Вар. 1. Короче, кидаешь трояна в файлик типа 'скиньте доступ к базе' или 'вот новый прайс'. Запаковываешь в PDF с кривым форматированием, чтоб просили включить макросы, или подменяешь ссылку в переписке. Главное подать под соусом 'срочно' или 'это важное'. Люди даже не глядя кликают, особенно если от 'начальника' или 'коллеги'. Работает всегда, проверено.

Вар. 2. Шлёшь письмо/мессагу от имени "поддержки" соцсети или мессенджера: "Обнаружена уязвимость в вашем аккаунте! Срочно установите патч (прикреплённый файл/ссылка)". Троян внутри "обновления" сделает своё дело.

Вар. 3. Фейковый аккаунт пишет цели: "Ты это на фото? ". На странице фейковый плеер с требованием "установить кодек" (на самом деле троян).

Вар. 4. Если цель геймер, кидаешь "читы" или "эксклюзивный мод" на популярную игру. Внутри инжектор с RAT’ом. Для пущего эффекта подпиши файл якобы от известного моддера.

Вар. 5. Подкидываешь на рабочий комп флешку с надписью "Расчет зарплат_апрель.xls". Внутри документ с макросами, которые тянут нагрузку. Срабатывает на любопытстве.

Вар. 6. Пишешь от имени "подруги/друга": "Ты действительно это говорил(а) про меня? ". В ZIP’е JS-скрипт, который потихоньку сливает куки.

Вот мой опыт: берёшь слитые данные с какого-нибудь старого взлома, звонишь лоху с номера того же региона, называешь его старый пароль и говоришь что-то вроде 'это техподдержка, у вас подозрительная активность подтвердите текущий пароль для проверки'. В 8 из 10 случаев клюют, особенно если подобрать правильный тон не как продавец из колл-центра, а как задерганный админ, у которого куча таких звонков.

Главное не жадничать, один-два запроса и сливаешься, иначе даже самый доверчивый лох может задуматься. Кто ещё чем подобным делился скидывайте в личку, есть пара годных шаблонов для писем от 'бухгалтерии'.

(Как не стать жертвой и научиться разбирать манипуляции)

1. Базовые принципы

Социнженерия (SE) — это манипуляция людьми, а не кодом. Главные инструменты:

• Доверие (подделка личности, спуфинг номеров).

• Срочность («Ваш аккаунт взломали! Срочно подтвердите данные!»).

• Авторитет («Я из техподдержки Microsoft»).

2. Популярные атаки

• Фишинг: Поддельные письма/ссылки («Обновите пароль» → фейковый сайт).

• Претекстинг: Сценарий для жертвы («Я новый сотрудник, нужен доступ»).

• Кви про кво: Обмен «услуги» на данные («Дайте логин – исправим баг»).

• Оффлайн-разводы: USB-дроп («Нашел флешку у вас в офисе»).

3. Как защититься?

✅ Проверяйте источники: Звонят «из банка»? Перезвоните по официальному номеру.
✅ Игнорируйте давление: «Срочно!» = красный флаг.
✅ Не делитесь кодами из SMS – даже с «коллегами».
✅ Учите коллег – проводите тренинги по SE.

4. Тренируемся легально

• Тренажёры:

  • Google Phishing Quiz – тест на распознавание фишинга.

  • Awesome Social Engineering – ресурсы для изучения.

• Книги:

  • «Искусство обмана» Кевина Митника – классика.

  • «Социальная инженерия. Пособие по пентесту» Хаднаги.

5. Этичный момент

SE – мощный инструмент. Используйте его только в белых целях (пентест, обучение).