Když jsem byl malý, velmi se mi líbila písnička "Pruhovaní inženýři". Že to opravdu jsou pruhovaní inženýři mi bylo jasné i ze socialistického klipu, kde Rangers vystupovali v pruhovaných tričkách. Zjištění, jak se to má s těmi 'inženýry', mě později zklamalo, ale radost se má hledat v každém věku...
Podobnou radost nepochybně mají i inženýři sociální, od nichž mi právě dnes přišla unikátní SMS:
Vazeny kliente CS, z technickych duvodu jsme byli nuceni obnovit Vas SERVIS 24 ucet z internich zaloh. Neprodlene prosim zkontrolujte spravnost vsech udaju prihlasenim do IB...
No moment překvapení opravdu veliký. Účet u ČS jsem zrušil dobře před osmi lety.
Tak se alespoň dá na té SMS, která nepochybně přišla od odesilatele "infoSMS" dalším stovkám lidí, dá dobře ilustrovat, jak takové sociální inženýrství funguje a jak na něj nebozí lidé, co mají internet hned po ruce, doplatí...Tedy:
- oslovení velkého počtu lidí jím známým produktem (ČS má kolem pěti miliónů klientů a dřív to bylo ještě větší sousto)
- uvedení hodnověrné informace (Z jakého jiného, než technického důvodu, mohli obnovovat účty elektronického bankovnictví, že. Navíc si vybrali den, kdy ČS avizovala víkendovou odstávku elektronického bankovnictví, nezajímavé zprávy přece nikdo pořádně nečte.)
- upozornění, že všechno nemusí být v pořádku (Bylo to z interních záloh, ty nemusejí být přesné, je potřeba to radši zkontrolovat. Bankám přece svěřujete své peníze kvůli jiným věcem, než je přesnost.)
- vystrašení (Něco se stalo! Musím Vám to dát vědět první, protože v ČR se nikdy nic neututlá!)
- výzva k rychle reakci (Neprodleně zkontrolujte, jestli jsme náhodou nepopletli údaje. Pokud se Vám totiž nepůjde přihlásit, za dvě hodiny to bude ještě horší - nepůjde se přihlásit!)
- neuzavřený konec nebo podivný podpis (Proč se podepisovat do SMS, dvě zprávy stačí. A taky je potřeba konec dopsat vlastním činem, tak nějak to v podtitulu cítíme.)
- a nakonec hodnověrně vyhlížející odkaz na stránku/doménu servis24-csas.cz
Škoda, že jsem ajťák - znělo to dobře, ale je to tak jednoduše hloupoučké, že na to skočí nepochybně velké množství lidí, kteří SMS dostali nebo brzo v jiné obměně dostanou. Hloupost se totiž s technickým pokrokem spíš rozšiřuje, než aby ubývala.
Pojďme na to od lesa - kdo že je majitelem domény? (příkaz whois napoví) Jakýsi Martin Malátný z Pezinoku. Hm, to nezní moc důvěryhodně. Co ona stránka přihlášení do falešného IB? (skutečná adresa je www.servis24.cz) Drobné odchylky od skutečného webu ČS, toto se ale dá napodobit velmi dobře. Hlavní nedostatek, který by měl trknout do oka? Zadaná adresa je jen s předponou http, tedy chybí šifrované spojení.
Informace: Po šesti hodinách od SMS již byla doména zablokována. Sociální inženýři sínus kosínus deskriptíva chystají přesun na nějakou jinou v příštích dnech. No nezkuste to, takhle jednoduše získat přístupové údaje k internetovému bankovnictví.