Социальная инженерия в действии. Часть 1. В этот статье я расскажу, как социальная инженерия применяется в действии, а также другие тонкости. Социальная инженерия в действии. Часть 1. Это будет наглядная информация, которая используется некоторыми селлерами. Приведённая в статье информация представлена исключительно в образовательных целях. Очень важно понимать, что на обратной стороне однажды можете оказаться и вы. Поэтому подумайте лишний раз, прежде чем отправить кому-либо ********* или другие данные, которые подтверждают вашу личность. Рыночные условия Начать я хотел именно с этого пункта. Сегодня я покажу, как можно получить комплект документов, которые подтверждают личность, и попросить выполнить действие, которое будет нужно. Весь процесс постараемся разложить по полочкам и показать так, чтобы было интересно и полезно. Для чего используются эти *********? Для бонусхантинга, для идентификации в специфических сервисах, набор кредитов и т.д. В зависимости от направленности собирается конкретный набор документов. Например, если европейский покер-рум предоставляет бездепозитный бонус в размере 500$ новым клиентам, то есть смысл стать несколько раз “новичком”. Почему рыночное условие? Да только потому, что некоторые продавцы используют такие методы для получения полного комплекта документов и продают их на бордах. Обычный комплект документов стран СНГ стоит 10–20 долларов — в зависимости от количества страниц и фотографий. Цена на комплект из забугорных стран может достигать 50–80 долларов, если есть дополнительно фотография с селфи. Как получить данные для подтверждения личности? Большинство людей, время от времени, ищут работу. Для этого они иногда используют популярные сайты поиска работы. Есть довольно много сервисов, которые имеют разные особенности и функции. Но основная цель — соединить компанию с работником. Таким образом, компании публикуют вакансии, а потенциальные работники — резюме. В такой схеме есть все, что необходимо для атаки с помощью социальной инженерии. В своих книгах, Кевин Митник рассказывал о том, что новые сотрудники в компании являются очень опасным звеном. Они хотят закрепиться и очень активно соглашаются на предложения о помощи. В нашем случае, люди имеют большую мотивацию получить работу, поэтому в каком-то случае они могут подвергаться атаке, которую мы рассмотрим на конкретном примере. Краткий алгоритм возможных действий социального инженера Находит несколько потенциальный целей. Социальный инженер представляется HR-ом крупной компании по специализации человека. Располагает к себе потенциального работника. Просит пройти один-два небольших теста на IQ или на возможность работы в команде. Позитивно оценивает результаты и предлагает сделать несколько заданий в виде тестового испытания. Просит прислать пакет документов для подготовки контракта. В случае отрицания или дополнительных вопросов, убеждает в необходимости проверки по уголовной базе, базе плательщиков налогов и т.д. Сообщает о каких-то несоответствиях в резюме и отказывает. Реализация Воспользуемся одним из популярных сайтов поиска резюме, например **.ru или любым другим сайтом. Для начала нам нужно пройти регистрацию, как пользователь. После этого у большинства сайтов будут видны контакты. Это номер телефона, почта или мессенджеры. Мы будем выходить из того, что проще всего — мессенджеры. Ищем подходящего человека и пишем ему примерно такой текст (содержание можно адаптировать под свои потребности и желания): Здравствуйте, имя! Меня зовут Кевин Митник, представляю интересы крупной компании «Рога и Копыта» в качестве руководителя по найму персонала. У нас сейчас актуальная вакансия менеджера, которая подходит по вашей специализации. Скажите, хотели бы поработать в нашей компании? После того как завязалась беседа и человек ответил, необходимо приступить к тестовому заданию. А почему бы в это задание не включить действие, которое будет оплачено нам CPA-сетью. Например, регистрация в каталоге или на другом сайте. Если быстро просмотреть популярные предложения, то можно найти от 20 до 200 рублей за регистрацию или установку на телефон. Пример такого предложения: регистрация в социальной сети знакомств Обязательно делаем акцент в разговоре на том, что нужно будет регистрироваться в каталогах и смотреть информацию в приложениях, поэтому нужно скачать приложение и разместить там заявку в качестве испытательного задания. Обязательно добавить профессиональную подпись в почте. Подпись после каждого документа После того как все сделано, необходимо поздравить с успешным прохождением заявки и попросить пакет документов для проверки и подготовки дальнейшего контракта. Получаем результат. Очень важно чтобы все детали были максимально похожими. Очень важно подготовить вакансию и требования, которые будут подходить под должность. Эту информацию можно найти в запросах других компаний на этих сайтах. В ходе проведения переписки получаем результат: Получаем результат Прописка Заключение Я показал, как это может быть в одном из вариантов. Однажды, это может произойти с каждым. Поэтому очень внимательно общайтесь с людьми, взвешивайте риски, а также не попадайтесь на такие уловки. Так как в один день ваши данные могут быть проданы или использоваться для получения кредита. Сейчас очень много историй о системах, которые не используют видеоидентификации своих клиентов. Поэтому при грамотно сформированной заявке можно получить средства и без вашего ведома.