0%

人性弱点能摧毁一切防火墙:社交工程攻击实践,以及你必须在乎的问题

当今社会最阴险的却经常被忽视的攻击威胁之一,针对的不是基础设施,而是人性弱点

人类是充满弱点的生物体,他们中即产生攻击者也产生被攻击者,两者都一样有弱点。攻击成功意味着被攻击者的弱点处于暴露状态。对弱点的利用就是社交工程学的主要课题。

请不要误会,社交工程学事实上的应用是非常广泛的,小到如普通的交往、谈恋爱、找工作、谋求加薪晋级,大到追求正义的反抗、深度调查性新闻、以揭露阴暗为目的的卧底……当然,还有致命的破坏性的攻击行为,针对任何有利的目标。

它是工具也是武器,就像砖头,能用来盖房也能用来打得别人头破血流。本博客就不介绍社交工程学在恋爱方面的用途了,而是专注于其最具毁灭性的利用,因为,我们的强大对手正在利用这一工具作为武器,以期随时能击倒我们。我们保护自己的方法将需要建立在知己知彼的基础上,就好像,如果你想防止被骇客摧毁,那就需要让自己像一个专业骇客那样去思考。

我们不想用“网络安全”这样的词了,这个词已经被当权者污染并借此来实施有利于他们的一切歪招,目的是随时打击我们。我们需要自己的安全,以破败他们的阴谋暗算,反攻回去。

人性弱点通常是网络防御战略中最薄弱的环节,即使你采取了我们推荐的所有基于技术本身的安全措施、对任何网络威胁保持警惕,你也很可能没有意识到,在社交媒体上一点点放松警惕的小疏忽都有可能带来不可想像的危险,不仅会暴露你自己,还会将你的家人、朋友和公司,全部暴露给攻击者。

就如我们在上一篇文章中所演示的那样,一场看似普通的旅行,其结果很可能是致命的。攻击者不会仅仅玩键盘侠,在网上跟踪你的一切,他们的实际目标是现实生活中的你 — — 通过你糟糕的毫无防备社交媒体设置和表达,攻击者可以构建完美的操纵和迫害模型。请注意:他们不只有谋求钱财美色的流氓,还有那些一直在千方百计寻求你的弱点以便可以把你扔进监狱的政权。你需要知道该如何防御这些潜在的威胁。

如何才能发现自己被操纵了?

专业的操纵“艺术”要求其步骤如此小、如此微妙,几乎不可见。话虽如此,但成功的操作确实有一些“关键”的东西在里面,这些恰恰有助于我们确定它何时会发生,比如下面这样:

攻击者可能会看起来非常迷人和友好。他们可能与您非常相似,就像您久违的老朋友那样,你会感觉到一种相见恨晚的快感……还记得我们在“劝导术”系列中介绍的关于骗子的特点吗?嗯,就是那样。但是要知道,并不是说一些看起来很讨厌的家伙、无厘头的挑衅者就不会是有目的的社交工程师,尤其是在网上,这要根据情况具体分析。但警惕那些以大众情人般的姿势接近你的家伙是的确必要的。
攻击过程中他们会试图孤立目标对象。他们需要确保你不会和其他人一起讨论他们灌输给你的谎言。实现这一目标的一种有效方法就是:让攻击者在你身上构建一种<我们对他们>的心态。例如,让你相信你为之工作的公司是邪恶的,或者你的同事和朋友都是为了陷害你才存在于你身边的。这样,由于恐惧你就更有可能把这些谎言保密起来,也就不会得到旁观者清的揭穿了。
小心,任何让您感到情绪激动或恐慌的电子邮件或电话 — — 这是一种经典的攻击技术。通过让你感到焦虑、恐慌、愤怒等等,攻击者可以操纵你冲动地行动,而不会在逻辑上思考。这和你的智商没关系,而是人性弱点,无法控制刺激性情绪。你越是匆忙或担心,你就越有可能犯错!民粹主义政客的宣传大喇叭利用的也是民众这种心理弱点。
延伸阅读:《为什么说“我也是”这句话有些时候是非常危险的,关于“虚假帮派骗术”》

我们将在下一篇独立的文章中详细介绍关于套话的技术,展示对人性弱点的充分利用。肯定有你想不到的东西。还是要说“感谢”社交网络,正是它,激发了几乎所有现实中潜在的人性弱点,你将能看到,这个时代的人是何等的容易被操纵。

面对可能的社交工程攻击,你需要在一片虚构中对事实做出清晰的排序

防御社交工程攻击要记住的第一件事就是,攻击者希望你随口说出或透露出一些东西。以钓鱼邮件为例,通常这将包含他们需要您点击的恶意链接或附件。因此,您收到的任何要求您点击链接或附件的未经请求的电子邮件都应该暂停一下,专注于考虑其真实性。

这在理论层面是伟大的; 然而,大多数网络钓鱼攻击都是以创造情感反应、而不是逻辑反应的方式,制作的。如果我能让你产生情绪化反应(愤怒、焦虑或兴奋),我就可以阻止你从逻辑层面上思考,并让你做出冲动的举动。它们还会呈现一种紧迫感,“中午时分提供将结束”或“下午3点前支付有效过期不候”……这是为了让你自发地而不是通过逻辑地做出反应。如果您收到的电子邮件或社交媒体消息让你产生了强烈的情绪,请立即停顿一下,先喝杯咖啡上个厕所,然后再回来。我保证你将以不同的方式看到它!

延伸阅读:《互联网上的人为什么如此容易被骗?》(请忽略假新闻的概念,这篇文章中呈现的互联网人的关键弱点,可以被利用来做任何事)

最常见的社交媒体错误操作是什么?

我从人们那里听到的一个常见论点是,他们并不认为自己在社交媒体上的公开张贴会成为什么威胁,因为“他们没有什么可隐瞒的”。哦不,出于多种原因,这是极其错误的想法。要知道,你可能还没有遭遇恶性攻击,那不过是因为幸运到了离谱的程度 — — 每次都赶上狼吃饱了,而且,你无法确保自己一直如此幸运下去:

首先,仅仅因为你没有可隐藏的丑闻或秘密并不意味着你对攻击者来说不值钱。我们与特定人员分享帖子和图片,这是我们的选择。如果不是我们想要的话,我们就不希望与每个人分享。于是你的分享、点赞等操作就是你的人格呈现,即便你一句评论都没有,我也能从中看出你的可被利用的弱点。这绝不是什么创意性玩意,扎克伯格一直以来很大程度上就是利用了你的分享点赞记录,赚了大钱;
其次,如果您的帐户没有锁定或设置为私密,您不可能知道是谁正在查看您的帖子,为什么他们正在看,以及他们将如何处理这些看到的信息;
常见的误解是,攻击者正在寻找一些肮脏的丑闻,以便索取你的贿赂。这确实发生过,但很少见。下面让我提供一种相比下很简单的、可以使用公开信息发起攻击的方式,请体验一下它的危险性。
想象一下,我是攻击者。我找到了一个潜在的目标,叫 Rebecca,她在社交媒体上发表了大量的文章。她的 Facebook 设置为私人的,所以我们看不到她的任何帖子。但是我们可以看到她有 900 多个朋友。这意味着,总的来说,她可能会接受她根本不认识的人作为“朋友”的添加申请。所以我将她添加为朋友将很容易获得接受。在大多数情况下,隐私设置基本形同虚设,作为“朋友”,我可以看到一切。在 Rebecca 的时间线上我很快就找到了一个目标帖子:

“今晚在曼彻斯特的美食汉堡厨房与女孩们一起聚会。这是我最喜欢的餐厅 — 我是一个忠诚的老顾客,我应该得到免费的饮料和优惠!“

看起来很无辜是吧?嗯。仅此一条,我就可以使用它在第二天向目标人发送恶意钓鱼邮件:

“亲爱的 Rebecca,感谢你昨晚光顾美食汉堡厨房。我们希望你和你的朋友在这个晚上过得非常愉快。由于您是如此忠实的客户,我们决定为您提供 50% 的下午餐优惠。请点击下面的链接拿到您的优惠券!“

评测一下,你觉得 Rebecca 点击该链接的机会是多少?很高,我可以保证。我们使用她的 Facebook 帖子中的特定信息使我们的陈述看起来非常合理。Rebecca 没有被发现任何脏兮兮的丑闻,这只是关于一个晚上和闺蜜聚会的帖子,就足以让她受到攻击。

这可不是全部,只是一点点,一点点。你经常能看到,一个家庭出门旅行回来就发现被盗了,你的孩子贴了一张自拍照就被暗网的儿童色情罪犯用作了广告,当然,就如我们先前在 #OSINT 揭露腐败的技术中所呈现的那样,富家子弟和政客的亲属也能因此栽得头破血流。

呈现一个操纵案例

请不要小看了自己,也许您真的觉得自己没有利用价值而放松警惕,事实上,您的价值不是您自己能掌握的,而是操纵者在掌握,您永远不可能知道对另一个人来说,你这个人意味着什么。它甚至有可能不是直接价值,而是一个很巧妙的跳板。

来,讲个故事。

我们的主人公是 Jessica,一个年轻的毕业生,刚刚在一家大型公司找到了她的第一份工作。该公司在网络安全方面投入了大量资金,并拥有一支技术娴熟的安全护盾团队。

Jessica 在社交媒体上花了很多时间。她在所有主要平台上都拥有不少朋友和粉丝。她贴出的照片是她的家人、宠物、生活方式和旅行。当然没什么特别的,就像你知道的那些人一样。看起来很平庸吗?不,绝不是。

有一天,另一个叫 Nina 的女孩在 Facebook 上向她发送了一个朋友请求。Jessica 接受了,两个女孩开始交谈。在接下来的几个月里,他们形成了牢固的友谊。他们相处得很好,Nina 喜欢与 Jessica 几乎完全相同的东西,事实上,她们的交流反映了彼此对几乎所有事物的看法。

Nina 对 Jessica 的工作表现出浓厚的兴趣。她说她渴望做类似的工作。 Jessica 热衷于分享关于她的工作和她正在进行的项目的各种细节。Nina 总是会去点赞。

有一天,Nina 问 Jessica 是否可以帮她一个忙。她告诉 Jessica,她接受了 Jessica 工作的那家公司的面试邀请,还没有应约。她让 Jessica 不要告诉任何人,因为她们是好朋友她应该保密。女孩子的小秘密,你知道的,充满了甜蜜的味道。因此, Jessica 同意保密,并且非常高兴能与她的新朋友在同一家公司工作。

Nina 说她也很兴奋,但“有一个问题。我非常渴望得到这份工作,你知道我一直在努力赚钱。我虽然是个弱者。我知道其他一些有本事的女孩,她们比我知道的东西要多得多。“

此时两个姑娘的关系已经很融洽了,不顾一切地想要看到朋友的 Jessica 说:“我会帮助你的!告诉我,你需要什么帮助,我们可以排练关于面试和工作的一切“。

Nina 回答说:“我已经做了一些研究,我想你肯定有一些客户对吧,对有些客户你很快就会展开工作。我没时间对它们进行全面研究了,你能不能给我一份客户名单和你正在使用的推销想法?这样我就可以根据目标量身定制我的想法了,他们就会爱我的!“

Jessica 同意帮助她的朋友。Nina 说她不想被取消入职的资格,所以 Jessica 应该让她的一位同事打印出这些信息,这样就无法追溯到她了。Nina 还告诉 Jessica 把打印件放在她的包里,然后在家进行扫描,再发送电子邮件给 Nina。Jessica 做到了这一点。对她来说这太容易了,还能帮朋友,何乐不为。她们很快就能成为同事了啊,对一个新入职的员工来说,在微妙的办公室政治风浪中是多么需要一个亲密伙伴呢。

那天之后,Jessica 再也没有从 Nina 那里听到任何事。这个“Nina”彻底消失了。我们发现“Nina”是假的。事实上,“她”来自受到攻击的公司的竞争对手。他们基本上把 Jessica 变成了恶意的内幕突破口,而完全没有被意识到!

⚠️ 请重点关注上面故事中被突出编辑的黑体字,那是关键的细节。

我知道,这个故事也许会让你感觉不舒服。我们都想要朋友,尤其是在这个超个人主义的冷漠时代里,孤独是我们共有的伤疤。但是,鉴于这些文章的主题,我们有义务告诉你这类状况的存在,尤其是当你是一个组织的负责人,或者一家公司的领导,你应该知道如何在防止人性弱点的层面上培训你的下属,以免他们因为善良而令你和你的事业陷入困境。

我们尤其希望提醒民间组织和独立团队的负责人,你需要吸纳那些真的在乎和理解安全防御知识的盟友,如果你不希望自己的团队从内部被摧毁的话;即便你只是一个独立的个人,你想做一些有价值的事,也需要特别注意!请与熟悉安全知识的人交往,否则,他们有可能在不知不觉中就把你带入了危机境地。反过来,如果你只是想交往有能力的朋友,同样需要提升自己的能力,让自己在现实中变得更加可靠可信。

每个人都应该练习的安全规则有哪些?简要介绍 — —

永远不要在社交媒体应用上启用位置服务,不要在任何地方发送你的坐标,包括私密聊天中;
尽可能让你的所有社交媒体帐户都设置为私有。如果你希望拥有更多的公共帐户,请务必仔细审核内容!不要拿出任何个人的东西,你要在互联网上谈论自己!
隐藏你在 Facebook 上拥有的朋友的数量和姓名。这将使攻击变得更加困难;
如果你希望公开分享帖子,应该停下来思考,你是否乐意与全世界以及其中的所有好人和坏人分享这些内容。如果是,那就发布。如果不是,删掉它!
在线保护自己有什么好的经验法则?

我经常模仿社会工程师的策略,以查看公司和个人的弱点在哪里。如果你知道是哪些东西帮到了攻击者,那么你就知道应该如何做出改变。请记住那句流行语:“像骇客一样思考”。

以下是一些重要提示:

隐私设置:检查您的 Facebook 帐户是否已锁定。删除那些您实际上并不认识的人,并隐藏您拥有的朋友数量。检查一些历史帖子上的设置,你会惊讶地发现我能找到多少线索!
审核自己:在线搜索自己的名字或者常用 ID,看看你能找到什么。如果有任何过于个人的或您没有意识到而存在着的东西,请立刻将其删除。
帖子:小心你发布的照片​​中可以看到的内容!我最近发现可以通过扫描航空公司登机牌上的条形码,从中获取人们的出生日期;显示您年龄的贺卡和生日照片也可以告诉我您的出生日期;我可能会在一张位置不佳的自拍照上看到您的门牌号码;您的宠物项圈上的电话号码、或您在手机上使用的应用程序。不要只是检查照片是否讨人喜欢,看看镜头中还存在什么东西!
谈论:与朋友和家人分享有关安全的信息。截取网络钓鱼电子邮件的屏幕截图以警告其他人(不要将网络钓鱼电子邮件转发给其他人)。我们必需动员更多的人加入到这场防守战中来,才能让攻击者失去市场。
我们的读者中有不少技术高手,通过回复就可以看出,不论是攻心技术还是数字技术,这让我们感觉很兴奋。但与此同时,我们也看到了另一些读者过于轻敌的表态。轻敌是一种立场或被称为“士气”,但它绝不是策略。轻敌无法成为武器,正相反会让你陷入因疏忽而导致的弱点毕露。尤其是当你并没有完全娴熟于上述技术时,请切莫放松警惕。

人性的懦弱:社交工程攻击和行为操纵的便捷入口

对口号和宣传不辨黑白的接受、对制服和官衔不问缘由的服从,对禁令和规则不分对错的遵守……在权威面前,人类比自己想象的更加懦弱
“网信办最新通知下达:通过任何渠道发布一切与政治、政策、军事有关内容或言论的单位和个人均需获得审批,未经审批擅自发布者将依法处理“……

看到上面那条按语时,您的感受是什么?

是的,那是一条假消息 — — 这类我们曾经称之为“自我维稳”的假消息一直在中文网络上流行,而且其中大多编得比这条更复杂、更“详细”,活灵活现。这些消息普遍充满了漏洞、且无从查证,只要仔细想想就能知道,但是它们依然在流传。并且,经常被局部掌控他人发言权的人(如群主、单位领导等)引用来压制成员或下属的言论。

如果你指出其不实,立刻就有很多人跑来帮你解释为什么“当局能做得出这样的事“、为什么”如果你不信就会面临危险“等等,就连怀疑消息不实的人也会告诉你:“宁信其有”。如果我是网信办,根本就不需要发布某些正式的禁令 — — 相关文件将留下扼杀言论自由的证据,只需要等着被吓坏的人们编造出形形色色的假消息,就能杀死互联网上大半的言论。

这类假消息为什么能骗人?仅仅是由于它们挂上了一个“权威”来源的名头。

因为人们太害怕了。权威被认为需要无条件的被服从、不容置疑、不得挑战,于是,利用权威来骗人是非常容易得手的。它的依据是人性中最为普遍的骨子里的懦弱。

反抗者永远都是极少数。

反抗的基础是真实的情报和专业的分析,而不是被虚假消息所恐吓。如果后者得逞,将意味着即便真实情报摆在面前,也将无法发挥作用。

关于人性的懦弱,先介绍一部电影(去年上映的)《Der Hauptmann》。故事发生在1945年4月11日,二战结束前两周的德国。在颓丧气息的笼罩下,德军各个部队陆续出现士兵逃跑或走散的现象。男主角 Willi Herold(威利·赫罗德)就是其中之一。

逃兵向来都是被唾弃的,影片的开场就是赫罗德被行动部队追杀的画面。不过他命大,活了下来。在饥寒交迫之际,他发现了路边一辆被弃的汽车,里面不仅有食物,还有一套崭新的军官制服。一阵狼吞虎咽之后,他尝试着换上了衣服。

或许,赫罗德原本只是出于保暖的目的换上大衣,但偏偏此时从远处走来一个士兵,看见赫罗德的装扮张口就喊「长官」。士兵称自己和原部队走散了,希望能够被收入赫罗德的麾下,一边说着还殷勤地去帮忙开车。

当长官被人服侍的感觉自然要比做又冷又饿的逃兵好得多,于是赫罗德决定把这场戏演下去。

仅仅一层外包装,就让一个逃兵摇身一变成了手握重权的上尉。

当晚,他们就靠着「赫罗德上尉」的身份蹭吃蹭住;第二天又名正言顺地「拜访」农场,大吃大喝。要知道,就在前两天,赫罗德也曾来过这里想偷点吃的,却被主人举着犁耙赶了出来,差点命都不保。

才一天的功夫,他就陆陆续续收编了一组士兵,甚至拥有了两架高射炮。

他还装模作样地在这些人的士兵证上写上「赫罗德卫队」。

之后,这伙人来到一个营地,那里实际上是「逃兵集中营」。

在战争末期,很多逃兵为了生存开始打家劫舍,偷盗、抢劫的现象时有发生,他们在被军队逮捕后,既不能送回前线,又无人处置他们,只能关在营地中等候发落。这些逃兵中,有的已经年老体弱,有的看起来才不过十六七岁。

这位原本也应该被关在这里的「赫罗德上尉」,为了掩盖身份继续演戏,谎称自己是受「最高首领」的命令,来这里视察逃兵状况。

但戏剧性的是,曾经追捕赫罗德的军官,正巧也在此地。

事实上,那位军官一眼就看出了赫罗德不过是个「冒牌上尉」,但他并没有揭穿这件事,因为他需要借这位「伪权威」来扩大自己的权力。

在他所属的国防部看来,被关押的逃兵们每天都在消耗原本就不充裕的物资,营地管理员早就想找个理由,杀死这些一无是处的“寄生虫”;但司法部不同意,要求必须通过正规的「军事法庭」制裁这些逃兵。

当然,司法部的负责人也并不是什么好东西,他把逃兵当人质来威胁他们的妻女奉献肉体。

僵局之下,赫罗德的出现就变得非常关键了。既然「赫罗德上尉」是由首领直接授权,权辖应当就在两位部门主管之上,他说要支持国防部「消灭寄生虫」,司法部自然就无话可说。那位军官正是借赫罗德的头衔 — 以假乱真 — 来压制司法部,而且一旦出现问题,也只需要全盘推给赫罗德即可。

在营地军官的支持下,赫罗德的行为愈发猖狂,也愈发残忍。他默许手下搜刮逃兵们的财物,看着逃兵被肆意殴打虐待,而每个人都对他言听计从,不敢反抗。

他称呼这些逃兵为「猪猡」,因为当初别人就是这么叫他的;而他最喜爱的杀人方式,就是先让对方逃跑,等距离差不多了再开枪击杀,这同样也是在模仿自己曾经的遭遇,他就是因此才幸存下来的。

但赫罗德的手段显然更残忍:他压根不留求生的可能性。他用绳子把这些人绑起来,让他们一起跑,只要有一个人被击倒,其他人就得拖着尸体继续往前跑。直到最后一个人,拖着其他三具尸体难以动弹……

手握权力的快感,令赫罗德深深着迷。在这些逃兵身上,他疯狂发泄着暴力的欲望,似乎越是展现自己的权威,就越能洗刷掉自己曾经作为逃兵所受到的羞辱。

最终,他下令对整个营地的逃兵囚犯进行「大屠杀」。屠杀的场面令人胆寒 — — 为了「加快效率」,他们以30名逃兵为一组,把这些人赶入事先挖好的大坑,直接用炮弹轰炸。如果还有幸存没死的,就再逐一击毙。

也许你会好奇,在赫罗德兴风作浪的这段时间里,为何没人站出来揭穿他?那个军官想借他的虎威,故意不戳穿,可其他人呢?只要检查一下他的士兵证,一切谎言便会不攻自破。但唯一要求他出示证件的宪兵队长,只因一句“元首钦定”,就被吓得哑口无言。

赫罗德收入麾下的第一位列兵,也就是最初替他开车的司机,一直都对他的恶行嗤之以鼻,虽然怀疑他的真实身份,但也没有胆量揭发他。

赫罗德最精明的一点,就是擅于拉人入伙,让怀疑他的人与其同流合污。在对逃兵进行屠杀时,赫罗德特意找来司机,让他射杀那些没在炮弹轰炸中死去的囚犯。原本还存有一点良知的司机,此刻也变得恶魔附身,并在射杀完成后毕恭毕敬地向赫罗德敬礼,报告任务执行完毕。

在这样一个扭曲的环境里,任何一个好人,都会变成刽子手。

不,这不仅仅是电影!这个故事是完全真实的。

Willi Herold 威利·赫罗德这个人在历史上真实存在(文章开始的链接中是此人的维基百科页面),他出生于1925年,一位屋顶工人的儿子。因为在德国下萨克森州埃姆斯兰营地(Emslandlager)的残暴屠杀而被称为「Emsland 的刽子手」。据维基百科上的介绍,他在营地的八天时间里,谋杀了超过100 名同胞。而他当时只有 19 岁!

一个月后,德国宣布投降,赫罗德因偷盗行为被皇家海军逮捕,经调查后被确认为战犯;半年后,赫罗德及其手下被占领英军要求挖掘当初被杀害的集中营囚犯,一共挖掘出了195具尸体。1946年11月14日,赫罗德在断头台上被处决,终年21岁。

到此为止还没有结束哦。你可能想到了经典电影《浪潮》中的心理操纵演示?而这部电影并不完全一样,在于其神奇的结尾(上图):
赫罗德和他的手下们「时空穿越」出现在了现代德国一个小镇的街头,他们肆无忌惮地调戏街头的姑娘,抢夺路人的手机,频频做出挑衅的姿态。然而,路人的反应却令所有人吃惊,他们大多数选择了服从而不是反抗……

类似的故事在今天的社会依然发生着。

对口号和宣传不辨黑白的接受、对制服和官衔不问缘由的服从,对禁令和规则不分对错的遵守……在权威面前,人类比自己想象的更加懦弱。

是的,您猜对了。本周我们的博客计划与伪装有关,准确说是社交工程学的重要步骤,即 利用虚假身份引诱他人满足自己的目的。

权威不一定指的是足够高的官衔,它是作为攻击计划的一个重点环节,其伪装的身份必需能满足整体计划的实施,即 你需要得到什么这一目标。只要能完美的伪装成基于目标的领域的权威,后面的步骤将变得非常简单。

其实我们希望提醒的是,对权威的依赖和无条件的认同和服从非常有害,没有清醒的独立判断就没有公民权,没有反对就没有民主。民主需要所有人一起努力才能维护,而威权独裁可以轻而易举地实现,因为它建立在对人性弱点的利用之上。◾️

侦查和欺骗:这里是社交工程攻击必备的技术工具

反抗绝不是简单的异议,反抗需要充分的知识技能、高超的心智和实战经验
此前我们已经做过多次攻击演示,足够说明一些微小的细节性疏忽都会导致严重的后果,如果遇到高手的话,那是防不胜防的。人性弱点具有极高的可利用性,但除了不断警告这些可能的威胁之外别无他法。而多数人尚且没有遭遇到社交工程攻击的高手,于是很难体验到这些警告意味着什么,直到中招,为时已晚。

社交工程学方法已经被越来越多的政府用来监视和渗透反对派群体。在这里看到中国使用这种方法攻击异议的一个小案例。

为了突破这一矛盾,我们可以试着反过来讲述这个问题,即 展示社交工程攻击的基本操作,如果您能理解这些技术的作用,就能体会到应该如何保护自己。如果您有一个正义的目标,而这些“程序不正义”的工具是否可以帮到您……将由您的价值观来决定。我们不会做建议。

我们更希望提供的知识能帮助那些追求安全保障的团体和个人,如果您还没有聘请专业的渗透测试技术人员的话,可以借此自行测试一下,看看您和您的团队的安全意识有多可靠。

好的,我们开始。

信息战这个词如今又变成了安全领域的热词,而它并不是个新词。自古以来作战要想赢得胜利,情报都是其中最基础的关键因素 — — 从情报收集、到分析、到策划行动。社交工程攻击也一样,社交工程师决胜的武器就是对目标人的数据收集,掌握充分的情报才能从中分析出目标最可能具备的弱点,以便加以利用。如果在收集方面下力不足,将导致整个行动严重失败。

如今随着数字化程度迅速加深,信息收集已经变得更加简单了,要知道早年的私人侦探为了收集基本信息可是要花费数周甚至数月的时间。现在所有人都在网上,很多顺手的技术工具可以大幅提高生产力,不仅能收集、还能分类及有效运用信息。

我们先从收集工具开始介绍。打开互联网资源大门。

Maltego

这个东西我们以前介绍过,在开源调查技术中。是的,开源调查和社交工程攻击使用了很多同样的技术,很明显前者是正义的,后者“程序不正义”。本文将专注于一系列“不正义”的玩法。

信息收集是很多不专业社交工程人员的薄弱环节。如果存在一种工具可以同时对一个域名、IP 地址、甚至是一个人进行几十种搜索;能提示各项信息的权重,显示信息是否重要;还有一个 GUI 界面,可以用不同的颜色表示不同的对象,可以将数据导出利用,最重要的是还有免费版,你觉得怎么样?

Maltego 就是这样的迷人,它简直就是攻击者的梦想。这个神奇的工具由 Paterva 公司的员工开发,免费版可以在它们网站下载,BackTrack4 的每一个版本都集成了 Maltego 程序。如果您想解除免费版的功能限制,需要花费大约 600 美元就可以得到完整版授权。

将 Maltego 视为一个信息的关系型数据库,能发现互联网上信息之间的联系(在应用中称为实体)。Maltego 在后台做了很多工作,如挖掘电子邮件地址、网站、IP地址和域信息。点击几下鼠标就可以通过目标域名自动搜索到所有相关电子邮件的地址信息。

只需要在屏幕上简单地增加“电子邮件”转换器,输入想要搜索的电子邮件地址,就可以得到下面这样的效果:

很棒吧。而传统的分析方法你必需用钉子和红线挂满整面墙。Maltego 能自动采集大量信息并为用户实现数据的自动关联,可以节省大把的搜索和分析的时间。Maltego 真正的强大之处在于找到这些数据之间的关系 — — 数据挖掘的确是基础要务,但将信息关联起来无疑是更具直接价值的彩蛋。

其他好用的信息收集工具详见上两篇文章:

Social Engineer Toolkit — SET 社交工程工具包

Social-Engineer Toolkit 是一个专为社交工程设计的开源渗透测试框架。 SET 有许多自定义攻击向量,可以让你快速进行可靠的攻击。这个强大的工具包是流行工具 FastTrack 的开发者 David Kennedy 创建的。一些简单的 Python 脚本可以让社交工程人员制造出附加恶意代码的 PDF 文件并随邮件发送。如今它已成为渗透测试的标准工具包。

安装

步骤十分简单,只需安装 Python 和 Metasploit 框架。这两个软件在 BackTrack发行版中已经存在,所以不用担心。BackTrack4 中甚至已经包含了 SET。如果需要从头安装,过程也十分简单,依据导航进入安装目录,在控制台窗口运行以下命令:

svn co http://svn.secmaniac.com/social_engineering_toolkit set/

执行完命令之后将得到一个名为 set 的目录,该目录下包含了所有 SET 工具。

运行 SET

过程也十分简单,只需在 set 目录下输入 ./set,就会启动初始菜单,看到下面这样

社交工程攻击
快速追踪测试
第三方模块
升级软件
升级配置
帮助
退出
选第一个,然后:

鱼叉式网络钓鱼攻击
网页攻击
传染媒介式攻击(俗称木马)
建立 payloaad 和 listener
邮件群发攻击
Arduino 基础攻击
无线接入点攻击
二维码攻击
Powershell 攻击
第三方模块
返回上级
选第二个,然后:

java applet 攻击(网页弹窗那种)
Metasploit 浏览器漏洞攻击
钓鱼网站攻击
标签钓鱼攻击
网站 jacking 攻击
多种网站攻击方式
全屏幕攻击
返回上级
以下是两种最常用的攻击形式:鱼叉式网络钓鱼攻击,和网站克隆攻击。分头演示一下。

1、钓鱼攻击

社交工程测试人员使用 SET 可以创建有针对性的电子邮件,对客户进行测试,记录有多少人上当,然后利用这些信息做针对性培训,帮助人们识别和避免这些陷阱。

在上面菜单中选择 1,会出现以下内容:

执行群发邮件攻击
创建一个文件格式负载
创建一个社交工程模版
第一个选项用于执行邮件攻击,第二个用于创建一个恶意的 PDF 或其他文件,以备作为邮件附件发送,第三个选项是创建模版,以备日后使用。

接下来选择一个攻击向量,比如选择 6,这种攻击对许多版本的 Adobe Acrobat Reader 软件都有效 — — 应用了 Adobe util.printf() Buffer Overflow 漏洞(已补)。

接下来几个选项会设置攻击的技术问题。点击选项 2 — — Windows Meterpreter Reverse_TCP。使用 Metasploit 接收反向会话、或者受害者电脑的 IP 和端口,以避免入侵检测系统(IDS)或其他系统的报警。

选择 443 端口,使数据流看起来好像是加密的 SSL 数据。SET 会创建恶意 PDF 文件并设置监听功能。

执行上述步骤后,SET 会询问是否要更改 PDF 的文件名,例如改成类似 TechnicalSupport.pdf 等更加隐蔽的名称,然后输入邮件信息以备收发。最后,SET 发出一封看起来很专业的电子邮件,引诱用户打开附件中的 PDF 文件。

邮件发送之后,SET 会创建一个网络监听器等待目标打开文件。一旦目标点击了 PDF,监听器就会执行恶意代码,让攻击者得以进入受害者的计算机中。

这是一个破坏性很强的攻击,因为它利用了客户端软件的漏洞,而且在大多数情况下,屏幕上不会显示有情况正在发生。让目标人完全无感。

这只是应用 SET 可以发动的众多攻击中的一种。

延伸阅读:关于如何防备《系统被攻击、用 Tor 被钓鱼、好奇害死猫,怎么办?- 把危险隔离出去》

2、Web 攻击

SET 也允许审计人员克隆任何网站并在本地运行。这种攻击类型的强大之处在于可以让攻击者以多种方式诱骗他人访问克隆网站并从中获利。攻击者既可以伪装成更新网站的开发者,也可以仅仅对网址进行细微的修改(填加或删除一个字母),最终诱使他人访问克隆的网站。

一旦有人访问了克隆网站,便可以发动多种不同的攻击,包括信息收集、证书收集和直接入侵等。

要在 SET 中运行此攻击可从主菜单中选择选项 2(网站攻击),选择之后,可以看到以下几个选项:

Java Applet 攻击方法
Metasploit 浏览器的入侵模式
证书获取的攻击方式
标签绑架攻击方法
中间人攻击方式
返回前面的菜单
选项1中的 Java Applet 攻击是一种特别邪恶的攻击。一般情况下,Java Applet 攻击会在用户界面上弹出一个 Java 安全警告,说该网站已被某大牌公司签名,并让用户同意这一警告。

进行这种攻击,先选择选项 1,然后选择选项 2 — — 网站克隆(Site Cloner)。

选择网站克隆的时候,需要输入你想克隆的网站地址。这里可以选择想克隆的任何网站 — — 客户的官方网站、客户供应商网站或者政府网站。正如你所想象的,重点在于选择一个对目标有意义的网站,就是目标最可能不走脑子就直接点击的网站,判断这点就要基于前面强调的数据收集和分析。

在这个练习中,假设是克隆 Gmail 网站。屏幕上会显示如下信息:

上述工作完成之后,SET 会询问你想要在自己与受害者之间创造什么类型的连接。要想使用本文讨论的技术,选择 Metasploit 的反向会话界面,也就是 Meterpreter。

SET 为负载加密提供了多种选项,这是为了避开反病毒系统的检测。

下一步,SET 启动内嵌的网站服务器为克隆网站提供服务,同时启动监听器准备捕获浏览该网站的受害者。

现在只需要攻击者构造一封电子邮件或给目标打个电话,让目标访问该假冒的网站。最终结果是,一个 Java Applet 出现在用户面前,告诉他该网站已被微软签名,他需要允许安全证书运行,才能继续访问网站。

只要用户允许了该安全证书,攻击者就可以立刻入侵他的计算机了。

SET 的其他特性

SET 是具有实战思维的社交工程人员开发出来的,所以工具集所提供的都是审计过程中常常会用到的攻击方法。

SET 在不断更新和发展,又增加了一些其他的攻击方式,还增加了一个传染性媒体生成器。传染性媒体生成器允许用户创建带恶意文件的 DVD、CD 或 USB,这些传染源可以混杂在目标对象的办公大楼里。当它们被插入计算机时,将触发恶意负载程序的执行,从而开启受害人机器的入侵之门。

SET 也能创建简单的负载和相应的监听器。如果社交工程测试人员想要通过一个提供反向会话功能的 EXE 可执行程序连接回他的服务器,可以在审计过程中携带一个 U 盘。如果面前的机器是他想要远程访问的,便可将 U 盘插入,导入负载文件,然后点击运行。这样可以在目标机器和他自己的机器之间建立起一个快速连接。

有一种较新的攻击方式叫 Teensy HID 攻击。Teensy 设备是一个小的可编程电路板,可嵌入键盘、鼠标或其他可连接电脑的设备。

SET 可对 Teensy 编程,设置这个小电路板在插入电脑时将执行何种命令。常见的命令包括创建反向会话或监听端口等。

SET 的其他特性还包括它提供了一个 Web 界面。这意味着 SET 会自动启动 Web 服务器程序,从而更易于应用。

基于电话的攻击工具

人人都有手机的时代,这样的工具会非常“高效”。智能手机的普及意味着越来越多的人在手机上储存密码、个人数据和私人材料。这可以更方便社交工程人员通过不同场合接触目标以获取更多数据。

假设一下,如果我已经了解到你是一位刚入职不久的新员工,什么样的电话最容易让你立即接听?当然是从“公司总部”打来的电话,而且你会毫不犹豫地提供信息。

苹果和安卓手机都有可利用的应用程序可以将来电显示号码篡改成任何号码。利用这类应用程序,社交工程人员能够以较低的成本将自己的拨号伪装成任意号码。

篡改来电显示

主要是篡改目标的来电显示信息,也就是说,让对方屏幕上出现另一个号码。使用这种方法的基础是需要首先得知目标人最可能立即接听、且毫无疑问准确回答你需要的问题的号码。还记得我们在伪装系列中介绍的人性懦弱吗?在这里就派上用场了,只要你能伪装成比目标人的等级更高的威权人士,就能操纵对方做你需要的事。

SpoofCard

这是一种很流行的篡改来电显示的方法。使用这张卡可以冒充随卡提供的800个号码,输入 PIN码和希望显示的号码,然后输入想拨打的电话号码就可以了(在这里看到视频介绍)。

SpoofCard 还有其他有趣特性,比如对通话内容进行录音、伪装成男声或女生等。这些特征大大提高了拨号者的伪装能力,可以借此欺骗对方提供有用信息。

SpoofApp

苹果、安卓和黑莓智能手机上都有大量可以伪造来电显示的应用程序。SpoofApp 是将 SpoofCard 技术实现在软件包里了。

不用真的拨打指定的号码,只需在应用程序中输入想要拨打的号码,然后输入想要显示出来的号码,SpoofApp 就会和目标建立连接,而目标电话上显示的就是你刚才输入的伪装号码。操作非常简单。

以上两个工具不建议做高度敏感的攻击操作,因为数据在第三方手里。没关系,还有另外一个可以避免这一问题。

Asterisk

如果你有一台多余的计算机和一个 VoIP 服务,就可以使用 Asterisk 服务器来篡改来电显示。Asterisk 服务器的运行机制和 SpoofCard 非常相似,只是篡改来电显示的服务器不一样。在这种情况下你使用的是自己的服务器。这点很有吸引力,因为它提供了很多自由,不必担心线路中断或时间耗尽。

在这里看到详细介绍:https://www.social-engineer.org/wiki/archives/CallerIDspoofing/CallerID-SpoofingWithAsterisk.html

Asterisk 的优点在于免费、安装好后使用简单、并且具有很大的灵活性,你完全可以自己控制它 — — 个人信息和账号数据就在你手里,而不是在任何第三方手里。缺点在于不仅需要额外的计算机或虚拟机,还需要您熟练使用 Linux,此外还需要一个 VoIP 服务提供商。如果你的计划很强大,这些东西完全值得搞定!

密码分析工具

密码(口令)分析工具能够帮你分析目标及其可能使用的口令。在目标信息收集完成后下一步就是要分析其可能使用的口令和可攻击他的方式。社交工程人员可以构建一个潜在的口令列表用于暴力破解。从工具角度上看,构建可能的口令列表可以加速攻击。

这一小节介绍几个密码分析工具。

在网上公开个人资料的人数是非常惊人的,公开的信息各种各样,关于自己、家庭以及生活琐事、随时随地的内心所想等等。基于人们在社交媒体上泄露的消息,以及在网络上可以找到的其他信息,凭借下面将要讨论的工具,社交工程人员可以勾勒出某些人的全部生活。

1、通用用户密码分析工具

通用用户密码分析工具(Common User Password Profiler — CUPP)可以使密码分析工作更加简单。Murgis Kurgan 或称为 j0rgan 开发了这个神奇的小工具。它是包含在 BackTrack 渗透测试工具中的一个脚本,也可以通过 www.social-engineer.org/cupps.tar.gz 下载。

密码强度就是猜测、使用加密技术或自动化测试库破解密码的难度。弱口令可能非常短或只使用数字和字母字符,这样就很容易破解。弱口令也很容易被那些对用户进行分析的人直接猜到,比如生日、昵称、住址、宠物或亲属的名字,或者 God, Love,money, password 等常用单词。CUPP 之所以能是一个完美攻击工具不过是因为太多人一直在使用弱口令,即便这么多年来所有安全专家都在强调密码强度的重要性、密码管理器的重要性(摊手)。

以下是源自 BackTrack4 中使用 CUPP 会话的内容。

请注意,根据所提供的资料最后创建了包含 13672 个密码的字典文件。此类工具的作用在于减少了社交工程人员猜测密码的工作量。

2、CeWL

其开发者的描述是,CeWL 是一个 Ruby 应用程序,它可以通过给定的 URL 进行指定深度的搜索,并可扩展到外部链接,最终生成一个可用于密码破解的字典文件,John the Ripper 等密码破解工具可以使用这个字典进行密码破解。有关 CeWL 的更多资料可以在这里找到:www.digininja.org/projects/cewl.php

下面看一下在 BackTrack4 中使用的情况。

root@bt:/pentest/passwords/cewl# ruby cewl.rb
— help cewl 3.0 Robin Wood (dninja@gmail.com)
(www.digininja.org)
Usage: cewl [OPTION] … URL — help, -h: show help — depth x, -d x: depth to spider to,
default 2 — min_word_length, -m: minimum word length, default 3 — offsite, -o: let the
spider visit other sites — write, -w file: write the output to the file — ua, -u user-
agent: useragent to send — no-words, -n: don’t output the wordlist — meta, -a file:
include meta data, optional output file — email, -e file: include email addresses,
optional output file — meta-temp-dir directory: the temporary directory,default /tmp -v:
verbose URL: The site to spider.
root@bt:/pentest/passwords/cewl# ./cewl.rb -d 1 -w pass.txt http://www.targetcompany.com/about.php
root@bt:/pentest/passwords/cewl# cat passwords.txt |wc -l 430
root@bt:/pentest/passwords/cewl#
这是针对某个目标公司网站使用 CeWL 的案例,从其网站的一个网页中产生了430个可能的密码。

CUPP 和 CeWL 只是用来帮助分析和生成潜在密码的诸多工具中的两个。你可以运用这些工具做一个有趣的实验,输入自己的信息,看看你的密码是否能够被生成。能够帮你清楚地认识到密码安全的重要性。

总结

正所谓“好马配好鞍,良将配宝刀”,技术工具是社交工程的重要方面,掌握工具的功能并且能熟练使用它们就是决胜的关键。

工具不仅包括软件,也有硬件工具,比如可以用来很好的跟踪他人的硬件工具:SpyHawk,就是一个超级 GPS 跟踪器,功能强大,轻便易于隐藏,安装附带的软件也很简单。该设备有强磁性,可以吸附在金属表面上。该硬件附带的软件可以在谷歌地图上清晰显示目标的动态,随日期时间显示,非常直观。跟踪器数据采集对社交工程攻击来说大有裨益。了解到目标的位置及停留的地方,攻击者就可以确定在何处复制 RFID 证件或者取得钥匙模印。

我们的唯一要求是,您的目的必需是正义的!您需要有足够的道德感,绝不能使用这些工具迫害善良的好人。不论您是调查记者、开源情报分析师还是捍卫公民权的组织和个人,这些工具都能发挥极大的良性作用。

反抗绝不是简单的异议,反抗需要充分的知识技能、高超的心智和实战经验。我们相信中国的读者非常聪明,足够领略到这些意义。

短短一篇文章不可能将所有社交工程工具包含进去,以上属于仅举几例,但已经足够使用。充满智慧的您还可以自己开发出各种各样顺手的工具,就像我们曾经在 #OSINT 演示中呈现的那样。要想成功,光靠武器还不够,您必需更多的练习、练习、再练习,直到身体和“武器”浑然一体

信息收集:决胜的根基 — — 技术和技巧依旧是关键(上)

英国人常说,没有什么信息是不相关的。这句话很有道理。即使是最微小的信息也可能促成社交工程人员的成功入侵 :蛛丝马迹钓大鱼 🤔
“战争的胜利百分之九十取决于情报”
如何获得?
英国人常说,没有什么信息是不相关的。这句话很有道理。即使是最微小的信息也可能促成社交工程人员的成功入侵 — — 蛛丝马迹钓大鱼。

渗透测试领域的大师 Mati Aharoni 有一个亲身经历。他的任务是入侵一家在网上查不到什么信息的公司,于是依赖互联网直接的开源情报就不行了。

通过大面积搜索他发现这家公司的一位高管的电子邮件地址出现在了一个集邮论坛上,通过浏览总结出,这位高管对20世纪50年代的邮票表现出了浓厚的兴趣。于是 Mati 迅速建立了一个域名,然后从谷歌上找来一堆20世纪50年代的邮票图片。他很快创建了一个“个人网站”展示他的“集邮册”,然后编写了一封电子邮件发给那位高管。

是这样的:

亲爱的**先生:我是 www.forum.com 的网友,发现您对20世纪50年代的邮票很感兴趣。最近我的祖父去世了,给我留下了一个集邮册,我想出售这本集邮册,于是建立了一个网站,如果您想看看的话,请访问:www.stampcollection.com
在发送这封邮件之前,他想要确保产生最大的影响。于是他在论坛上找到了该官员办公室的电话号码,给他打了个电话,说的就是邮件中同样的内容。

目标很急切地等着看到那些邮票,于是稍晚些时候邮件到来时很快就被点击打开了。Mati 将一个恶意帧嵌入到网站页面中,帧中的代码会利用当时很“流行”的IE浏览器已知漏洞,使攻击者立刻能控制目标人的计算机。公司系统的边界防御就这样被打开了。

仅仅是一条微小的信息 — — 受害人在寻找邮票时留下的公司邮箱地址 — — 就导致了这次入侵的发生。所以说,没什么信息是完全不想干的。那么,

怎样收集信息?
社交工程人员收集信息可以利用的资源有哪些?
如何利用收集到的信息进一步描述目标?
如何对这些信息进行定位、储存及分类,才能够使之更易于使用?
这些只是需要解决的问题的一小部分。在信息多如牛毛的社交网络上,人们可以轻而易举地与其所选择对象分享自己生活的方方面面,这便使潜在的破坏性信息比任何时候都要多。

收集信息

收集信息就像盖房子,如果从屋顶盖起是不可能成功的。一栋坚实的房子需要先打下坚实的地基。收集信息时不用总想着怎么组织和运用这些数据,创建一个文件或信息收集服务才是当务之急。

有很多现成的工具可以帮助收集和运动这些数据,比如 BackTrack 就是专门为这一目的设计的。和大多数 Linux发行版一样它是免费、开源的,最大的优点是集成了300多款安全审计工具。BackTrack 还支持 Live CD 和 Live USB 启动方式,用户可以直接从移动介质启动该系统而不用将系统安装在硬盘上。

BackTrack 工具软件分成12大类:

Information Gathering(信息收集)
Vulnerability Assessment(漏洞评定工具)
Exploitation Tools(攻击工具)
Privilege Escalation(用户提权)
Maintaining Access(维护登录)
Reverse Engineering(逆向工程)
RFID Tools(RFID工具)
Stress testing(压力测试)
Forensics(取证)
Reporting Tools(报告工具)
Services(服务)
Miscellaneous(杂项)
BackTrack 提供的工具质量非常高,其中许多都能与同类商业软件媲美,甚至高过后者。最为特别的两个适用于信息收集和储存的工具是:Dradis 和 BasKet,接下来分头说说。

使用 BasKet

BasKet 从功能上看有点像记事本,但比记事本强大太多了。可以从 http://basket.kde.org/ 上免费下载,网站上有详细介绍,安装很容易,界面也不复杂,很容易上手。屏幕左侧鼠标右键选择“New BasKet“ 会添加一个新的”BasKet“,用以保存数据:

新建好后可以往里面复制/粘贴数据,添加屏幕截图,甚至可以添加 OpenOffice 办公软件或其他类型的图表数据。

BasKet 组织和展示数据的方式是它的优势之一。你可以为不同类型的数据建立不同的 BasKet,例如域名查询数据、社交媒体信息等,然后使用 Google Maps 或者 Google Earth 获取目标的建筑和设施图片,保存到 BasKet 中。信息收集完成后快速提取和使用这些信息也很简单,比如下面这样,一个接近完工的 BasKet,其中有许多有用的信息和标签。

尽可能往里面放信息,因为即便蛛丝马迹也很可能是非常有用的。收集的方向包括目标的网站内容、域名查询信息、社交网络、照片、各种形式的联系方式、简历、论坛、爱好等等一切与目标有关的信息。

收集完成后点击 BasKet 菜单,选 Export,将整个 BasKet 导出为 HTML 网页文件。对生成报告和共享合作非常有用。

使用 Dradis

尽管 BasKet 是一个非常好的工具,但如果你要收集的信息很多,或者需要一组人共同完成信息收集、储存和调用操作,那么就需要一款能够供多用户共享数据的工具,就是:Dradis。

根据 Dradis 开发者的描述,Dradis 是可以提供信息中央储存的独立 Web 应用,可以统一管理需要收集的信息。也是免费开源的,可以在这里找到:http://dradisframework.org/ 。Dradis 可以安装于 Linux、Windows 和 Mac 等不同系统上,网页上有详细的安装配置说明。

安装并设置好后就可以浏览你分配的本地主机和端口,或者使用标准的 3004.只要打开浏览器在地址栏中输入 https://localhost:3004/ 即可登陆使用。

注意左上角的添加分支“Add Branch”按钮,点击后就可以像使用 BasKet 那样添加信息了,如备注、图片等等,甚至可以直接导入笔记数据。

上述只是用来收集信息的两款小工具。不论操作系统是什么 Mac, Windows, or Linux,你都能找到相对应的工具,重要的是要用起来顺手,能处理大规模数据。Mac 和 Windows 自带的记事本和文本编辑器是无法满足需求的。

信息源

信息将产生于各种不同的来源,以下只是一些常用来源的介绍,需要根据您寻求的情报目的,找到最适合挖掘信息的渠道。

网站上的收集

公司和个人的网站是信息的重要来源,花点时间是完全值得的,可以帮你清除地了解目标的基本情况:

他们做什么?
他们提供什么产品和服务?
地理位置?
招聘信息?
联系电话?
执行官和董事会成员的简介
支持的论坛
电子邮件命名规则
可能用于密码分析的特殊字符或短语…
个人网站是更有意思的事,上面的内容可能涉及他们生活的方方面面:孩子、房子、工作等等。将这些信息分类储存,因为可以用于日后的攻击。

同一个企业的员工往往会登陆相同的论坛,有着类似的兴趣,甚至会喜欢相同的社交网站。如果你在 Linkedin 或者 Facebook 中找到一名员工,很可能就能找到他的好几个同事。很多人会在社交网站上使用标签的形式展示自己的职位,可以帮助社交工程人员勾勒出该公司某个部门的规模及其组织架构。

1、搜索引擎

我们介绍过一些简单的谷歌渗透测试方法,在这里找到《高级运算符辅助开源调查》,它也可以用于社交工程攻击的数据收集(这不是全部,将来还会陆续介绍)。这篇文章的目的是希望说明,熟悉搜索语法是非常关键的,可以帮助你更快速精准地找到有用信息。

但要知道,提供如此惊人的数据挖掘的不止谷歌一家。一位叫 John Matherly 的研究人员发明了一个叫做 Shodan 的搜索引擎:其特殊之处不仅在于它能提供针对服务器、路由器和特定软件的搜索功能。

这个搜索引擎重申了一个道理:网络上有惊人的数据量可供社交工程人员和开源调查分析师查询和分析,以提升信息收集的能力。

2、Whois 域名信息查询

Whois 能提供域名数据库查询服务。Whois 数据库中有很多有价值的信息,有些时候甚至包括网站管理员的网站联系方式。

使用 Linux 命令行工具或者登录 www.whois.net 这样的网站,都可以查询到域名的注册信息,包括联系人、电子邮件地址、电话号码、甚至 DNS 服务器的 IP 地址。

域名注册信息可以很好地帮助你了解目标公司,特别是他们的服务器。这些信息都可以用于发动强大的攻击。

3、公共服务器

企业对外的公共服务器往往会提供网站所没有的很多信息,比如服务器的操作系统、安装的应用程序和 IP 地址,这些信息可以大致反映企业的信息服务架构。了解平台和应用程序之后,便可以和域名组合在一起,在公开技术论坛上进一步搜索相关的配置信息。

IP 地址可以说明服务器是在本地还是从提供商处租来的;通过域名解析记录可以看出服务器的名称、功能,以及 IP 地址的分布。

值得一提的是端口扫描(使用诸如 NMAP 或者其他端口扫描工具去定位公共服务器的开放端口、软件版本和操作系统类型等)在有些地区是违法的。当然,如果是收费的安全审计,这些细节在合同中都应该写明白。对社交工程人员来说应该熟知当地法律,尽可能避免出师未捷。

4、社交媒体

这个就不用多说了哈,我们在 #OSINT 信息搜集演示中最多介绍的就是社交媒体挖掘。社交工程攻击也一样,只是目的不同。

Crips 是一个在线 IP 工具的集合器,可以用来快速获取有关 IP 地址、网页和 DNS 记录的信息 , 支持 windows/linux,在这里看到介绍视频。功能包括:

Whois lookup //whois 查询
Traceroute //使用 mtr 高级 traceroute 工具跟踪 Internet 连接的路径
DNS Lookup //使用 dig DNS 工具查找域名的 DNS 记录
Reverse DNS Lookup //查找 IP 地址或 IP 地址范围的反向 DNS 记录。
GeoIP Lookup //使用 GeoIP 工具查找 IP 地址的位置
Port Scan //简单的 TCP 端口扫描可快速确定面向服务或防火墙的 Internet 的状态。
Reverse IP Lookup //通过反向 IP 查找来发现共享IP地址的网络主机
INSTALL & UPDATE //安装&&升级
5、个人网站和博客

比如 www.icanstalku.com 这样的网站,别误会它的名字,不是鼓励人们去跟踪别人,它跟踪的是那些毫无防范意识的 Twitter 用户。它可以遍历整个 Twitter,寻找那些蠢到用自己的智能手机拍摄照片并上传的人。依旧有为数不少的人没有意识到智能手机拍摄的照片会暴露 GPS 数据,有目的的攻击者就可以借此追踪你。(这类愚蠢的行为在微信几乎遍地都是)

像 ICanStalkU 这样的网站强调了信息泄漏的危险。这些信息可以被利用来诱骗、欺诈、勒索、入室盗窃、拦路抢劫。这里有一个真实的故事《Twitter Connection to Home Robbery》

对社交工程攻击来说,不同类型的信息可以帮助你全面了解目标。人们太喜欢在 Twitter 上分享信息了,正在哪里、和谁在一起、正在做什么……Facebook 这种可以用来分享照片、个人故事和其他相关信息的网站是社交工程攻击的金矿。只需片刻功夫就能找到目标人的住址、照片、工作学习状况、兴趣品味、情绪特点等等一系列有可能致命的信息。

社交网络也非常适合伪装(详见我们此前关于社交工程攻击中伪装的技巧介绍),这个故事中描述了社交工程攻击者利用 Facebook 诱骗目标人的成功案例《人性弱点》。合适的伪装技术非常容易得手,还记得我们在“劝导术”系列文章中介绍过的《想象中的美女》吗?如果你能让目标人“认为”你是一个什么样的人,对方就能表现出你预期的“状态”,从而达到你的目的。

6、其他

其他信息收集来源与开源调查依旧很相似,也有些不同。比如公开的报告,目标的内部或外部的信息,包括季度报告、政府报告、分析报告及交易和收入信息等等,也是开源调查最常用的信息来源。这里的重点不仅仅是搜集,更重要的是分析。目前中国的评论文章 99% 没有有效的情报分析,人们太喜欢口水战了,这是极大的资源浪费。

对社交工程人员来说更需要注重的是观察的能力。虽然观察称不上社交工程攻击工具,但简单的观察就能帮你收集到很多目标的信息。目标人使用钥匙、门禁卡还是其他方式进入重要地点?这附近哪里有指定的吸烟区?垃圾桶有没有上锁?大楼内部哪些位置有摄像头?供电系统和空调机组等外围设备的维修公司是哪家?等等,这些信息都能给社交工程人员带来极大的便利。

这些问题只是几个例子。信息收集工作必需能包括仔细的观察,有必要的话使用隐形摄像机(装在领带上的那种,或者在帽子上)录制下来。回去后慢慢分析,很有可能研究出你在现场时完全没意识到的细节。你的知识量会暴增。

另外,垃圾桶攻击就不介绍了,非常简单,因为太多人不注重垃圾的重要性,一些要命的资料文件副本随便撕几下就扔掉了。条形碎纸机根本没有一点意义,稍微花点时间就能重新拼凑起来(下图第一个)。要想防止垃圾桶攻击,你应该使用双向碎纸机(下图第二个)没人能复原那样的粉碎品。

有些单位甚至直接将粗略粉碎后的垃圾交给第三方处理,之后就不管不问了。这就为社交工程人员提供了极大的便利。你可以轻而易举地冒充成回收垃圾的工作人员找到该服务的提供商。

有些时候甚至不需要翻找垃圾也能得到非常致命的信息。很多人认为国防那种专业的单位部门肯定非常重视这些细节吧?那可不一定。加拿大反恐部队就是个典型的例子。他们计划建造一栋办公大楼,然而这栋楼的一些规划蓝图副本被当作垃圾扔掉了,甚至都没有粉碎过。图中清晰地标注着监控摄像头的安装位置、围栏位置、警报器、甚至很多绝密的信息。幸亏发现这张图的人没有恶意,或者后果不堪设想。

下篇文章还会继续介绍工具。总之,我们需要您拥有正义的目标、道德感和良知,做正确的事。技术实力就是您绝佳的武器。

击败骗局 — 9个防御技巧

我见过的社交工程中一个比较令人难忘的例子是这样,见视频:


在这段视频中,攻击者播放婴儿哭声的录音,同时打电话给手机公司,以便获得一个完全陌生的人的帐户。

因为她假装自己是陌生人的新婚妻子,带着一个哭闹的婴儿,整体伪装为匆忙而混乱,这是为刺激对方的同情心。结果,手机公司不仅允许她访问帐户上的电子邮件,而且还允许她更改该人的密码!

所以现在,那个受害人甚至无法访问自己的帐户。

有了这些信息,攻击者现在可以在线访问受害人的帐户并查看他所有的个人私密信息。

让我们面对现实,我们中大多数人都会在手机上保留一些非常私人的信息。攻击者可以访问目标人的照片、帐户信息、位置等等一切最致命的东西,这无疑是相当危险的。

渗透测试人员就是使用这些方法向易受害的目标个人或群体展示这些攻击的破坏程度。测试人员被这些群体和个人聘用,以测试通过社交工程攻击获取最致命信息的难度。

那么,抵抗那些真实的攻击有多难?社交工程攻击有数千种变化。

以下是一些简要的防止陷入社交工程陷阱的方法:大多数犯罪分子利用人类的善意、使用分心术、以及高超的伪装术,进行渗透。

9 种避免社交工程攻击的方法

1.)怀疑任何未经请求的消息或服务人员。

如果电子邮件/电话/人 看起来像是来自与您相关的公司,请仔细甄别。

使用搜索引擎转到真实公司的站点或电话目录以查找其电话号码。

如果一个不知名的人声称来自合法组织,请尝试直接与该公司核实他或她的身份。弄到一个假徽章或假身份证非常简单,所以,不要被“看起来”合法的人所欺骗。

如果是电子邮件,请谨慎点击其中的链接和附件 — — 这点似乎目前在中国普及的非常好。但是,如果您拒绝点击一切链接和附件,肯定会耽误正常的工作和交流。IYP 已经遇到了多次由于不敢点击链接而失去接受我们的服务的读者,这是很遗憾的。

事实上您完全可以随意点击任何链接,而不必担心被恶意伤害,我们介绍过这一方法,它操作起来很简单,详见《系统被攻击、用 Tor 被钓鱼、好奇害死猫,怎么办?- 把危险隔离出去》

2.)慢下来。

注意周围环境。诈骗者最希望的就是你先行动而后思考。

如果有人传达紧迫感、或使用高压销售策略,请持怀疑态度;永远不要让他们宣传的紧迫感影响你的仔细审查。

3.)拒绝帮助或提供帮助的请求。

合法的公司和组织一般不会主动与您联系以提供帮助。如果您没有特别要求发件人提供帮助,请考虑“帮助”的可靠性如何,比如房产再融资、回答问题、检查打印机、寻找白蚁等等,其中有可能隐藏欺诈行为。

同样,如果您收到与您没有关系的慈善机构或组织发送的帮助请求,请将其删除。

4.)删除或忽略任何关于财务信息或密码的请求。

如果您被要求回复包含个人信息的邮件,那就是骗局。

5.)不提供信息。

除非您确定某人拥有获知该信息的权限,否则请勿提供有关组织的个人信息,也包括组织结构或网络。即使是看起来非常平凡的信息也不一定那么简单,我们在攻防演示中进行过这类展示。详见上述列表中的文章。

另一个很好的例子就是当你打电话给银行(或其他重要组织)时,他们会问你:“你还住在****吗?不要回答这样的提问。

6.)在检查网站安全性之前,请勿通过互联网发送敏感信息。

注意网站的 URL!恶意网站可能看起来与合法网站相同,但网址可能会使用拼写或其他域名的变体(例如 .com与.net)。

⚠️我们曾经介绍过针对异议人士的邪恶攻击,其中就利用了变体 URL,详见《⚠️ 大型网络钓鱼攻击活动专门针对注重隐私的用户,成功绕过双因素身份验证》

7.)不要过在社交媒体上发送关于个人和组织的任何信息!

在社交媒体上分享过多信息很可能会使攻击者通过您的帖子猜测到密码、或提取个人或公司的机密信息。

如果你说的太多,就会给发送着提供更多的弹药。假设我能找到某人正在休产假的消息,我就可以制作各种其他细节,以使我的社交工程攻击看起来更合法。

所以,搏击俱乐部规定第一条:不要谈论搏击俱乐部!

8.)安装和维护防病毒软件、防火墙和电子邮件过滤器,以减少在线的部分流量。

使用安全产品非常重要!详见我们汇总的安全知识和技术《安全手册:这里是你需要的几乎所有安全上网工具》

9.)小心你的信任

人们天生就倾向于信任并乐于助人,人们很愿意相信你告诉他们的一切。这对人们来说很好,会很舒适,但是,当我意识到自己也是同样的方式时,我会感到害怕。我们需要善意待人,但也要努力甄别是否存在恶意。

这些提示适用于商业和个人生活领域。事实是,人们需要接受培训,因为人是任何安全应用中最薄弱的环节。

公司应该至少采用面向每个用户组(最终用户,IT员工,经理等)的双年度培训,以便每个人都能了解最新的攻击形式。毕竟,这些攻击并非针对“技术”员工,而是任何员工 — — 包括清洁工,因为垃圾中有重要的未被处理干净的有用信息,有些可以是致命的。攻击者明白最薄弱的环节是受教育程度最低的人。

员工也应该通过外部聚会(如BHIS的优秀测试人员)进行社交工程攻防测试。这些类型的测试有助于让员工保持警惕,能更好地避免商业和个人生活中的攻击。

只有自己学会伪装才能识破伪装者 — — 社交工程学攻防知识(下)

很钦佩中国人的智慧,连一条鱼都可以三种吃法;那么一项技能也肯定有完全不同的多种用法,这就是我们提供知识的目的:请开动脑筋。继续上周的话题:更详细介绍关于伪装的方法

继续前文。如果您还没有读过,在这里看到《如何让自己变成另一个人? — — 社交工程学攻防知识(上)》

2.5 伪装得越简单效果越好

越简单效果越好,这一点都不夸张。如果伪装有错综复杂的细节,以至于忘记了任何一个细节都会导致失败,那么就真的会失败了。保持故事情节、事实和细节的简单性。就能增强可信性。

人际欺骗领域最有名的心理学家和研究人士 Paul Ekman 博士曾经发表了一篇文章题为《失败的谎言》,其中写道:

很多时候你没有时间去准备,进行练习和记忆。就算事前有充分的预案,也有可能突然冒出一个不能预见的方向。你可能很聪明,但是也很难预见所有可能被问到的问题,于是很难预备所有答案。光有聪明的头脑是不行的。而且,即使不是为情势所迫改变方向,某些撒谎者也会由于记忆问题而想不起前面的描述,结果就不能快速解答新的问题。

这个重要的观点将为什么越简单越好,解释得非常清楚。如果伪装得很复杂,努力去记住所有内容几乎是不可能的,一个很小的错误就能毁掉你的全部。

你必须记住一切事实,并且不要过分追求细枝末节。一个简单的伪装允许故事发展,并且允许目标运用想象去填满那些空隙。切勿试图将伪装做得很精致,但必须牢记伪装中的关键细节。

并且 — — 我们曾经提到过那个方法 — — 专业的罪犯和骗子们会使用一些伎俩,包括故意出错。这个想法是基于“人无完人”而建立的,一些小错误会让人感觉你更真实。如果运用这个策略,就必须留心你决定去犯的那些错误,虽然这确实能使对话更自然,但是也增加了伪装的复杂性。还是建议少用这一花招,如果有必要使用,要让它尽可能简单。

2.6 伪装必须显得自然

要想让伪装显得自然,就需要使用如前文中强调的大纲模式,而不是剧本模式。大纲模式下社交工程人员可以自由地发挥,使用太详细的剧本会让你变得很机械。

伪装中可以加入社交工程人员感兴趣的项目或故事。如果每次有人问一个问题或者做出一个论述,你都支支吾吾,需要深入的思考,而不能立即做出明智的回答,你的可信性就会大打折扣。

以下是一些可以让伪装更加自然的方法:

⭕️不要考虑自己的感受:这点很重要。因为通常在伪装时如果想太多就会融入更多的个人情绪,然后恐惧、不安或焦虑就会随之而来,这些都可能导致失败。另外你可能不会经历不安和焦虑,但有可能过度兴奋,这同样会导致你犯很多错误。

⭕️不要把事情太当真:当然,在生活中这就是一条好建议,而且非常适用于社交工程学。作为一名专业的安全人员,你有一份严肃的工作,这是一件严肃的事,但是如果不能笑对自己的错误,就可能会沉默不语,或者在处理后续的小事时如临大敌。我绝不是建议你视安全如儿戏,但是如果你将潜在的失败当作人生中的重大失败,那么产生的压力肯定会导致更坏的结果。只有正确地看待小的失误,才能获得更大的成功。

⭕️学会找到相关信息:即 摆脱思维的束缚,融入这个世界。这是一个非常棒的建议。社交工程人员可能全力计划好了前三个步骤,但是却遗忘了这个关键细节,就有可能会使伪装土崩瓦解。要始终留意身边出现的信息和状况,包括目标的肢体语言、说的话、微表情等,然后将其应用到自己的行动中。

同时,记住说话者能看出什么时候你没有在认真听他说话。这会让很多人感到不爽。每个人都经历过自己的话被别人当耳旁风,你能记得当时自己的感受。也许他们有各自的理由开小差,但这样做的确是非常扫兴的。

一定要注意听目标说的话,集中注意力,你会听到一些对他们很重要的细节,同时也能够获取有助于自身取得成功的信息。

⭕️争取多积累经验。如果您一直在关注 IYP 介绍的社交工程技巧,那么就一定记得其中一个最常出现的关键字就是:多多练习。通过实践去积累经验,要做到能成就伪装,也能识破伪装。抛开死缠烂打的方式,与他人展开简短的会话,可以使你在伪装的时候表现得更加自然。

这些方法绝对能使社交工程人员在伪装中占据优势地位,具备自然的伪装能力可能是一种天赋,但是练习和充分的准备完全可以让没有天赋的人也能做到最好。

2.7 为目标提供逻辑结论或下一个安排

不论你是否相信,事实上,人们都希望被告知下一步该做什么。想象一下,你去看病,医生给你做了检查,并且在纸上记录了一些东西,然后告诉你:“好了,下个月见”。这是让人无法接受的。就算是听到坏消息,人们也希望被告知下一步该做什么。

作为社交工程人员,你要离开目标时,可能需要他采取或不采取行动,或者你已经得到了想要的,只需要离开即可。不论是怎样,这个时候都不能立即离开,你应该给目标一个清晰的结论,否则很可能会令目标怀疑你的目的。

就像医生做完检查却不给你指示,直接打发你回家那样,如果你是社交工程人员,伪装成技术人员进入一栋大楼,在复制好自己想要的文件后一句话不说就走了,肯定会让人怀疑你。甚至有人会立即给你伪装的技术公司打电话,询问究竟是怎么回事,你就露馅了。你必须做一些总结,哪怕很简单也行,要像专业人士那样阐述:“我已经检查了服务器,并修复了文件系统,你们会发现系统在未来几天里运行速度提高22%”,目标就会感觉“花钱值得”。

还要注意的是,你选择的伪装身份必须和你提出的所有请求相一致。如果你伪装成技术人员,就不应该命令周围人做或者不做什么,因为你在为他们服务;如果你伪装成UPS快递员,就不应该要求进入机房。

就如以前提到的,一次完美的伪装需要很多步骤。但对于希望进行完全可信的伪装的社交工程人员来说,这两篇文章中的内容已经足够您使用了。

成功案例

美国历史上最大的银行抢劫案 — — Stanley Mark Rifkin 亲手策划,没有花一分钱、没有使用任何武器、没有任何人质,他一个人轻松带走了1020万美元。

Stanley 是一名电脑极客,在他的小公寓里开了一家电脑咨询公司,他的一个客户是给美国证劵太平洋银行提供电脑服务的公司。坐落在洛杉矶的美国证券太平洋银行总部有55层,看上去就像一个花岗岩和玻璃组成的堡垒。身穿深色制服的保安人员在大厅里巡视,隐形的摄像头监视着所有来访者的一举一动。

这栋大楼看起来无懈可击。那么 Stanley 是如何轻松拿走了这么多钱的?

银行的电汇机制应该是最安全的,每笔电汇都必须输入密码,而且这个密码每天都会被强制修改,只有特定的人才能知道。密码被贴在安全房间的墙壁上,而且只有特定人员才可以进入这个房间。以下是公开资料的描述:

“Stanley 来到美国证券太平洋银行,那里的人理所当然地认为他是计算机工作人员。他乘坐电梯来到电汇室所在的D层,伪装成友好而且和蔼可亲的年轻人,他竟然进入了贴着密码的那个房间……他记住了密码,然后在没人怀疑的情况下离开了。然后电汇室的员工接到了麦克汉森的电话,他自称是该银行国际分部的员工,他正确地给出了当天的密码,要求为纽约欧文信托公司资金账户进行转账。整个过程没有任何怀疑。但事实上,那个麦克汉森就是 Stanley。他取走了1020万美元。”

但这显然是太粗略的描述,完全无法体现其中社交工程学的要点。让我们梳理一下:

为了能够在密码房间里不引起怀疑,他需要足够的自信和镇定;
提出汇款要求,他需要一个足够令人信服的故事,而且需要考虑足够多的细节来自圆其说;
面对可能出现的问题,他必须表现得足够自然;
为了不引起银行员工的怀疑,他的所有表达都需要足够熟练和流利……
这些伪装必须经过细致的安排,要考虑到每一个极其微小的细节。直到遇见了一个前同事,Stanley 才被揭穿。Stanley 被抓的时候,认识他的人都非常震惊,甚至有人强调:“他不可能是小偷!人人都喜欢Mark!”

我绝不是在鼓励抢银行!而是在分析伪装。

很显然,他的伪装是非常到位的。他的计划经过了深思熟虑,安排周详,排练娴熟。他知道自己的目标是什么,每一步都做得非常完美。如果不是很早以前熟悉 Stanley 的人看了新闻后把他认了出来,他是不可能被发现的。

Stanley 的计划是把偷出来的钱变成不可追溯的钻石。为了实现这一目标,他首先需要变身一名银行雇员以拿到钱,然后变身一名钻石收购商将这些现金“洗掉”,最后把钻石卖掉,获得可以使用的、无迹可寻的、干净的现金。

他的伪装不涉及装备和说话方式的变化,却需要依次扮演银行工作人员、钻石采购商和销售商。这其中需要完成3到4次、甚至5次身份转化,他做得非常完美,几乎骗了所有人。

他的行为是不可饶恕的。但是在社交工程领域,他真的是个天才。如果他的能力用在正义的目标上,一定能非常有价值。

小结

伪装通常是专业身份窃贼开始入手的第一步。鉴于身份盗用最近几几年来已经越来越频繁地出现,你真的有必要知道它的原理,以便做到精准有效地识别。

民主派人士队伍中经常出现抓特务的游戏,因为人们意识到当局派来的卧底会潜伏在自己的队伍中。这种警惕性是必要的,但是,如果你使用了不专业不靠谱的鉴别方式,其结果不仅是无法发觉真正的的卧底,更会严重损伤团队内部的互信。得不偿失。当局毫不忌讳宣传他们的群众斗群众策略,就是希望为异议群体制造混乱和恐慌,如果你不能精准识别并引发了内部失信,那就彻底中计了。

尤其是在互联网上的卧底,也许会感觉很难识别,但是这种手段却非常常用,就如前文所介绍的,美国警方假冒活动家潜入社运组织内部钓鱼,事实上匿名者组织也被这样渗透过。但是我们不能因此放弃利用互联网的动员和联合,否则将是因噎废食。

对于中国的反渗透工作来说,鉴别应该不是很难,但是肯定需要时间和精力。此处不方便太多说明,原因很简单,当局也在关注着这些公开发表的内容,一旦写明,其方法立刻就会失效,因为对手会迅速调整策略,以防止自己被发现。于是,如果您对此感兴趣,请努力研究,根据我们提供的社交工程基本知识,结合您的经验,完全可以总结出一套自己的鉴别方法。

就如本系列文章最初强调的那样,伪装的知识并非只提供给防御,它也可以用来作为技巧去追求正义的目标。反抗需要很多技巧,从在线到线下,从数字技术到心理学和社会学,掌握得越多您的行动就会越顺利和安全。最后,还是那句话:重在练习。⚫️

如何使用社交工程来攻击 2FA?

双因素身份认证被认为是相对可靠的保护措施。但是它很可能并没那么安全,使用社交工程伎俩就可以令2FA失败。如何做到的?
如今,许多服务都使用双因素身份验证(2FA)来提高用户帐户的安全性。在大多数情况下,2FA 使用密码和通过短信或电子邮件发送的代码作为验证的两个因素。与仅使用密码方法相比,2FA 显著更强、并提供更好的安全性。

但是,2FA 也容易受到攻击。最值得注意的是,攻击者可以使用社交工程策略绕过2FA并侵入用户帐户。因此,重要的是要充分了解社交工程如何运作以及如何最好地应对社交工程。

作为一名安全专家,您可能已经知道这一点,但您组织中的大多数人可能都不知道。社交工程利用人类行为特征、思维弱点和心理学以实现有效的攻击和入侵。通过使用情绪触发器、以及其他心理策略,攻击者可以说服用户放弃他们的个人信息和其他致命的细节。

正因为社交工程使用的是人类心理学基本特征,所以并没有万无一失的反击方法。几乎没有软件或工具可以有效阻止社交工程攻击。

这就是为什么人类是反对社交工程攻击的第一道也是唯一的防线。如果用户知道社交工程攻击是什么以及如何执行,就更有可能识别它、并且不会因此陷入困境。

反社交工程的第一步是了解它的运作方式。以下是攻击者可以绕过双因素身份验证的一些最常见的情况。

攻击者使用各种策略来执行社交工程攻击。说到 2FA,两种最常见的社会工程攻击类型遵循下面解释的方案。

场景1: 攻击者知道您的用户名和密码

数据泄漏在当今的数字世界中是很常见的。即使是大公司和在线零售商也会受到影响。在此类数据泄漏期间,大量的用户数据(包括登录用户名和密码)被转储到黑客站点上。

任何攻击者都可以访问这些数据并获取您的登录凭据。但是使用双因素身份验证的话,攻击者就无法仅使用用户名和密码来登录。因此,攻击者会使用社交工程来获取第二步验证的代码。

在这种攻击期间,攻击者可以向用户发送警告消息。此消息说明了以下内容:如果IP不属于您,则您的用户帐户已从可疑IP地址访问,请使用发送到您的号码的验证码进行回复。

在幕后,攻击者使用您的用户名和密码登录该服务。然后该服务会将验证码发送到您的手机。

如果用户使用验证码响应了那个虚假的警告消息,则攻击者就能够使用它来绕过2FA的第二步。登录后,攻击者还窃取会话 cookie 并对用户帐户进行完全未经授权的访问。

场景2:攻击者没有任何用户数据

现在考虑这种情况。攻击者不知道您的用户名、密码、电话号码或验证码。而且,他仍然可以使用社交工程攻击来获得所有这些信息,以及更多致命信息。

这种类型的攻击使用钓鱼网站 — — 伪装成真正网站的虚假网站。网络钓鱼网站通常使用与真实网站十分相似的网址,仅仅差一个字母的区别,例如 Gmaiil. com 而不是 Gmail. com 或 LunkedIn. com 而不是 LinkedIn. com。

攻击者会首先创建一个有说服力的电子邮件,看起来它来自您认识的人或来自服务本身。该电子邮件的链接看起来很真实,并且您被要求登录。一旦您点击该链接,您将被带到虚假网站。

在假网站上,系统会要求您提供登录用户名和密码。当您提供这些详细信息时,攻击者会使用它们在真实的登录网站上登录。真实的网站会向您的号码发送验证码。当您在虚假登录站点上输入此代码时,攻击者也会获取代码并使用它来完成真实网站上的登录。

通过这种方式,攻击者就能够绕过 2FA 并获得对服务或网站上的用户帐户的访问权限。

现在我们已经看到攻击者如何使用社交工程来绕过 2FA,现在是时候探索可以防止社交工程黑客的一些方法了。使用这些工具和技巧,您可以自己避免社交工程陷阱,并指导工作场所的同事和其他朋友。

1、安全密钥是 2FA 中使用的另一种身份验证形式。这些是包含带有一个或多个密码的硬件芯片的物理密钥。这些密码由服务识别,并被接受为身份验证中合法的第二个因素。

安全密钥还具有内置机制,用于在提供存储在其上的密码之前确定网站是否合法。通过这种方式,它们可以防止网络钓鱼网站和虚假登录页面获取用户登录信息。

2、大多数社交工程策略使用网络钓鱼攻击和会话劫持来获取用户详细信息。高质量的安全 VPN 可以加密数据流量并保护浏览会话。这减少了社交工程攻击的可能性。

VPN 还可以有效抵御针对虚假站点使用 HTTPS 的高级网络钓鱼和社交工程攻击。您必须投资信誉良好的 VPN 才能获得对社交工程的良好保护。这是因为即使是一些著名的 VPN,例如Avast Secureline,也会出现严重的漏洞。在这里看到安全VPN的一些推荐《安全手册》

3、防范意识是对抗社交工程的最重要方式。了解社交工程是什么以及如何工作的用户通常可以更有效地避免社交工程攻击。

组织和团队可以投资于社交工程意识培训,以使其成员能够抵御社交工程攻击。渗透测试和模拟场景是帮助用户了解社交工程如何工作的好方法。

您非常有必要让您身边的人与您保持一致的安全意识和习惯,否则他们中的任何一个人都有可能将您和您的整个团队拉入火坑。

如何克服社交焦虑

如果我们无法巩固现实中的人际关系,就更加容易深陷算法的世界而被控制。并且,越是沉迷于互联网交流,人们就容易在现实中难以找到完好的社交关系。怎么办?其实答案很简单
我和很多技术工程师一起工作,他们认为自己是内向的。内向型这个词经常被误用来描述从害怕公开演讲到真实社交焦虑的状况。我认识这些工程师,因为我曾经是他们中的一员。内向被认为是工程师的“标准性格”。如今我仍然会把自己描述为一个内向的人,但我已经能够克服对公开演讲的恐惧,克服社交焦虑,以及两者之间的所有限制性信念。

我看到社交焦虑限制了当前最优秀的工程师。由于社交焦虑,许多工程师害怕进入领导岗位。社交焦虑是一种精神状态,日常社交互动会导致非理性焦虑。

“我不能成为领导者,因为我不能在人群面前说话。”“我是一个内向的人,所以我太害羞,无法领导一个团队。”“我的团队认为我是个白痴“……

我听到了一些我曾与之合作过的最杰出的工程师的这类自我贬低的评论。这些评论都来自非常优秀的工程师,这就是一种深度的受限。

你有这种问题吗?如果我们无法巩固现实中的人际关系,就更加容易深陷算法的世界而被控制。并且,越是沉迷于互联网交流,人们就容易在现实中难以找到完好的社交关系。

怎么办?其实答案很简单,就是暴露疗法。

暴露疗法就是字面上的意思,即 对那些引起焦虑的情况的小增量暴露的概念。这就是我克服社交焦虑的方式,你也可以做到。以下是您可以立即尝试的一些小增量曝露。

主动问时间 — — 如今我们所有人不仅不再打听时间,甚至不再问路,因为我们的手机上就有一切,它就放在口袋里。这就让你失去了与周边人交流的机会。试着打听时间吧,对任何人,然后别忘了说谢谢,并面带微笑。没准可以找到话题继续聊一会。

赞美 — — 如今所有人都在社交媒体上给别人点赞,而不会面对面地赞美他人。而所有人都知道,社交媒体上的“朋友”几乎不会带来任何实质上的帮助。开始面对面地赞美他人吧,哪怕只是竖起大拇指,你一定会能得到热情的回应,甚至主动的搭讪。

说出意见 — — 与另一个人分享您的意见,并征求他们的看法。不一定非得是一个重要的工程理念,只需向同事询问他们最喜欢的IDE(集成开发环境),以及他们为什么如此喜欢它。非常简单对吧,你能从中发现很多可以聊上一阵的话题。

加入小规模的对话 — — 你的同事们正在进行对话,加入他们,礼貌地询问话题。他们不会拒绝的,如果拒绝,那就换一组交流对象。

共进午餐 — — 这是个极好的沟通方式,大企业都知道办公室的咖啡厅时间有多么的重要。和同事甚至一群人共进午餐,不要再单独吃午餐了。共进午餐可以帮你更容易建立一些关系。

这些似乎都是简单的小步骤。当您开始对这些小型的社交活动感到满意时,请转向更多社交情境。届时,您将可以领导大型团队并发表公开演讲。一切有能力的人都不应该被埋没,走出社交焦虑的困境,你能发现非常多的展现能力的机会。好运!⚪️

如何让一个人心甘情愿吐露重要信息? — — 社交工程攻击“诱导的艺术”

如果你真的不想被骗,那就有必要知道该怎么骗人。继续社交工程攻击实践。本文的效果应该是鸡皮疙瘩,如果您读完后没有这种反应,只能怀疑是没能深入理解它……
有效地引导别人把话说出来,是社交工程操作成功的关键。当人们和你交流的时候应该感觉很自在,制造这样的交流环境,人们就更愿意说出真话了。审讯执行者在接受培训的时候也会被这样告知。你也许在电视电影中看到过很多严肃的审讯场面,事实上真正的审讯往往不是那样,一开始审讯者会有意制造气氛让被审者放松情绪,这样才更容易套出真话。

这就是社交工程的伎俩。

你是否碰到过这样的人,简短的交谈后你忽然感觉,“哇,我喜欢这个人”。为什么会这样,你有没有想过?他究竟有什么特质让你产生了这种感觉?是他的微笑、他的长相、他对待你的方式、还是他的肢体语言?或许是他与你的想法及期望值比较接近?他看你的眼神比较平和,没有偏见,你此刻觉得和他在一起很放松。

现在设想你也有这样的潜能,并能掌握这种能力。 请不要以为本文在讲述如何与周边人搞好关系,不,那不是我们的主题。我们想要说的是诱导 — — 让你在下意识的情况下吐露关键(也许是致命)的信息的方法。

诱导是间谍、欺骗大师、和社交工程人员最常用的技术,当然,医生、治疗师和司法人员也在使用。

如果你希望得到保护,免于圈套,或者希望自己成为一名优秀的套话大师 — — 在正义的行动中作为关键能力之一,那么你就有必要掌握这些技巧。

有效地使用诱导会产生惊人的效果。

那么,什么是诱导?

它是社交工程操作中少有的针对个人的强有力的工具 ,也是将它置于社交工程框架顶层的原因之一。仅仅通过这种技巧就能改变人们对你的看法。从社交工程的角度来看,它能改变你在实践中的操作方式。

我们来试试。

诱导的含义

诱导的意思是引出、套出或者得出一个逻辑上的结论( 例如某种事实)。或者,可以将诱导定义为一种引发或者诱发某种特定类型行为的刺激,就如它在“诱供”中的意思。

请再看一遍上述的定义,如果你还没有起鸡皮疙瘩的话,那么只说明理解有误。

想想它的含义。有效地使用诱导意味着你能提出具有诱导性的问题,刺激别人采取你所希望的 行动。对于社交工程人员来说,这意味着有效地使用诱导可以将你说话及提问的技能提升到一个全新的层次。从信息收集的角度来讲,专家级的诱导就是指:目标愿意回答你的任何问题 — — 是心甘情愿的。

我们再深入一些,因为全球的间谍都会使用诱导的技巧,所以很多政府部门会对其公职人员进 行相应的培训并给出警示,即对抗诱导、又能利用诱导达到他们自己的目的。

在美国国家安全局的培训教材中,对诱导的定义是这样的:在貌似正常和平凡的对话中精妙地获取信息。

这样的会话可能发生在任何地方,如餐馆、健身房、托儿所、菜市场……诱导使用起来效果很好,因为其风险较低且通常很难被察觉。 部分情况下, 目标甚至不知道自己在什么情况下就泄漏了信息。如果被怀疑动机不纯,则可以以“不过随便问个问题”为由假装生气、蒙混过关。目标人根本无法抓住把柄。

诱导的效果如此之好的原因如下:

大部分人希望自己看上去比较有礼貌,尤其是对陌生人;
专业人士希望自己看起来见多多识 、很有才气;
如果得到赞赏, 大部分人通常会越说越起劲并泄漏更多的秘密;
大部分人不会为了撒谎而撒谎;
大部分人对貌似关心自己的人会表现得比较友善。
正因为大部分人都有这些特点,这便使得诱导的成功率极高,也使得人们在说起自己的成就时 很容易口无遮拦。下面演示一个实际操作的例子,请仔细看,社交工程师是如何使用套话技术的。

任务:收集某公司(组织/团队)的内部资料;该公司具有很高级别的安保系统。
环境:在当地的一场会议活动中碰到目标人。现场人较多,社交工程师(SE)需要寻找机会靠近目标(T)。这类会议的目的就是为了让人们互相认识,以扩展所谓的人脉,交换名片什么的,就像你知道的那种装逼聚会那样。
开始 — —

SE:“清静片刻?”

T:“是啊,还好有这个地方,可以坐下来喝点东西。”

SE 点了和 T 一样的饮料 — — 这个细节一般人都会,使用的是我们早前介绍过的虚假帮派伎俩。SE 伸出手,说:“我叫**(一个假名字)。”

T:“我叫**(真名字)。”

SE 拿出准备好的定制名片,说:“我是某家小型进口公司采购部的经理。”

做为回应,T 也拿出名,说:“我是 ***公司的首席财务官。”

SE 表现得很轻松,笑着说:“你是管钱的啊,怪不得每个人都在那边围着你。你们公司具体是做什么的啊?”

T 开始说起公司一些产品的情况,当说到某个知名产品时,SE 马上说:“哦,原来是你们做的啊,我喜欢那个产品。我在《 **杂志》上看到过,好像创造过销售记录啊。”(注意:这就是发起攻击前准备工作的重要性。SE 已经从之前收集的信息中了解到了这些内容,信息显示目标人自己也很喜欢那个产品,所以 SE 的赞美会起作用)

这时 T 开始显得有点骄傲了 :“你知道那个设备在第一个月的销量就超过它前后 5 个产品的销量总和吗?”

SE:“是啊,我知道为什么,因为我买了5个。”

过了一段时间,随意寒暄,保持礼貌和热情。随意的交流就能了解到很多细节,比如目标人的公司最近购买了财务软件、最近在度假的首席安全官的名字、以及目标人正准备和家人去哪里休假。这些看似没什么用的细节信息实际上有很高的价值,对下一步的攻击计划很有帮助。

但是 SE 没有满足, 继续提出了一个更为深入的问题:“我知道这个问题看起来很傻,但是我们是个小公司, 老板让我研究并购买一套门禁系统。我们现在用钥匙的,但是他认为 RFID 或者类似的系统会更好。你知道你们公司用什么吗?”

注意:这个问题很敏感,很容易引起警觉。但在此处,由于上述的铺垫,加上周围气氛,以及目标人并非职业安全官,于是敏感性有一定下降。这是在计划之内的。

T 说:“这个我可没有概念,我只负责签支票购买,不过我进门时用的就是这个卡 ……”他拿出钱包中的卡给 SE 看。并说,“我想可能是 RFID, 我只知道进门时晃一下钱包,门就开了。”

两个人都笑起来。

这些信息对攻击来说太有帮助了。

你可能注意到了,诱导与信息收集很相似,且紧密关联。通过良好的伪装和诱导技巧,这个特别的信息收集过程会容易得多。

诱导技巧应该使得问题能够尽可能自然地提出,目标在回答这些问题时也觉得很自然。

鉴于上述已经收集到的信息,攻击者知道目标人正在度假中、他们公司使用的财务软件类型、以及门禁系统,就可以策划出一次修复“故障” RFID 打卡机及出勤记录钟的攻击行动。

比如这样:“某某(目标人的名字)在去某地度假之前打电话给我,说生产部门有一个出勤记录钟没有正确注册,我来测试并分析一下,只要几分钟就可以完成。” 对于这种大公司来说,前台不会对这种话产生怀疑。注意,要装扮成符合你扮演的角色的特征,后面还会提到这点,它很重要。

你已经看到了关于事先准备工作 — — 也就是信息收集的重要性。社交媒体时代这个问题变得尤其严重了,因为太多人根本不知道应该公开说什么和不该说什么,他们把几乎一切都放在网上。我们曾经在反侦查技巧中重点强调过:任何时候不要谈论自己!但这么说似乎并不精确,因为人们可能不知道哪些内容属于“谈论自己” — — 即 可被攻击者利用的东西。举个例子。

中文网络上很多“积极人士”崇尚于所谓的“反洗脑策略”,也就是寄希望于劝服屠夫放下屠刀。我们就不讨论这个模式是不是有效了(它都傻透顶了),但它明显是一个很具利用价值的信息点。我们假设当局的攻击者对此比较重视。攻击者可以通过关键字搜索和汇总技术,掌握哪些人、以及以多高的频率在讨论“反洗脑”,他们的态度都是什么。选择其中相对积极的支持者作为目标对象,进一步全网探索目标人的各种其他身份细节和个人信息。把这些信息汇总起来,不论是在现实中还是在网上,使用社交工程技术对其发起针对性攻击。攻击者可以扮演“反洗脑”的支持者、甚至可以扮演挑战者激起目标人的“讨论”兴趣,进一步引诱其说出更多信息。

因为被利用的价值并不在所谓的“反洗脑”本身,而是这一想法说出的人群,绝对是异议人群对吧,于是它将关乎很多异议人士(不论其反抗能力如何)的私人信息。你还觉得“任何时候不要谈论自己”这句话很简单吗?

记得我们在早前的文章中不止一次提到过不要轻敌这个问题。那些被派来操纵你的人都经过非常高端的心理学培训,他们知道如何装傻以博取你的信任。尤其是在超个人主义自恋狂的时代里,你只要稍微装傻,就能获取很多人“心满意足”的侃侃而谈。这是细思极恐的。

诱导很简单

通过简单、轻松、愉快的谈话就可以从很多人口中获取颇具价值的信息。

诱导不仅用于信息收集过程,也可以强化你的伪装,从而获取信息。所有这些成果依赖于定义清晰、经过深思熟虑的诱导模型。你需要事先准备充分。模型是针对性选择的,就如我们上面给出的两个例子,通过公开信息的收集对目标人的了解,将帮助你构建最适合对方上钩的模型。这也是为什么我们多此强调:不要让陌生人太了解你!

再回忆一下定义,诱导就是攻击者想要目标做某件事,这件事很可能是简单到只是回答一个问题,也可能复杂到进入一个敏感区域。要达到这一目的,攻击者需要询问一系列的问题,其中部分是完全无关紧要的,只为了扰乱视线而存在,最终将目标人引入真正的目的。

一般秘密警察、便衣和情报机构特工都深谙此道,审讯、问询也利用这种方法。如果你经历过这些人而且不止一次,你也许能回忆到,他们使用了一些套路,就包括在上述解析中。之所以你能发现那是套路,因为他们中有些人在操作上过于机械,高手可以看出破绽。但并不意味着这些人中没有高手,也不过是你曾经没赶上高手出动。

通过上述介绍你会发现,信息是其中的关键。获取的信息越多,攻击的成功率就越高。因为诱导不具有威胁性,看起来轻松自然,所以很容易成功。请想想你在商店、咖啡馆或者其他地 进遇到过多少次那种看起来没有什么意义的简短对话?谈话的真谛在于使用诱导战术,并且每次都以一种轻松自然的的方式进行 。这也是诱导有效的原因。

⚠️ 此处需要提醒两个对于中国异议人士来说非常重要的事,那就是:1、你的朋友;2、你的家人。简单说就是,你本人明白如何避免被秘密警察的诱导欺骗是不完全的,攻击者很可能会从你的亲密朋友和家人角度入手,尤其是家里的长辈,他们往往毫无戒心,容易以良好的愿望出卖你。所以,你应该保持让家人知道得越少越好。还有朋友,你必须有朋友,但也需要交往那些注重安全并且和你一样理解社交工程攻击特点的人,这样你们才能形成有效的防线。

也许我们把这些骗术撕开撕碎,摆在这里,你觉得它很简单,事实上并不是。因为人的意识充满了 bugs,利用它们一点都不难。英国有一个当红的真人秀节目《骗术真相》,主要就是演示社交工程攻击是多么的容易 。攻击者扮演陌生人与目标交流,通过偷拍验证,甚至一些套路都能屡试不爽。

一切都源于交谈的艺术。这种艺术可以做很多用途,最常见的比如推销、恋爱、和老板套关系、发展人脉、医师、心理咨询、社工等等。当然也会用于诸多恶意目的。

关于掌握交谈的艺术,最需要的 3 个主要步骤:

1、表现得自然。如果在交谈中显得不舒服或者不自然,会很快导致谈话失败。要想验证这点可以进行如下练习。与他人谈论一些你精通的领域,在这个过程中你可以录像或者让朋友观察,观察你的站姿、动作以及阐述知识的方式。这些细节可以反映出你的自信和自然。然后,尝试参与一些你一无所知的领域的谈话,同样进行录像或者让朋友观察,看看在这种对话中你试图发表“真知灼见”时,上述细节有哪些变化。这些练习会显示出你表现自然与表现不自然的差异。对于没有专业训练的人来说,它将非常明显。不自然的表现会葬送你成功诱导的机会。那么,如何在谈话中表现得自然?就是第二条。
2、你需要拥有足够的知识。你必须了解与目标人交谈时所涉及领域的知识。此处有一个大大的❗️因为它非常关键。比如,你想要得到某个绝密产品的化学成分,你要诱导的目标是制造该产品的一位化学家,并且决定和他谈论化学,那么此时你就不能伪装成一个世界级的化学家(除非你真的是)。他可能在交谈中提出一些你完全不知道该怎么回答的问题,那样你就演砸了。最好的方法是伪装成该专业的学生,对目标人在该领域的造诣非常崇拜的那种。重点是,不管你选择谈论哪个话题,也不管你选择和谁交谈,都要做些研究、反复练习且精心准备。一定要具备足够的知识,就目标对象会感兴趣的话题侃侃而谈。记住,你只有一次机会!如果演砸了,那就回家吧。
3、切忌贪婪。当然,诱导的目的是获取信息、得到答案或者取得进入某个领域的钥匙。然而,不要以此作为重点!如果你一心想得到需要的信息,很快就会被目标看穿,导致目标失去兴趣。通常情况下,给对方一些感兴趣的东西会引起对方的“交换情结”,这样对方会下意识的觉得有义务给你一些回报。在交谈中这点很重要。交谈中要有来有往,除非对方是一个滔滔不绝的人。如果他谈论不止,就让他说。如果你得到了一些信息,就适可而止,不要贪婪地不断深挖,否则会引起对方的警觉。反过来看就是,如果对方在某个时间点上终止了继续交谈,你需要思考此前自己说了什么。
⚠️ 请记住,很多时候,世界上的“最佳的交流者”其实是那些听得比说的多的人。

还需要注意的是:面部表情,也是非常重要的。表现得太紧张或太放松都会影响人们对你问题的反馈。如果你言辞镇定,并且吸引了目标参与交谈,但是肢体语言或面部表情却表现得漠不关心,就肯定会影响对方的情绪,即使他并没有意识到这点。

你知道 Cesar Millan 吗,著名的训狗师,被称为“狗语者”。他可以与那些难以驯服的狗沟通。仅仅只需要几分钟时间,他就能让狗和人形成一些亲密的关系。他曾经提到过一个关键问题,那就是“精神”,或活力。换句话说就是,如果一个人在接近狗的时候处于精神紧张且焦虑的状态,那么即使他的言辞显得很镇定,狗也会紧张、狂吠甚至具有攻击性。这就是道理。

当然,狗和人绝对不同,但在此的逻辑是一样的。当你接近一个个体时会把自己的内心气氛带给对方,再麻木的人也有第六感,也许他们不一定能说清楚其中的道理,但他们完全可以感知到,从而下意识的在行为言谈上抱以警惕,很容易导致交流失败。

你肯定听到过这样的话,“那个家伙似乎很猥琐”,或者“这姑娘看上去很友善”,没错,这就是精神会话所传递的“感知 ”,这些信号会和个人以往的经历相关联,从而形成直觉判断。优秀的演员是深悟此道的,他们可以让自己看起来真的就是他们所扮演的角色,给你一种“他/她就是这种人”的印象。事实上完全不是如此。

如果一个便衣接受过此类培训,并完美的掌握了其中的诀窍,你可以想象得到这种事有多危险。

不是说让你对所有陌生人的搭讪都保持警惕,事实上这样做有可能无济于事。就如某些高端的网络攻击,攻击者入侵你的设备后不会立即行动让你觉察到,而是给予充分的时间,直到你忘记了自己在什么地方连接了不安全的网络。社交工程攻击也一样,攻击者甚至可以真的和你以自然的速度熟悉起来,再发起攻击(就如我们曾经演示过的 Facebook 钓鱼攻击那样),如果你只小心“陌生人”是解决不了这个问题的。攻击者甚至可以在第三方的位置,操纵你最信任的人对你间接发起攻击。

然而,攻击发起时的模式大同小异,现在你知道了其中关键的套话伎俩,就会明白该如何防备。不论这种伎俩的实施来自哪里,哪怕是亲密的人,有些不该说的东西也不能说。如果你是一个组织或团队的领导人,你应该明白如何告知掌握着重要信息访问权限的合作者和员工,防备这种诱导攻击。

好啦,下篇文章将继续介绍更多关键技术,由美国国土安全部的培训资料展开。下次见。

媒体操控:战略性欺骗的重头戏

如果你认为你所追求的东西是正义的,那就最好不要采取任何不正义的策略
多年前,IYP 曾预测集中化互联网、尤其是社交媒体,将变成纯粹的广告栏,一切都是为了宣传、影响、甚至是操纵。如今看起来这一预言正在以惊人的速度实现并深化。

本文是另一个主题 —— 战略性欺骗的前奏,这种欺骗手段是交战中最常用的,不论是意识形态斗争还是军事斗争,不论是对内压制反对派还是对外打击敌人;它并不是撒谎这么简单,它需要是一种战略,也就是要在利己的前提下损人。

媒体操控是战略性欺骗采取的诸多手段之一,也是最常用的手段;媒体在普通人眼中是信息和知识的来源,在其他人眼中不仅是信息来源,而且是武器。

基于批评的异议其性质是一种协作;而反抗则是一种对战。如果您有意挑战主流政治,了解这些知识是很有必要的。我们不需要亲自撞墙才能学到东西,他人曾经撞过的墙都应该被画上一个大大的惊叹号。

要理解战略性欺骗在当今的用法就要首先需要了解当下最有利于其操作的背景。当然,关于监视资本主义、军事工业综合体这些背景概念已经被很多人所熟知,大多来自于新闻故事和由此展开的简要分析;但这样似乎不够系统。我们尝试在“Knowledge Node”中将它系统化处理一下,方便您的查阅。

—— 媒体操控 ——
媒体操控有着“悠久”的历史,作为信息战和心理战中最强有力的手段之一。

媒体操控并不是“党管媒体”这么简单和笨拙,它是深藏不露的,让你从表面上看上去是一群“自由的媒体”,而实际上其发布的内容仅有利于其被背后那只大手。我们曾经在独家消息中披露过中国当局在内部透露的对宣传的理解,即“润物细无声”,就是这个意思;继续仅仅嘲笑党管媒体会让你错过真正的威胁。

媒体操控是一系列相关技术,党派拥护者在其中创造有利于他们自己特定兴趣的图像或论据。

⚠️这种策略可能包括使用逻辑谬误、心理操纵、彻头彻尾的欺骗、修辞和各种宣传技巧、并且通常通过诱使其他人或群体停止倾听某些信息或观点来抑制操控者不同意的信息或观点,或者,简单地将公众的注意力转移到其他地方。

在这里看到一些案例解释《秘密宣传网络》、《以谣言为武器》、《在线宣传战的结果》,两个完整分析《操纵式宣传:五个过滤器和识别线索》、《微妙的宣传》,一些历史《人格暗杀和抹黑运动》。

在《Propaganda: The Formation of Men’s Attitudes》一书中,Jacques Ellul 写道,公众舆论只能通过大众传播媒介提供的渠道来表达自己 —— 没有这些渠道就不会有宣传。宣传包括公关、政治宣传、营销等。虽然每个背景的目标都是完全不同的,但广泛的技术使用往往十分相似。

看一个案例 ——
媒体操控方面最厉害的人之一当属CIA。[另附四年前的一个报道,关于中国的媒体操控《大外宣战略、审查和自我审查》,对比一下会感觉很土]

请注意,⚠️CIA的做法是几乎所有当权者都有可能采用的,当然首先是他们能想到这么做,尤其是避免被揭露。内部举报人是击败这些阴谋的最强大力量(而不是国会)。

1、植入“新闻”

中央情报局高级官员 Ralph McGehee 揭露,中央情报局经常在媒体刊物中匿名发布“新闻报道”,以传播有利于中央情报局目标的错误观点。

这种被植入的报道可能会被其他报纸和其他第三方所转载、并进一步扩散传播,形式略有改变,甚至被当成真正的新闻报道,然后由其他记者改写。

媒体间的唯渠道转载被利用来制造秘密的宣传攻势。

唯渠道转载指的是,比如一家知名媒体A独家报道了一个故事,其他媒体就可以迅速跟进并引述“知名媒体A报道说”;但是如果该报道的记者和编辑是被CIA控制的呢,其他媒体并没有兴趣了解这件事,因为它们没有核查的责任。

这件事更有意思的地方也在于其迅速传播的能力,正因此中央情报局为塑造公众舆论而制定的虚假宣传可能会变成回旋器并污染中情局自己的信息档案。

McGehee 根据自己的工作经验给出的一个例子是,中央情报局在1965年制作的一个关于海上向越共支援武器的故事。中央情报局“从自己的仓库中拿走了大量共产党制造的武器,将它们装在越南沿海船只上,然后打电话给记者……以’证明’北越对越共的援助”。

这个故事迅速得到了其他新闻媒体的转载报道,以至于海军陆战队后来开始在海岸巡逻,以拦截早先“发现”的那种违禁品。[Ralph W. McGehee, “Deadly Deceits: My 25 Years in the CIA” (Sheridan Square; Ocean Press 1983, 1999), ISBN 1–876175–19–2]

此举是信息战中最常见的操作,我们将来会有更多详细介绍,媒体在信息战中被作为重要武器之一而利用,其中企业媒体(主流媒体)是重灾区,因为他们的流程要求他们的记者不去质疑当权者的话。[具体分析详见《媒体,你真的知道什么是事实吗?》]

2、秘密行动

中央情报局利用本国和外国的大众媒体资产进行秘密行动。

1973年,“华盛顿星报”报道称,中央情报局已经招募了30多名在国外工作的美国记者。把记者当间谍用。 [“U.S. Journalists Doubling as CIA Agents, Paper Says”. Los Angeles Times. 1973–11–30.]

由此,1975年至1976年出现了一系列国会调查,包括中央情报局与记者的关系,审查了各种中央情报局的行动。

对于外国新闻媒体,报告的结论是:

中央情报局目前在世界各地拥有数百名外国人的网络,他们为中央情报局提供情报,有时还试图通过秘密宣传来影响舆论。

这些人为中央情报局提供直接访问大量报纸和期刊的权限,包括数十家新闻服务和新闻机构、广播和电视台、图书出版商和其他外国媒体。[Church Committee Final Report, Vol 1: Foreign and Military Intelligence, p. 455]

对于国内媒体,报告指出:

大约50个所谓的情报资产是美国个人记者或媒体组织的雇员。其中,只有不到一半的人被媒体机构“认证”……其余的人都是非认证的自由撰稿人和驻海外媒体代表……有十多家美国新闻机构和商业出版社以前曾为国外的中情局特工提供庇护。其中一些组织没有意识到自己在做什么。[Church Committee Final Report, Vol 1: Foreign and Military Intelligence, p. 455]

记者 Carl Bernstein 在1977年10月滚石杂志的一篇文章中也指出了一些与中情局合作的记者名字 —— “400多名美国记者在过去二十五年中秘密为中央情报局执行任务”。[The article, The CIA and the Media”, is available on Bernstein’s website.]

与中央情报局合作的其他媒体组织包括美国广播公司、国家广播公司、美联社、联合新闻国际、路透社、赫斯特报业、斯克里普斯 — 霍华德、新闻周刊杂志、迈阿密先驱报、纽约先驱论坛报……还有其他,详见上面的链接。

在这里看到一个详细案例的解释《冷战故事~ CIA 如何操纵媒体影响舆论:Mockingbird 行动》。

另见《什么是秘密行动》(包含当局对反对派团体的渗透行动)。

3、影响海外舆论

中情局敦促其外站使用其“宣传资产”来反驳那些不同意Warren报告的人。[“Cable Sought to Discredit Critics of Warren Report” (PDF), New York Times: A3, 26 December 1977, retrieved 2013–11–27]

中央情报局总部在1967年4月的一次调度说:“阴谋论经常引出对我们组织的怀疑,例如错误地声称 Lee Harvey Oswald 为我们工作。这项调度的目的是提供反对和诋毁阴谋论家的主张的材料,以阻止在其他国家传播此类主张。”[Lee Harvey Oswald 被认为是肯尼迪遇刺案的主凶]

该机构指示世界各地的电视台“与可合作的精英联系,特别是政治家和编辑,以讨论宣传问题”、并 “利用宣传资产来回答和驳斥批评者的攻击。并指出,书评和专题文章特别适合于这个目的。”[http://jfkfacts.org/wp-content/uploads/2013/11/Countering-Warren-critics-040167.pdf]

4、利用娱乐业

在20世纪90年代中期,中央情报局任命 Chase Brandon,一名被分配到南美的运营官员,作为好莱坞的联络人。[Patterson, John (5 October 2001), “Hollywood reporter: The caring, sharing CIA: Central Intelligence gets a makeover”, The Guardian]

Brandon 的电影作品包括“招募”,“所有恐惧的总和”,“国家的敌人”,“坏公司”、和“间谍公司”等;还曾为电视节目包括 The Agency、Alias 和 JAG 提供咨询。[CIA operative Chase Brandon, archived from the original on 2005–11–24, retrieved 2008–03–27]

中央情报局提供援助的电影包括1992年汤姆克兰西小说的电影版“爱国者游戏”、和2003年的电影“新兵”等。

2012年,Tricia Jenkins 出版了一本书,《好莱坞的中央情报局:电影和电视如何被该机构塑造》,进一步记录了中央情报局从20世纪90年代到现在,通过娱乐媒体操纵宣传的努力。

该书解释说,中央情报局已经使用电影来促进招募,加强自己的形象,甚至通过虚假宣传活动。[TY — BOOK T1 — The CIA in Hollywood: How the Agency Shapes Film and Television A1 — Jenkins, Tricia PY — 2012 PB — University of Texas Press CY — Austin SN — 9780292737075 UR — https://muse.jhu.edu/book/14683ER -]

显然,这些方法都是非常简单的。中国读者应该能理解到,即便中宣部和广电总局全解散了,也并不意味着宣传战就此结束。

互联网操纵 ——
在媒体操控的所有方式中,目前最常用的手段之一就是互联网操纵。

就如我们在同名类目简介中所注明的:监视是为了操纵,不只是失去隐私那么简单。监视就内嵌在这个互联网里,不可能真正剔除;监视者利用技术手段施加的操控如今已经随处可见。

这种操纵可以用于宣传、诋毁、损害企业或政治竞争对手、改善个人或品牌的声誉、或简单的 trolling 等目的。为了实现这些目标,可以使用在线影响力者、雇佣的专业人员和/或软件技术 —— 通常是互联网/社交媒体机器人。

这种社交工程手段被称为认知黑客,指的是旨在改变用户感知和相应行为的网络攻击。[“Cognitive Hacking” (PDF). 2003. Retrieved 4 February2017.; Thompson, Paul (2004). “Cognitive hacking and intelligence and security informatics” (PDF). Enabling Technologies for Simulation Science VIII. 5423: 142–151. doi:10.1117/12.554454. Retrieved 4 February 2017.]

互联网操纵有时也被用来描述选择性的互联网审查、或违反网络中立性。

这种操纵手段之所以能在互联网上最成功,是因为以下几个因素:

激烈的情绪病毒:很多研究发现,唤起激烈的情绪(例如敬畏、愤怒或焦虑)的内容更具病毒性传播效力,并且当考虑到惊讶、有兴趣或有用时,这也是有效的。
越简单越好:为复杂环境提供的简单解释经常被用于在线宣传的操作。通常这样比较容易被人们相信,并且具有比任何复杂、细致入微的解释和信息更高速的病毒性传播能力。简单说,你在互联网上审慎思考是不会有影响力的。
同伴影响:网络内容的先前集体评论会影响一个人对该内容的看法。你也能意识到这点,人们喜欢看评论来理解正文,而不是自己去读正文。2015年的研究表明,在线环境中人们对艺术作品的感知因外部影响而有所不同,因为同盟评级受到实验参与者的意见和可信度的操纵。reddit 上的“滚雪球投票”原理也是如此。
过滤气泡:网站管理员或主持人可能会通过修改观点、或建立某些规则、或通过在线圈子或互联网“部落”的形式来创建回音壁和过滤气泡。详见我们对此做过的详细分析《社交媒体的隧道生态和心理操控》
确认偏误和受控制的流行程度:假新闻不需要被阅读,仅仅通过其标题和情绪刺激就可以对足够大的受众面产生影响。有读者曾询问为什么IYP经常不采取能完整呈现文章内容的标题,答案就是这个原因,因为前者方式是假消息最爱使用的。
信息的时效性和不可纠正性:人们是倾向于先入为主的,并且互联网的新闻周期非常短,当损害已经达成时,澄清和对假消息的揭露通常会因迟到而基本无效。IYP此前在《人格暗杀和抹黑运动》中对此有过强调。人格谋杀采取的都是虚无缥缈的不可证信息,并无切实证据,但是通常不会被质疑,正是这个原因。辟谣几乎没有用。
心理定位:社交媒体活动和其他数据均可用于针对性分析人的个性并预测他们的行为和偏好。这就是军事工业综合体的目标 —— 监视资本主义作为反乌托邦的工具。Michal Kosinski 博士就开发了这样一个程序,通过社交媒体操纵选民、以间接操纵政治。[“Ich habe nur gezeigt, dass es die Bombe gibt”. Das Magazin. 3 December 2016. Retrieved 30 April 2017] 此处详见早前的分析《看不见的独裁》
算法专制、回音壁和极化 ——

在线资源的激增曾经一度被认为是媒体多元化的有利基础,但是,社交网络平台和搜索引擎使用不透明的算法为用户提供基于个人偏好的个性化体验,其结果是,不仅没能多元化,反而高度部落化了,限制了人们对不同观点和新闻的接触。这通常被称为“回声壁”和“过滤气泡”。

在算法专制的世界里请谨记这一道理:你能看到的东西基本是他们想让你看到的东西;没有人能知道自己不知道什么。

在算法的帮助下,过滤气泡通过给人以广泛共享特定观点或表现形式的虚假印象,借以影响用户的选择和对现实的感知。

这种操纵一直存在,然而却直到2016年英国脱欧和美国总统选举投票之后,才引起了人们的关注。但是,却一度被主流媒体和收钱说话的所谓学者简单地解释为民粹 —— 也就是希望将真正复杂的全球性新专制问题简略为一两名政客的个人问题。这本身就是一种欺骗行为。[符合上述五种因素之二:越简单越容易被信任的效应]

来自 Flaxman、Goel 和 Rao、Pariser 和 Grömping 的研究表明,使用社交媒体和搜索引擎往往会增加而不是减少个体之间的意识形态距离,形成更严重的极化 —— 这就是为什么互联网上极难促成民主辩论。民主基于批判性思考和协商,算法专制下没有这个条件。[Flaxman, Seth, Sharad Goel, and Justin M. Rao. 2016. Filter bubbles, echo chambers, and online news consumption. Public Opinion Quarterly 80 (S1): 298–320.]

密歇根大学的研究人员进行的一项研究表明,个人自己的选择会反过来推动算法过滤,从而限制对一系列内容的曝光。即便假设算法本身不会导致极化,它们也可以在最大程度上放大极化。

—— 军事工业综合体对媒体操控的利用 ——
对于这部分的介绍最全面的一篇报告是《互联网霸主的时间线》,我们将于8月9日发布。

英国最高情报机构政府通讯总部(GCHQ)的联合威胁研究情报小组是全球性监控体系的一部分,被斯诺登泄露的文件曝光。该机构的任务范围包括使用“肮脏的技巧”来“摧毁、否认、压制[和]破坏”任何政治对手。[Glenn Greenwald (2014–02–24). “How Covert Agents Infiltrate the Internet to Manipulate, Deceive, and Destroy Reputations”. The Intercept. — contains the DISRUPTION Operational Playbook slide presentation by GCHQ]

该间谍机构的核心策略包括:⚠️在互联网上注入虚假材料,以破坏目标的声誉、操纵在线语话和行动,其中的方法包括向互联网发布材料并将其虚假地归因于其他人,假装成为目标的受害者可以诋毁其声誉并销毁在各种论坛上发布的“否定信息”。具体解释详见《人格暗杀和抹黑运动》。

被称为“影响”的行动,JTRIG 的工作已成为 GCHQ 2010 年运营的“主要部分”。

该部门的在线宣传工作(名为“在线隐蔽行动”)通过 Twitter、Flickr、Facebook 和 YouTube 等媒介利用“群发消息”以“推动故事”。JTRIG 还针对目标使用在线“假旗”操作。[“Snowden Docs: British Spies Used Sex and ‘Dirty Tricks’”. NBC News. 7 February 2014. Retrieved 7 February 2014.]

JTRIG 甚至通过修改伪造社交媒体网站上发布的消息照片,以及通过电子邮件和短信向目标的同事和邻居发送有关目标个人的“令人讨厌的信息”,强效抹黑。[“Snowden Docs: British Spies Used Sex and ‘Dirty Tricks’”. NBC News. 7 February 2014. Retrieved 7 February 2014.]

2015年6月,Glenn Greenwald 发布的NSA文件揭示了 JTRIG 隐蔽操纵在线社区工作的更多细节。

⚠️此次披露揭示了“证件收集”技术,其中记者被用来散布既定的信息,并识别到曾经被操纵过的非英国记者。目前尚不清楚这些记者是否会意识到他们被操纵了。[“Snowden Docs: British Spies Used Sex and ‘Dirty Tricks’”. NBC News. 7 February 2014. Retrieved 7 February 2014.]

此外,俄罗斯经常被指控资助“trolls”在互联网上发布亲俄意见。

Internet Research Agency 因使用数百名俄罗斯人在虚假身份的掩护下在线进行政治宣传而闻名,以创造大规模支持的幻景。

使用 trolls 进行的隐蔽政治宣传是一种全球现象,这里有一篇详细报告《巨魔崛起:政府资助的网络水军正遍布全球》。

在2017年的一份报告中,Facebook 公开承认其网站被政府用于操纵其他国家的公众舆论 —— 包括在美国和法国的总统选举期间。[Solon, Olivia (27 April 2017). “Facebook admits: governments exploited us to spread propaganda”. The Guardian. Retrieved 30 April 2017.]

它确定了“信息运营活动”中涉及的三个主要组成部分:有针对性的数据收集、虚假内容创建和放大、包括窃取和公开非公开信息;通过虚假账户向第三方传播既定信息;并且协调虚假账户来操纵政治讨论,例如在压制一部分人的同时放大另一部分人的声音。

关于军事工业综合体的一个最典型案例,见这里《解密文件:科技产业巨头为什么能成为巨头?私有化间谍活动如何发动了认知战争?》

2016年,安德烈斯·塞普尔韦达(AndrésSepúlveda)透露,他操纵民意来装备拉丁美洲的选举。

操纵计划预算为60万美元,他领导的黑客团队窃取了竞选策略、操纵社交媒体制造虚假的热情和嘲笑浪潮,并在反对派办公室安装间谍软件,以帮助候选人 EnriquePeñaNieto 赢得大选。[“Man claims he rigged elections in most Latin American countries over 8 years”. The Independent. 2 April 2016. Retrieved 22 January 2017.]

在印度2014年大选之前,印度人民党(BJP)和国大党都被指控雇用“政治 trolls”在博客和社交媒体上进行媒体操控。

中国当局实施的“五毛水军”也是非常著名的,以加强对中国共产党的有利意见,并压制异议。

2014年12月,乌克兰新闻部发起反击俄罗斯的宣传活动,其首要任务之一是创建社交媒体账户(也称为 i-Army),并积聚乌克兰东部的居民。[Shearlaw, Maeve (2 April 2015). “From Britain to Beijing: how governments manipulate the internet”. The Guardian. Retrieved 4 February 2017.]

更多:《国王们的晚宴 — — 这是一场看不见的政变》、《为什么技术有利于暴政? — — 一场你必须参与的政治斗争》。

2009年4月,4chan 的互联网 trolls 投票选出该网站的创始人 Christopher Poole,作为2008年全球最具影响力人物,由时代杂志进行的一项公开网络民意调查显示,其获得了16,794,368票。[“The World’s Most Influential Person Is…” TIME. April 27, 2009. Retrieved September 2, 2009.]

甚至在投票结束之前结果就受到了质疑,因为自动投票程序和手动投票填充被用来影响结果。这是一个最好玩的案例,关于伪真相如何成为了现实真相。

—— 对策 ——
毫无疑问,诸如强制实名登记和惩罚威胁等民族国家规则并不是解决在线机器人操控媒体问题的适当措施。尤其是审查,绝对会适得其反。

为了防止马太效应,Reddit 等几个网站已采取了措施,例如在指定时间内隐藏投票数。

万维网的发明者 Tim Berners-Lee 反对让极少数几家寡头公司负责决定什么是真实的主张,这是危险的,他指出,开放性才能使网络更加真实。

其实,真正的的解决方案应该是社会工作:重新重视批判性分析性思维的培养,将“形式逻辑”作为学校的学科引入,培养公民的媒体素养和客观评价。看一个视频:

更多分析详见《为什么虚假总是能‘击败’真相?机器人水军可能不是主要原因》。

—— Astroturfing ——
Astroturfing 有时候被翻译为“草根营销”,其实并不准确,它与草根没有任何关系,正相反是伪造草根,目的是营销。它是人工创造出来的一个很有草根口碑的产品、服务或者政治观点;使其看起来好像源自草根参与者、得到基层参与者的支持。其实是假象。

术语 astroturfing 源自 AstroTurf,一种合成地毯的品牌,其设计类似于天然草,其实是塑料的。

在政治科学中,它被定义为通过帮助政治行动者找到并动员一些富有同情心的公众来寻求选举胜利或立法成功的过程,并且旨在创造一种既定的公众共识的形象。

Astroturfing 通常由大公司和政府实体资助,以影响更大面积的公众舆论。一些研究表明,astroturfing 的确可以做到改变公众的观点,甚至产生足够的怀疑以抑制计划内的行动。

牛津大学教授 Philip N. Howard 认为,互联网使强大的游说者和政治运动更容易激活一小群受害公民,使其在公共政策辩论中具有夸大的重要性。[Howard, Philip N. (2005). New Media Campaigns and the Managed Citizen. New York, NY: Cambridge University Press. pp. 93, 144. ISBN 9780521612272.]

在《Grassroots for Hire: Public Affairs Consultants in American Democracy》一书中,Edward Walker 将“astroturfing”定义为欺诈(声称归因于那些未作出此类陈述的人),或称为伪装成群众运动的精英竞选。

数据挖掘专家 Bing Liu(伊利诺伊大学)估计,互联网上三分之一的消费者评论都是假的。这使得“流行情绪”和“制造舆论”之间难以区分。并且,它威胁着真正的草根运动的合法性。

George Monbiot 表示,支持 astroturfing 的角色管理软件“可能会破坏互联网作为建设性辩论论坛的角色”。[Monbiot, George (February 24, 2011). “The need to protect the internet from ‘astroturfing’ grows ever more urgent”. The Guardian. London, UK. Archived from the original on February 23, 2011. Retrieved February 24, 2011.]

技术 ——

Astroturfing 采用一个或多个前线团体,这些团体通常表现为服务于公共利益,而实际上是代表公司或政治赞助商。

前线团体可以通过强调少数群体的观点、灌输怀疑、推高公司赞助的专家发表的反驳意见,来抵制损害赞助商业务的立法和科学共识。

Astroturfing 也会创建似乎由消费者编写的虚假博客,实际上由商业或政治利益在背后操作。

当你发现同样是“草根”,有些话题你说出来就会被删除,而其他某些人可以长期说,并因此被拥护,这种时候就要小心 Astroturfing 了。

另一种技术是使用 sockpuppets,其中一个人在线创建多个身份以给予“草根支持”的外观假象。 Sockpuppets 可以发布关于产品的正面评论、攻击批评该组织的参与者,或者在虚假身份下发布关于竞争对手的负面评论。

可以使用角色管理软件,以便每个付费说话的博主可以轻松管理五到七十个令人信服的在线角色,而不会让他们感到困惑。[Monbiot, George (February 24, 2011). “The need to protect the internet from ‘astroturfing’ grows ever more urgent”. The Guardian. London, UK. Archived from the original on February 23, 2011. Retrieved February 24, 2011.]

角色管理软件可以对账户进行“做旧”,看起来不是新注册的账户,并模拟独立性,使其更具说服力,确保观众认为它们是真实的。

印第安纳大学的 Filippo Menczer 小组在2010年开发了一种软件,通过识别行为模式来检测 Twitter 上的 Astroturfing。[Ratkiewicz, Jacob; Conover, Michael; Meiss, Mark; Gonçalves, Bruno; Alessandro Flammini; Filippo Menczer (November 16, 2010). “Detecting and Tracking the Spread of Astroturf Memes in Microblog Streams”. Proceedings of the 20th International Conference Companion on World Wide Web — WWW 11: 249. arXiv:1011.3768. doi:10.1145/1963192.1963301. ISBN 9781450306379.]

根据英国“金融时报”的报道,在美国政治中,Astroturfing 是“司空见惯”的;但在欧洲是”革命性的” —— 反隐私“智囊团”欧洲隐私协会被揭露为实际上是由科技公司赞助的。[Fontanella-Khan, James (June 27, 2013). “Astroturfing takes root; Brussels”. Financial Times.]

2010年6月,美国空军招标“人物管理”软件,该软件要“使运营者能够从同一工作站操作多个不同的在线身份,而不必担心被复杂的对手发现。人物角色必须能够看起来像是来自世界上几乎任何地方,并可以通过传统的在线服务和社交媒体平台进行互动……”这份价值260万美元的合同被授予了 Ntrepid 公司。[“Persona Management Software. Solicitation Number: RTB220610”. Archived from the original on February 23, 2011. Retrieved October 12, 2012. “Mirror” (PDF). Washington Post.]

—— 搜索引擎营销 ——
搜索引擎营销允许操控者沿着他们想要的方向引导搜索结果,从而影响搜索者的认知。

企业有很多策略可以吸引客户进入他们的网站,并产生收入,如横幅广告、搜索引擎优化、和按点击付等费营销工具。这些手段经常是合法的,也是非常普遍使用的。

—— 分散注意力 ——
通常被称为“烟幕”,这种技术包括让公众关注一个对宣传者来说更便利的话题。这种特殊类型的媒体操控在流行文化中也经常被引用,足见它有多么普遍。一些例子包括:

电影 Wag the Dog(1997)描述了如何使观众转移注意力到另一个事件上从而忽略了最重要事件的做法。
在美国电视剧“纸牌屋”中,主角 Frank Underwood 发现自己被困在媒体的狂轰滥炸中,他向观众说:“当你是鲜肉时,避免被咬的方法是杀死并抛出更新鲜的东西”。
政客们经常通过使用电视和其他媒体向人们展示自己“闪亮的一面”,从而分散公众的注意力,公众最容易被个人魅力所吸引,从而忽视了根本性的政策问题。这就是景观政治的目的。在这里看到介绍《中国政府已攀上景观政治的边缘》。

景观政治是一种更加潜移默化的转移注意力操作。转移注意力本身还有其他很多传统的操作,比如民族主义、树外敌等等。

这种技术包括通过诉诸民族主义或鼓励对外国或所有外族人的恐惧和仇恨来驳斥反对的论点。它具有重要的潜力,因为它使宣传者有权诋毁来自其他国家的任何信息。

举个例子比如:

问:“你怎么看待 Khokara 关于X问题的政治观点?”;答:“我认为他们在过去20年左右的时间里一切都是错的……”
问:“你的想法与 Falala 提出的想法非常相似。”;答:“你是否暗示 Falala 是一个比我们更好的国家?”
—— 图片和视频造假 ——
如今被称之为深度造假,详见《当恶意者掌握技术:信息战的未来究竟有多可怕?》。

在1990年,Adobe 发布了开创性的 Adobe Photoshop,这项技术以及其无数竞争对手允许用户以数字方式改变上传到该程序中的真实照片。虽然竞争服务需要一些专业知识才能使用,但Adobe 设计的 Photoshop 是格外用户友好的,任何人都可以制作。

新功能引发了新的担忧。同年,“新闻周刊”发表了一篇名为“当照片撒谎 ”的文章。正如“新闻周刊”所预测的那样,摄影操控技术上升的后果可能是灾难性的:“以中国领导人为例,去年他们曾试图阻止摄影师揭露北京大屠杀。将来,中国人或其他有意撒谎的政权甚至不会再担心摄影师曝光真相了。“

这些担忧并非完全没有价值。Fred Ritchin,前纽约时报杂志的图片编辑,现在是国际摄影学院的荣誉退休人员,他说,由于照片编辑技术,过去几十年来对摄影的信任已经受到侵蚀。

确实,“相机永远不会说谎”的说法再也无法持续了 — 当最终产品被操纵时,相机可以并且经常会撒谎。然而,Ritchin 和新闻周刊所预言的真相危机还没有实现。

为什么?因为社会适应了这项技术。

回想一下1994年6月,时代杂志在月刊的封面上刊登的 OJ辛普森的照片,事实上他们已经明显编辑了这张照片,使辛普森的肤色显得比实际上更暗。更糟糕的是,“新闻周刊”刊登的是未经编辑的照片,两本杂志并排放在超市货架上。虽然时代为这一所谓的“艺术选择”做了辩护,称没有任何种族意味,但明显编辑过的照片引发了大规模的公众抗议。

警惕造假只是公众意识日益增强的一部分。多年来,时尚杂志普遍采用欺骗手段来改变封面模特的外观。封面上具有更具吸引力模特的杂志通常比那些吸引力较弱的杂志卖得好,因此编辑会修饰照片以使其更吸引公众。不幸的是,这种做法在社会中创造了一种不切实际的美丽形象,一旦被发现,卫生组织就开始公开警告这种现象所造成的危险 — 最明显的是饮食失调的流行。由于随后公众的强烈抗议,全国各地的家庭开始意识到了照片编辑技术及其能力。

社会警惕性是否意味着没有人会因照片造假而被欺骗并作出错误的选择了?当然不是。但是,照片造假并非造成了真相的死亡,而是对新技术的认识鼓励人们采取新的指标 — 例如来源的可信度 — 以做出关于所呈现的图像是否真实的明智决定。

结果,新闻媒体和其他照片出版商继续制定政策并就他们使用的图像做出规定,着眼于赢取受众的信任。例如,2003年,洛杉矶时报迅速解雇了一名记者因为编辑们意识到发布的一张被编辑过的图像会明显降低读者对报纸真实性的看法,这名记者对伊拉克战争的照片进行了数字化改造。

然而,现在,随着新的人工智能和机器学习技术进入市场,再次引发了“真相已死”的担忧 — 主要是在假新闻和虚假信息泛滥的背景下。想想看,如果有人在选举前发布了一个候选人正在收受贿赂的深度造假作品该怎么办?或者造假称美国总统宣布即将发生导弹袭击?正如斯坦福大学国际安全与合作中心国际安全研究员 Andrew Grotto 所预言的那样,“这项技术……将不可抗拒地导致民族国家攻击者在虚假宣传活动中使用,以操纵公众舆论,欺骗公众并破坏对我们机构的公信力。 “

也许更大的问题是,如果社会无法区分假视频和真实视频,那么任何人都可能对他们在视频上所做或所说的任何事采取否认:这都变成了一切皆为假新闻。

但是,谁能肯定社会对深度造假的反应不会像曾经人们对PS照片的回应那样发展?

现在,深度造假技术远非完美无缺。虽然一些假货可能看起来非常逼真,但其他假货却有明显的纰漏,可以提醒观众他们伪造的性质。与之前的 Photoshop 和数码照片编辑一样,通过手机应用程序产生的制作不良的假货可以教育观众了解这种技术的存在。当公众意识到,深度假货造成的伤害将无法实现到预期的程度。

事实上,围绕使用这项技术的新争议同样也提高了公众对该技术可以做些什么的认识。例如,“深度造假”这个词实际上来自一个 Reddit 用户,他最初开始使用这种技术来制作逼真的名人假色情视频。这种类型的内容很合理地引发了对隐私权侵犯的警惕。随着公众的强烈抗议开始加剧,该平台公开禁止深度造假社区及其网站上的任何非自愿色情内容。

与使用 Photoshop 创建不切实际的裸体图像所引起的公众强烈抗议一样,使用深度造假技术创建不恰当和彻头彻尾的令人震惊的内容将反过来使公众更加了解该技术,从而避免造成伤害。

也许最重要的是,许多政策制定者和私营公司已经开始采取措施教育公众了解深度造假的存在和其污蔑的能力。著名的立法者,如弗吉尼亚州的马克·沃纳和内布拉斯加州的本·萨斯,最近提出了一些重要的话题。Facebook 最近宣布它正在投入大量资源进行针对深度造假的识别和检测。由于非常注重教育公众关于这种技术的存在和使用,只要公众能提高认识,恶意行为者成功传播有害的深度造假视频就将更加困难。

这绝并不是说深度造假不会造成任何新的伤害或威胁。与 Photoshop 不同,如今任何拥有智能手机的人都可以使用深度造假技术,这意味着可以生成和共享更多的逼真的假货。

与20世纪90年代不同的是,今天有更多人使用互联网分享新闻和信息,以极快的速度在全球范围内传播内容,正因此,大多数观众来不及思考,只是为了寻求视觉刺激,给了假冒以广泛的空间。

但是,如果我们不采取措施来规范技术,我们就不应该认为社会会陷入欺骗和虚假信息的深渊。这项技术可以提供许多重要的好处,例如几十年前失踪儿童的成长后照片,或者为课堂上的学生们创造逼真的历史人物版本图像。

立法者不应急于起草立法,而应该回顾过去,并认识到深度造假并非一些前所未有的问题。相反,深度假货仅仅代表了历史上一直使用的一系列欺骗性视听实践中的最新技术。

只要我们理解了这一事实,我们就可以确信社会会想出一些方法来减轻隐患和威胁。

—— 最后 ——

媒体操控的目的是获取影响力,以令预期目标群体形成操控者满意的想法、行动和立场。

虽然获得影响力的手段很普遍,但其目标各不相同,从政治、经济到个人;可以包括宣传员、营销人员、民意调查员、销售人员和政治倡导者。

如果你确认自己所倡导的内容是正义的,那么就绝不可以使用虚假的媒体操控;一旦被你的对手拿到把柄,你将失去所有信誉,你所倡导的一切都将因此失去意义。

追求正义的人们能采取的最佳策略就是,用充分的证据揭露你的对手暗中采取的不正义手段,占据道德制高点,汇聚更多的支持。