человек — самый мягкий периметрthe human is the softest perimeter

Социальная инженерияSocial engineering

Фишинг/вишинг/смишинг, pretexting, baiting, tailgating; психологические принципы влияния (авторитет, срочность, социальное доказательство); личная защита — верификация вне канала атаки, паранойя по умолчанию. Каркас: 10 карточек, страницы ещё не написаны.Phishing/vishing/smishing, pretexting, baiting, tailgating; the psychological principles behind them (authority, urgency, social proof); personal defense — out-of-band verification, default paranoia toward unexpected requests. Skeleton: 10 cards, pages not yet written.

Векторы атакиAttack vectors

канал доставки: письмо, звонок, физический контактdelivery channel: email, call, physical contact

Фишинг / вишинг / смишингPhishing / vishing / smishingОдна и та же схема обмана через разные каналы: email, голосовой звонок, SMS. Spear phishing как таргетированная версия против конкретного человека или роли.The same deception scheme across different channels: email, voice call, SMS. Spear phishing as the targeted version against a specific person or role.interview PretextingПостроение правдоподобной легенды (сотрудник IT-поддержки, аудитор, курьер) для получения доступа или информации под ложным предлогом.Building a plausible cover story (IT support, auditor, courier) to obtain access or information under false pretenses. BaitingЗаражённая USB-флешка, оставленная на парковке или в лобби — расчёт на любопытство жертвы, которая сама подключит устройство.An infected USB drive dropped in a parking lot or lobby — banking on the victim's curiosity to plug it in themselves. TailgatingФизический социнженеринг: проход за сотрудником через дверь с бейджем без собственного пропуска, часто под видом курьера или занятых рук.Physical social engineering: following an employee through a badged door without one's own pass, often disguised as a courier or full hands. Business email compromise (CEO fraud)(CEO fraud)Компрометация или подделка почты руководителя для срочного запроса перевода средств — целится в финансовый/бухгалтерский персонал.Compromising or spoofing an executive's email to demand an urgent funds transfer — targets finance/accounting staff.

Психология влиянияPsychology of influence

почему работает вне зависимости от техподготовкиwhy it works regardless of technical training

Принципы ЧалдиниCialdini's principlesАвторитет, срочность, социальное доказательство, взаимность, дефицит — шесть рычагов влияния, эксплуатируемых почти в каждом сценарии социнженерии.Authority, urgency, social proof, reciprocity, scarcity — the levers of influence exploited in nearly every social engineering scenario.interview Авторитет и срочностьAuthority & urgencyДавление статусом («звонок от директора») и дефицитом времени («перевод нужен до конца дня») подавляют критическое мышление жертвы.Pressure from status ("a call from the director") and time scarcity ("the transfer is due by end of day") suppress the victim's critical thinking.

Личная защитаPersonal defense

верификация вне канала атакиout-of-band verification

Верификация вне каналаOut-of-band verificationЛюбой неожиданный запрос (перевод денег, смена пароля, доступ) проверяется через независимый канал — обратный звонок на известный номер, а не по контактам из письма.Any unexpected request (money transfer, password change, access) gets verified via an independent channel — a callback to a known number, not the contacts in the message itself. Паранойя по умолчаниюDefault paranoiaСкептицизм к срочности и давлению как базовая установка, а не реакция после инцидента; caller ID и имя отправителя не являются доказательством личности.Skepticism toward urgency and pressure as a default stance, not a post-incident reaction; caller ID and sender name are not proof of identity. Security awareness trainingОрганизационный контроль: регулярные фишинг-симуляции и обучение персонала как способ снизить долю успешных атак на уровне компании.An organizational control: regular phishing simulations and staff training as a way to reduce the success rate of attacks at the company level.

статусstatus

Это каркас: 10 карточек зафиксированы, страницы ещё не написаны.This is a skeleton: 10 cards are locked in, pages not yet written.