Претекстинг — метод социальной инженерии¶
Претекстинг (от англ. pretexting — создание предлога) — метод социальной инженерии, при котором злоумышленник создаёт убедительную вымышленную историю (предлог) для получения конфиденциальной информации у жертвы или доступа к защищённым ресурсам. В отличие от фишинга, где контакт обычно анонимный и массовый, претекстинг предполагает тщательную подготовку: атакующий заранее собирает персональные данные жертвы, выстраивает легенду и выступает в роли доверенного лица — сотрудника банка, технического специалиста, коллеги, представителя государственного органа.
¶Принцип работы
Претекстинг опирается на психологические механизмы доверия. Жертва поддаётся обману не из-за технической уязвимости, а из-за социальной: человек склонен помогать тем, кто, по его мнению, действует легитимно. Атака строится по схеме:
- Сбор информации (разведка). Злоумышленник изучает жертву через открытые источники, социальные сети, публичные реестры, утечки данных. Чем больше деталей известно, тем убедительнее легенда.
- Создание предлога. Формируется история, объясняющая, почему атакующий обращается именно к этой жертве: «ваш аккаунт заблокирован», «нужно подтвердить данные для перевода», «я новый сотрудник IT-отдела».
- Контакт. Звонок, письмо, сообщение или личная встреча, в ходе которых атакующий добивается нужной информации или действия (перевода денег, выдачи кода, установки программы).
- Эксплуатация. Полученные данные используются для кражи средств, компрометации аккаунтов или дальнейшего продвижения по сети.
¶Основные разновидности
¶Телефонный претекстинг
Наиболее распространённая форма. Злоумышленник звонит жертве, представляясь сотрудником банка, оператора связи, налоговой службы или технической поддержки. Типичные сценарии:
- «Служба безопасности банка» запрашивает ПИН-код, код из SMS для «отмены подозрительной операции».
- «Технический специалист» убеждает установить программу удалённого доступа для «ремонта компьютера».
- «Представитель оператора связи» выясняет персональные данные для «переоформления номера».
¶Корпоративный претекстинг
Направлен на сотрудников организаций. Атакующий может представляться новым сотрудником, аудитором, партнёром или клиентом, требующим срочного доступа к системам, документам или помещениям. Распространённый сценарий — «IT-специалист» просит передать реквизиты доступа к корпоративной почте или VPN для «устранения сбоя».
¶Финансовый претекстинг
Связан с получением денег или банковских данных. Классический пример — атака на руководителей компаний (BEC, Business Email Compromise): злоумышленник подделывает письмо от генерального директора или контрагента с просьбой срочно перевести средства на новый счёт. По данным ФБР, ежегодные потери от таких атак исчисляются миллиардами долларов.
¶Претекстинг в отношении операторов и служб поддержки
Злоумышленник может обращаться не к жертве, а к её провайдеру, банку или оператору, представляясь самой жертвой, чтобы получить доступ к аккаунту или перепривязать номер телефона (метод, известный как SIM-свопинг).
¶Отличия от смежных методов
| Метод | Ключевой признак |
|---|---|
| Фишинг | Массовые анонимные рассылки, низкая персонализация |
| Вишинг | Фишинг по телефону, но без тщательной легенды |
| Претекстинг | Индивидуальная подготовка, убедительная вымышленная история |
| Кви про кво | Обмен «услугой» на информацию, без выстраивания легенды |
¶Защита
Основные меры противодействия претекстингу:
- Проверка личности собеседника. Перезвон по официальному номеру, указанным на сайте организации, а не по номеру, который назвал звонящий.
- Обучение персонала. Регулярные тренинги по распознаванию социальной инженерии, включая симуляцию атак.
- Минимизация раскрытия данных. Публикация в открытых источниках только тех сведений, которые действительно необходимы.
- Многофакторная аутентификация. Снижает ущерб даже при компрометации пароля.
- Внутренние регламенты. Запрет передачи учётных данных по телефону, обязательная верификация запросов на перевод средств через второй канал связи.
¶Правовой статус
Претекстинг во многих юрисдикциях квалифицируется как уголовное преступление. В США он прямо запрещён федеральным законом о защите личности (Gramm-Leach-Bliley Act, 1999) и законом о шпионаже (Electronic Communications Privacy Act, 1986). В России получение чужих персональных данных путём обмана или злоупотребления доверием квалифицируется по статье 138.1 Уголовного кодекса, а использование полученных данных для хищения — по статьям о мошенничестве (ст. 159 УК РФ).
¶История
Методы претекстинга существуют дольше, чем компьютеры: известны случаи телефонного мошенничества ещё в 1910-х годах. Широкую известность термин получил в 2006 году после скандала с корпорацией Hewlett-Packard: журналисты и члены совета директоров компании подверглись претекстингу при попытке выявить источник утечки внутренней информации. Сотрудники HP наняли консультантов, которые, представляясь журналистами, получали у мобильного оператора данные о звонках целевых абонентов. Скандал привёл к отставке председателя совета директоров и ужесточению законодательства в ряде штатов.