Искусство обмана: социальная инженерия в мошеннических схемах

Всем, что случилось в моей жизни социального инженера, отца, 
мужа, начальника, друга, я обязан своей прекрасной жене. 
Ариса, мою любовь к тебе не выразить словами.

Колин, сынок, я наблюдаю, как ты растешь и становишься 
молодым мужчиной, которого не проведешь. Когда мы вместе 
работаем, я понимаю, что это не зря. Я тебя люблю.

Амайя, свет моей жизни! Ты знаешь, как заставить меня 
улыбнуться даже в самый мрачный день, ты — радость моего 
сердца и моя любовь. Нет слов, чтобы выразить мою гордость 
за то, каким хорошим человеком ты становишься.

Christopher Hadnagy

SOCIAL ENGINEERING

The Science of Human Hacking

Перевод с английского
Москва
2020

СОЦИАЛЬНАЯ ИНЖЕНЕРИЯ

В МОШЕННИЧЕСКИХ

СХЕМАХ

ИСКУССТВО

КРИСТОФЕР ХЭДНЕГИ

ОБМАНА

УДК 681.3.06
ББК 32.973.26-018.2
 
Х99

ISBN 978-5-9614-1072-3 (рус.)
ISBN 978-1-119-43338-5 (англ.)

© 2018 by John Wiley & Sons, Inc., 
Indianapolis, Indiana
 
All rights reserved. This translation 
published under license with the original 
publisher John Wiley & Sons, Inc.
© Издание на русском языке, перевод, 
оформление. 
ООО «Альпина Паблишер», 2020

УДК 681.3.06
ББК 32.973.26-018.2

Хэднеги К.

Искусство обмана: Социальная инженерия в мошеннических схемах / Кристофер Хэднеги ; Пер. с англ. — М.: 
Альпина Паб лишер, 2020. — 430 с.

ISBN 978-5-9614-1072-3

Бывало ли так, что вам звонил человек, представляющийся 
сотрудником банка? Или приходило письмо со ссылкой, на которую 
вы, к счастью, не перешли? 
Технологии, при помощи которых злоумышленники пытаются получить доступ к вашим паролям или данным, основаны на социальной 
инженерии — науке об изощренном и агрессивном манипулировании 
поведением людей. В ее активе целый арсенал инструментов манипуляции: давление на жалость, умение запудрить мозги или вывести 
из себя, проявить несвойственную жадность и поставить в неловкое положение, вызвать чувство вины или стыда и многое другое. 
Становясь жертвами подобного обмана, мы не только подвергаемся 
риску сами, но и можем сильно подвести своих коллег и близких. 
Кристофер Хэднеги, всемирно известный специалист по социальной инженерии, научит вас распознавать манипуляции всех типов 
и противодействовать мошенникам всех мастей. Больше никто 
не сможет заставить вас сделать то, что вы делать не планировали — 
расстаться с деньгами, выдать важную информацию, совершить 
опасные действия. Все примеры, которые приводит Хэднеги, взяты 
из его личной и профессиональной практики.

Х99

Все права защищены. Никакая часть этой книги не может быть воспроизведена в какой бы то 
ни было форме и какими бы то ни было средствами, включая размещение в сети интернет и в корпоративных сетях, а также запись в память ЭВМ для частного или публичного использования, 
без письменного разрешения владельца авторских прав. По вопросу организации доступа к электронной библиотеке издательства обращайтесь по адресу mylib@alpina.ru.

Перевод Анастасия Соломина
Научный редактор Денис Букин
Редакторы Ирина Беличева, Елена Аверина

СОДЕРЖАНИЕ

К русскому изданию. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

Об авторе  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

О техническом консультанте  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14

Благодарности  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15

Предисловие  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19

Введение  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21

1. Заглянем вновый мир социальной инженерии . . . . . . . 23

Что изменилось? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26

Почему эту книгу стоит прочесть? . . . . . . . . . . . . . . . . . . . . . . . . 28

Социальная инженерия: обзор  . . . . . . . . . . . . . . . . . . . . . . . . . . . 31

СИ-пирамида . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38

Что вы найдете вэтой книге?. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45

2. Видители вы то, что вижу я? . . . . . . . . . . . . . . . . . . . . . . . . . . 49

Сбор данных из открытых источников 
вреальной практике  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49

Не связанные сиспользованием технологий 
методы сбора данных из открытых источников . . . . . . . . . . . . 56

Орудия труда. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .106

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .109

3. Профайлинг через общение (или как использовать 
слова собеседника против него же) . . . . . . . . . . . . . . . . . .111

На подходе. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .115

Вставьте DISC. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .118

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .135

4. Как стать кем угодно  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .139

Принципы легендирования  . . . . . . . . . . . . . . . . . . . . . . . . . . . . .141

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .162

5. Язнаю, как тебе понравиться . . . . . . . . . . . . . . . . . . . . . . . .165

Племенное мышление  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .169

Раппорт всоциальной инженерии . . . . . . . . . . . . . . . . . . . . . . .171

Машина по производству раппорта . . . . . . . . . . . . . . . . . . . . . .194

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .195

6. Сила влияния . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .199

Первый принцип: взаимный обмен  . . . . . . . . . . . . . . . . . . . . . .202

Второй принцип: обязательства  . . . . . . . . . . . . . . . . . . . . . . . . .207

Третий принцип: уступки. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .211

Четвертый принцип: дефицит  . . . . . . . . . . . . . . . . . . . . . . . . . . .216

Пятый принцип: авторитет  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .220

Шестой принцип: последовательность  . . . . . . . . . . . . . . . . . . .226

Седьмой принцип: симпатия. . . . . . . . . . . . . . . . . . . . . . . . . . . . .231

Восьмой принцип: 
социальное доказательство  . . . . . . . . . . . . . . . . . . . . . . . . . . . . .235

Влияние или манипуляции? . . . . . . . . . . . . . . . . . . . . . . . . . . . . .238

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .246

7. Оттачивая мастерство . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .249

Динамические правила фрейминга . . . . . . . . . . . . . . . . . . . . . .251

Извлечение информации  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .263

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .285

8. Язнаю, очем ты молчишь. . . . . . . . . . . . . . . . . . . . . . . . . . . .287

Роль невербалики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .288

Ваша базовая эмоция работает нанас   . . . . . . . . . . . . . . . . . .293

Понимание природы невербальных сигналов  . . . . . . . . . . . .304

Комфорт идискомфорт . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .307

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .333

9. Взлом сознания. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .337

Перед социальной инженерией все равны  . . . . . . . . . . . . . . .338

Принципы пентестинга  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .340

Фишинг. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .346

Вишинг  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .352

SMiSHing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .360

Имперсонация  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .362

Планирование имперсонации  . . . . . . . . . . . . . . . . . . . . . . . . . . .363

Составление отчета . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .370

Вопросы СИ-пентестеру . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .376

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .383

10. Естьли увас ПЛАН?  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .385

Шаг 1: научиться выявлять СИ-атаки . . . . . . . . . . . . . . . . . . . . .388

Шаг 2: разработать реализуемые 
иреалистичные правила для сотрудников  . . . . . . . . . . . . . . .391

Шаг 3: проводить регулярные проверки  . . . . . . . . . . . . . . . . .396

Шаг 4: реализовывать программы информирования 
сотрудников по вопросам безопасности  . . . . . . . . . . . . . . . . .400

Соединяем все вместе  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .402

Обновляйтесь  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .403

Учитесь наошибках коллег. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .404

Создайте культуру бдительности. . . . . . . . . . . . . . . . . . . . . . . . .407

Резюме  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .412

11. Что теперь? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .415

Социальные навыки  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .416

Технические навыки . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .420

Образование . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .422

Профессиональные перспективы. . . . . . . . . . . . . . . . . . . . . . . .423

Будущее социальной инженерии  . . . . . . . . . . . . . . . . . . . . . . . .426

К РУССКОМУ ИЗДАНИЮ

О чем эта книга, кратко можно сформулировать так: она об 
аналитической силе простых средств. Информация доступна, 
и с ее помощью можно сделать все что угодно. Доступность 
информации в сочетании с несложными манипулятивными 
приемами открывает любые двери. 
В 1947 году, когда начиналась холодная война, основатель 
аналитической разведки Шерман Кент заявил, что в мирное 
время 80% данных для политических решений можно добыть 
в открытых источниках*. Уже выйдя на пенсию, бывший 
директор Разведуправления Министерства обороны США 
скорректировал эту оценку: 90% открытых источников и лишь 
10% — агентурных операций**. Раньше пользовались газетами, журналами, ведомственными брошюрами, проспектами 
с выставок и телефонными справочниками. Сейчас все стало 
еще легче: к перечисленному добавились корпоративные сайты 
и социальные сети; смартфоны сопровождают фотографии 
геотегами, а для сбора данных о контактах любого человека 
достаточно просмотреть список его друзей. 
Открытые источники дают огромную власть и одновременно делают вас крайне уязвимым. Информации из 
открытых источников достаточно, чтобы узнать об актив
 * Allen W. Dulles. Memorandum Respecting Section 202 (Central Intelligence 
Agency) of the Bill to Provide for a National Defense Establishment, 
April 25, 1947, p. 525.

 ** Donna O’Harren, “Opportunity Knocking: Open Source Intelligence For the 
War on Terrorism,” Thesis, Naval Postgraduate School, December 2006, p. 9. 

ИСКУССТВО ОБМАНА

ном человеке почти все. Как? Однажды я потерял контакт 
с коллегой, с которым долго сотрудничал. Он удалил свою 
почту, профиль в Facebook и даже счет на PayPal. Но, когда 
потребовалось, я нашел его… по списку любимых книг. Можно 
сменить фамилию, переехать в другую страну и устроиться 
в международную организацию, но нельзя отказать себе 
в удовольствии отметиться под книгой, над которой работал. 
Сочетание русских и английских книг выдавало переводчика, 
а потом обнаружилось подтверждение — комментарий, 
в котором проскользнуло настоящее имя владельца аккаунта. Мы снова сотрудничаем, но мой коллега заволновался: 
только ли я смог проследить его связи со старой жизнью? 
Информация под руками, и все вполне законно — нужно 
лишь комбинировать данные. 
В другом случае открытые данные пришлось сочетать 
с импровизацией. Моего приятеля, пожилого уже человека, 
обманули при покупке в интернете. Он перевел деньги по 
номеру телефона, после чего продавец попросту перестал 
отвечать на звонки. Мы перевели один рубль по тому же 
телефону, и через интерфейс онлайн-банка узнали его имя, 
отчество и первую букву фамилии. Затем я позвонил на тот же 
телефон через Skype: 
— Иван Иванович, здравствуйте. Вас выбрали присяжным 
на процесс по делу о коррупции. Вы сможете явиться в Тверской городской суд послезавтра? Повестку мы пришлем.
— Но я живу в Туле. 
— Вы ведь Иванов?
— Нет, я Петров.
— Простите, вечно у нас всё путают.
Мы нашли «Петрова» в соцсети, со всеми родственниками. 
Приятель по-стариковски обратился к его отцу. Тот оказался 
человеком понимающим, извинился, а через 15 минут извинялся 
сам незадачливый обманщик. Да, мы имели дело с неопытным мелким мошенником, который не умел прятаться, но, 

К РУССКОМУ ИЗДАНИЮ

во-первых, большинство из нас и не думает скрывать информацию о себе, а во-вторых, нельзя не пожалеть воришку — 
он показался мне таким беззащитным и в общем неплохим 
человеком.
Ну а вот дело посерьезнее. Работая с бухгалтерскими системами десять лет назад, мы не спрашивали пароли у владельцев 
рабочих мест: они были одинаковыми. Сегодня изощренные программы заставляют менять пароли и требуют фраз 
потруднее. Их трудно запомнить, но творческие бухгалтеры 
находят выход — они записывают пароли на обратной стороне 
клавиатуры. Злоумышленнику ничего не стоило проникнуть в нужный офис, устроившись на работу в клининговую компанию. Минимальная зарплата, текучка, уборщики 
меняются чуть ли не каждый день, да и кто замечает столь 
незначительного человека? А уж сфотографировать с экрана 
компьютера список крупных дебиторов — дело нескольких 
секунд. Простейшая разведка, дерзкая афера и банальная 
беспечность привели к невосполнимой потере рыночных 
позиций.
Читая «Искусство обмана», я переживал моральную коллизию. С одной стороны, автор учит использовать добро как 
слабость, тем самым обесценивая его. С другой — знание защищает. Описанные Кристофером Хэднеги методики сильны, но 
в то же время они и шаблонны. Как в фокусах иллюзиониста, 
их сила развеивается перед тем, кто знает секрет. Отрадно, 
что мошенники не умнее своих жертв, у них просто другие 
цели. Ввиду этого книга воспринимается совсем иначе. Она 
дает свободу совершать осознанные поступки, а не следовать 
манипуляциям, свободу ограничивать доступ к информации 
о себе, свободу частной жизни.
При редактирования перевода нам приходилось принимать 
решения о выборе слов для обозначения часто встречающихся 
терминов. В конечном счете он сводился к тому, предназначать ли книгу для узкого круга людей, тесно связанных 

ИСКУССТВО ОБМАНА

с социальной инженерией, или делать ее понятной для всех. 
Мы выбрали второе. Надеемся на понимание читателей, для 
которых профессиональный жаргон стал родным — за «сбором 
данных из открытых источников» они узнают OSINT, за «легендой» — претекст и т. д.

Денис Букин, 
психолог, психотерапевт, 
автор книги «Развитие памяти по методикам спецслужб»

ОБ АВТОРЕ

К Х — генеральный директор компании Social-Engineer, LLC. Он ведущий разработчик и создатель первого систематизированного поискового интернетресурса, посвященного социальной инженерии, http://www.
social-engineer.org. Хэднеги — основатель так называемой 
Деревни социальной инженерии (Social Engineering Village, 
или SEVillage) на конференциях DEF CON и DerbyCon* 
и разработчик популярной игры «Захват флага»**, предназначенной для социальных инженеров (Social Engineering 
Capture The Flag — SECTF). Кристофер — востребованный 
во всем мире спикер и тренер: он выступал на таких мероприятиях, как RSA, Black Hat, DEF CON, и даже получал 
приглашение проводить консультации в Пентагоне. В Twitter 
он пишет под ником @humanhacker.

 * Крупные конференции хакеров и специалистов по информационной 
безопасности. DEF CON проводится в Лас-Вегасе с 1993 года, DerbyCon — 
с 2011 года в Луисвилле. — Прим. науч. ред.

 ** «Захват флага» (Capture the Flag) — командная игра, участники которой 
стремятся захватить «флаг» соперника. В разных вариантах игры «флагом» 
может быть что угодно: настоящий флаг, предмет или информация. В книге 
речь идет об игре для специалистов по информационной безопасности, 
в которой игроки либо выполняют задания по взлому защиты, либо охраняют свои серверы, атакуя при этом серверы противников. «Флагом» здесь 
становится информация, которую надо выкрасть у других и защитить у себя. 
Сайт игры в России: https://ctfnews.ru. — Прим. науч. ред.