网络安全 频道

从电影《防火墙》 看黑客的社会工程学

  杀还是不杀,这是一个问题

  首先,劫匪们没有一个完整清晰的战略原则,这个原则就是——杀还是不杀,这是一个问题。劫匪们似乎想要杀死此次事件的所有被利用者,但是却莫名其妙的留下了人质,带着人质逃亡显然不是一个好主意,如果不想留尸体在家里,可以带着尸体上路。当然,好莱坞的导演可能为了一个大团员的结局不得不这样安排,但是我们这里讨论的是技术,而不是电影。那么究竟应该杀还是不杀呢?个人认为要么全杀要么不杀,而我比较倾向于不杀,因为寡人悟到了,最高的剑道是不杀,是和平。至于不杀的原因嘛,因为杀人太不优雅了,对于有追求有境界的劫匪来说,完全可以通过技术手段躲避警察的追踪,甚至可以让对方完全不发觉不报警。这在下面还有讨论。

  其次,劫匪的计划尽管完善,但是却有画蛇添足之感,比如逼迫女主人打电话假装婚外情,伪造情杀。这对于了解这对夫妇的人来说,显然很难让人相信。并且杀死那个人也很没有必要。劫匪完全可以找一个人来和那个人周旋(劫匪的人力资源很充足),这个人只负责套取情报,并不直接参与事件的其他部分,没有人会将投资计划与抢劫计划联系在一起,这样也可以留下更少的线索。越简单的计划就越容易成功,当有更简单的方法的时候,为什么还要采用那么复杂的方法呢?

  再次,劫匪犯了一个非常低级的错误,就是在资金到位以后没有立刻更改那五个帐户的密码,正式这个疏忽造成了最后的功败垂成。如果抢劫成功后立刻更改密码,那么主人公的反击手段就不会成功。当然劫匪安排了干掉主人公的计划,但是任何行动都有成功与失败两种可能,所谓小心使得万年船,改个密码不是什么难事,却可以保证万无一失。况且我是不支持杀人的。

  最后讨论一下劫匪的一个非常好的方法,就是调出资金额度最高的一万个帐户,从每个帐户划取1万美元。这么做其实是降低案发的可能性的手段。这是因为一般人,除非对数字特别敏感的人比如会计什么的,一般只会关注数字的头两位,能够记住的也只是头两位,最多到第三位。比如现在我的帐户的头两位就是16,后面的就记不住了。那么如此大银行的前一万名大户应该都在千万百万的级别,少个1万什么的很难被发现,即使发现了也不会太在乎。比如我的帐户的第四位如果少了1,我也很难发现,即使发现了也绝对不会报案,你问我为什么?废话帐户少一毛钱就报案,你不怕警察告你妨碍公务呀,在说了,跨行查询还要3毛呢,谁知道这一毛钱是被黑客黑了还是被银行黑了。因为降低了案发的可能性,杀人的必要就更加不大了。

  需要注意的是,现在很多钓鱼的骇客们其实用的就是这种方法,钓鱼者们成功得到被害人的帐号及密码,取得了自由划拨资金的权限的时候,一般不会划走大量的资金,往往只是划走几十块钱就收手。你也许会认为这么点钱有点得不偿失,其实一个用户几十块,一万个用户就是就是几十万,十万个用户就是几百万,所谓积少成多集腋成裘是也。每个帐户由于损失很小,受害人常常不会发现,即使发现一般也不会报案,即使报案警察也不会重视,即使最终案发由于案值小也不会受到很严重的刑罚,甚至不会判刑,教育两句关几天就算了。所以作贼一定要做毛贼而不要做大盗,树大招风,做大盗虽然风光,但是下场嘛……

0
相关文章