего не определяет.
Как проверить помощника
Проверку удобно начать с принадлежности контакта. Для рабочего сервиса это известный портал поддержки, справочник или внутренний номер. Для личного аккаунта можно самостоятельно открыть приложение либо официальный сайт.
Затем подтверждают задачу и допустимые действия. Не всякая ошибка требует установки новой программы, а удалённая сессия не даёт специалисту права делать всё подряд.
Перед подключением стоит выяснить следующее.
- Есть ли заявка в настоящей поддержке?
- Кто подключается и какую задачу решает?
- Какие действия разрешены и когда закончится сессия?
- Как убедиться, что после работы лишний доступ закрыт?
Предложение уйти в личный мессенджер, продиктовать пароль или выполнить непонятную команду требует отдельной остановки. Затянувшийся разговор не обязывает продолжать его до результата.
Если подключение уже состоялось
Прекратите работу с неподтверждённым помощником и обратитесь в настоящую поддержку. Сообщите время, название программы, переданные сведения и действия собеседника. Переписку и данные подключения лучше сохранить.
Проверка зависит от того, что успели сделать. Смена пароля может оставить активную сессию, новый фактор входа или разрешение стороннему приложению. Поэтому точное описание полезнее общей фразы «со мной что-то произошло».
Порядок действий после ошибки собран в памятке по защите. Устройство ложной роли и обмена помощи на доступ подробнее разобрано в статьях о претекстинге и кви про кво.