欺骗的艺术 作者: 美 凯文·米特尼克-第26章

按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！


　　我们经常读到关于商业间谍的新闻，比如，Borland指责Symantec盗窃商业机密，Cadence设计规划公司控诉竞争对手盗窃其产品源代码，许多商业人士认为在他们公司绝不会发生这种事情，但是，这种事情每天都在发生。
　　计划变更
　　下面故事中的骗局或许已经被实现过很多次了，虽然这很像是好莱坞电影（比如《The　Insider》）里的情节或者约翰格雷森姆的法律惊险小说。
　　集体诉讼
　　假设有一场针对Pharmomedic制药公司的集体诉讼，该诉讼声称他们发现该公司的一种非常受欢迎的药物具有破坏性的副作用，这种副作用将在病人服药多年以后显露出来，该诉讼声称他们是从一系列的调查研究中得出这一结论的，但是这些证据被压下不用，并且没有在规定的时间内转交给FDA（食品及药物管理局）。
　　威廉·比利·钱尼（William　〃Billy〃　Chaney），处理此案的纽约律师行代理律师，得到了两个Pharmomedic医生的证词，但是两人全都退休了并且没有任何档案或文件，所以不能作为令人信服的证人。比利知道自己现在处于弱势，除非他能得到其中一份报告或者内部备忘录（或公司高层之间的通讯）的副本，否则他的整个案子都将崩溃。
　　因此他选择了和一家公司再次合作：安德雷森父子私人调查公司。比利不知道彼得和他的人是怎样获得这些资料的，他也不想知道，他只知道彼得·安德雷森（Peter　Andreeson）是一个好侦探。
　　至于安德雷森，他把像这样的任务称为黑袋子秘密调查，第一条规则就是让雇用他的律师事务所和公司不知道他是怎样获得这些信息的，所以他们总是解释得模模糊糊似是而非。如果有人愿意自找麻烦的话，越难的任务他所收取的费用越高，他认为这值得冒险，除此之外，他还能从欺骗聪明人的过程中找到个人满足感。
　　如果钱尼希望他找到的那些文件确实存在并且没有被销毁，他们也许会把它放在存放文件的某个地方，但是要从堆积如山的文件中把它们找出来无疑是一项艰巨的任务。另一方面，假设他们已经把文件的副本交给了他们自己的律师事务所（詹金斯与派屈），如果辩护律师知道这些文件的存在并且不把它们转交到取证程序，那他们就违反了律师的职业道德并触犯了法律，在彼得看来，这制造了许多可攻击的对象。
　　彼得的攻击
　　彼得让他的人着手调查，几天后他弄清了詹金斯与派屈律师事务所存放异地备份的位置，他还了解到存储公司有一张律师事务所授权提取磁带的人员名单，名单的上的每个人都有各自的密码。彼得派了两个人进行这一次的黑袋子秘密调查。
　　他们用从网上（southord）买来的开锁工具开锁，几分钟后就溜进了存储公司的办公室（大概凌晨3点），其中一人打开一台PC机，屏幕上出现了Windows　98的图标，他们笑了，这简直就是小菜一碟，Windows　98没有任何形式的身份认证程序。稍加搜索之后，他们找到了含有授权名单的Microsoft　Access数据库。他们在詹金斯与派屈律师事务所的授权名单上添加了一个伪造的名字，其中一人早就准备好了匹配的驾驶执照，当然也是假的。他们能闯入带锁的存储室并找到他们客户想要的磁带吗？当然能——但是，这家公司所有的客户（包括律师事务所）都会收到一张受损通知，这样一来攻击者就失去了应有的优势：专业人员总是为以后进出留下后门，以备不时之需。
　　按照商业间谍的常规做法，他们把一些也许以后要用的东西放进了后口袋，然后把包含授权名单的文件复制到了软盘上，他们谁都不知道这是否有用，但是“我们已经在这儿了，不如……”，事后常常证明了这样做的好处。
第二天，其中一人打电话到存储公司，使用他们添加到授权名单上的名字和相应的密码通过了验证，然后请求提取詹金斯与派屈律师事务所上个月所有的磁带，并说将会有信使服务来拿包裹。大概下午三点，安德雷森拿到了那些磁带，他的人把所有的数据复制到了他们自己的电脑系统上，准备在空闲时间进行搜索。让安德雷森感到高兴的是，律师事务所和其它大多数商业公司一样，并没有加密他们的备份数据。
　　磁带在第二天就送回了存储公司，没有引起任何人的注意。
　　米特尼克语录
　　有价值的信息无论在哪儿都必须受到保护（不管是哪种形式）。一家公司的客户名单，不管是存储箱里印刷文档还是办公室的电子文档，具有同样的价值。社会工程师总是喜欢轻松地绕开安全措施，选择最薄弱的环节作为攻击目标。窃取一家公司的异地备份储存设备被发现或被抓住的风险很低，每一家公司在存储任何有价值、敏感或者关键的数据之前，都应当将其加密以保护数据的机密性。
　　过程分析
　　因为松懈的物理安全，坏人们轻易地打开了存储公司的锁，获得了计算机的访问权限，然后修改了包含存储室授权名单的数据库，用名单上伪造的名字获得了他们需要的计算机备份磁带，而不是闯入这家公司的存储室。因为大多数的商业公司没有加密备份数据，他们得到的是可用的信息。
　　一家没有采取合理的安全措施的服务公司让攻击者轻易地获得了他们的客户信息资源，这只是其中的一个例子。
　　新的商业伙伴
　　社会工程师比起骗子来有一个巨大的优势，那就是距离。骗子骗你的时候你肯定在场，你可以对他有一个直观的描述，如果你发现得早，甚至还可以打电话叫警察。
　　社会工程师通常会像躲避瘟疫一样躲避风险，但是有时候必须要冒一定的风险，为了潜在的回报，这样做是值得的。
　　杰西卡的故事
　　杰西卡·安多弗（Jessica　Andover）对自己在快车数控公司的工作非常满意，当然了，一切才刚刚开始，他们付的钱不多，但是这里的人都很友好，并且她很兴奋地了解到她的员工认股权能够让她变得有钱，也许不会像公司创始人那样成为百万富翁，但是对她而言，这已经足够了。
　　八月的星期二上午，瑞克·戴高特（Rick　Daggot）一走进大厅就收到了一个灿烂的微笑，昂贵的衣服（阿玛尼）和重金表（劳力士），完美的发型，他的男子气概和自信在杰西卡的高中时代足够让所有的女生为之疯狂。
　　“你好，”他说：“我是瑞克·戴高特，我找拉里。”
　　杰西卡淡淡地微笑，“拉里？”她说，“拉里这个星期休假。”“我和他约在一点，我刚从路易斯维尔飞过来。”瑞克说，然后他拿出他的掌上电脑，把它打开来给她看。
　　她看了一下然后轻轻地摇了摇头。“20号，”她说，“是下个星期。”他把掌上电脑收回来仔细看了看，“喔，不！”他惊叹道，“真不敢相信我犯了这么愚蠢的错误。”
　　“我帮你订回程机票吧，好吗？”她很同情瑞克。
　　在她打电话的时候，瑞克说他和拉里准备建立战略营销同盟，瑞克的公司为生产装配线制造的产品可以和他们的新产品C2Alpha完美的结合起来。瑞克的产品与C2Alpha的合作将为两家公司打开重要的工业市场。
　　当杰西卡预定好下午晚些时候的航班时，瑞克说，“好吧，至少我可以和史蒂夫谈谈，如果他在的话。”但是史蒂夫，这家公司的副总裁和共同创办人，通常都不在办公室。
　　瑞克很友好地和杰西卡开了几个玩笑，然后暗示在下午回去之前他还有很多时间，他可以和一些关键人物一起吃午餐，接着他补充道，“当然，也包括你——如果没有其他人邀请你共进午餐的话。”
　　瑞克很友好地和杰西卡开了几个玩笑，然后提出他可以和一些关键人物一起吃午餐，在下午回去之前他还有很多时间。“当然，也包括你——如果没有其他人邀请你共进午餐的话。”他补充道。
　　杰西卡明白了这句话的意思，面色有些红晕，她问，“你想要哪些人来？”他再一次打开了他的掌上电脑，然后列举了一些人的名字——研发部（R&D）的两个工程师，新来的营销员，还有负责项目经费的财务人员。瑞克建议她告诉他们他和这家公司之间的关系，并且他想向他们介绍自己。他说出了这一区最好的餐厅的名字，那是杰西卡一直想去的地方，他说他已经订好了12：30的桌子，上午晚些时候他会打电话来确认事情都已经安排好了。
　　当他们聚集在餐厅的时候——他们四个加上杰西卡，他们的桌子还没准备好，所以他们在吧台旁边坐了下来，瑞克很清楚地表示饮料和午餐都算他的。瑞克很有风度也很合群，是那种刚见面就让人觉得很舒服的人，你甚至会觉得已经认识他很多年了。他似乎总是知道应该说什么好，在冷场的时候总是能进行生动的评论或者谈论一些有趣的东西，让人觉得有他在真好。
　　他共享了一些他自己公司的产品资料，足以让他们对合作方案展开想像。他举出了几个已经成为他的公司客户的财富500强公司，然后所有人都开始想像他们的产品一经推出就大受欢迎的样子。
　　然后瑞克走向了其中一个工程师布莱恩。当其他人各自聊着天的时候，瑞克私下里和布莱恩进行了交流，布莱恩向他的描述了C2Alpha的特色和一些其它竞争者没有的功能，他发现了几个布莱恩非常喜欢并认为“非常棒”但没有得到公司重视的功能。
　　瑞克一个一个地走过去和他们聊天，那个营销员为自己有机会谈论首次展出日期和销售计划而感到高兴，而精于计算的瑞克则从口袋里拿出了一个信封，详细地写下了生产成本、价格底线、预期盈利和每一个供应商（按名称排列）的销售价格。
　　当他们的桌子准备好的时候，瑞克和每一个人都交换了看法并赢得了大家的尊敬。在午餐的最后，他们依次和瑞克握手并向他表示感谢，而瑞克则和他们交换了各自的名片，顺便和布莱恩（那个工程师）提起他想在拉里回来的时候和他进行深入的讨论。
第二天布莱恩就接到了瑞克的电话，他说他刚和拉里通完话。“我星期一会来和他讨论一些具体的问题，”瑞克说，“他想让我为你们的产品提速，他要你把最新的设计与规格Email给他，他会从中挑选要转交给我的部分。”
　　布莱恩说没问题，瑞克继续说道，“拉里想告诉你他的常用邮箱出了问题，无法接收Email，为此他在宾馆的商务中心申请了一个Yahoo邮箱帐号，他说你可以把文件发送到larryrobotics@yahoo。”
　　星期一上午，当拉里轻松地走进办公室的时候，杰西卡正在滔滔不绝地说着瑞克，“他人真好，请了好多人一起吃午餐，连我都去了。”拉里一脸的茫然，“瑞克？那该死的瑞克是谁？”
　　“你在说什么啊？他是你的商业伙伴啊。”“什么！！！？？？”
　　“所有人对他印象都很深，他问了一些很好的问题。”“我不认识什么瑞克……”
　　“你怎么了？你在开玩笑吗？拉里——你是在忽悠我，对吧？”
　　“让所有的主管到会议室来，马上，不管他们在做什么，还有每一个去吃了那餐饭的人，包括你。”
　　他们忧郁地坐在桌子四周，几乎没有人说话。拉里走进会议室，说，“我不认识这个叫瑞克的人，也没有什么新的商业伙伴，这件事我是最后一个知道的，我认为这很明显了，如果这是我们中的某个人开的玩笑，我希望他现在大声地说出来。”
　　鸦雀无声，会议室陷入了沉寂。
　　最终，布莱恩说话了，“为什么我发产品规格和源代码的email给你的时候你不说呢？”
　　“什么email？”
　　布莱恩呆住了，“噢，该死的！”
　　克利夫，另一个工程师，插话说，“他给了我们所有人名片，我们只要打电话给他看看到底是怎么回事。”
　　布莱恩拿出他的掌上电脑，调出一条记录，并把它递给桌子对面的拉里。当拉里拨电话的时候，他们还抱着一线希望，所有人都出神地看着拉里。片刻之后，他按下了免提键，所有人都听到了电话里的忙音。在超过20分钟的时间尝试拨打这个号码几次之后，拉里只好打给接线员请求紧急中断。
　　几分钟后，接线员的声音出现在了电话里，她用质问的口气说，“先生，你从哪儿得到的这个号码？”拉里告诉她是从一个他很想联系上的人的名片上，接线员说，“我很抱歉，这是电话公司的测试号码，永远都是忙音。”
　　拉里开始列举瑞克得到的信息，情况不容乐观。
　　两个便衣警察来做了笔录，在听了这个故事之后，他们指出这没有违反任何州法，他们帮不上忙。他们建议拉里联系FBI，因为他们有权制止任何涉及州际贸易的犯罪行为。当瑞克·戴高特伪造身份让工程师寄出测试结果时，他可能违反了一项联邦法律，但是要等到瑞克和FBI谈话的时候才知道
　　三个月后，当拉里吃完早餐在厨房读早报的时候，他的咖啡差一点洒了出来，自从他第一次听到关于瑞克的事以后就一直在担心，而现在，他最坏的恶梦变成了现实。商业版的头条上白纸黑字写着：一家他从未听说过的公司发布了一个新产品，似乎很像是他的公司已经开发了两年的C2Alpha。
　　通过骗局，这些人在市场上打败了他，他的梦想破灭了。投资研发的百万美元浪费了，他还找不到任何证据证明是他们干的。
　　山米·桑福德的故事
　　足够聪明，找一份高薪工作不是问题，但是不够安分，宁愿靠行骗谋生，山米·桑福德（Sammy　Sanford）一直做得非常好，直到他遇见了一个因饮酒问题而被迫提前退休的特工，这个人已经找到了用政府要求他熟练的技能赚钱的方法，他一直在寻找能用的人，然后他发现了山米，在他们第一次见面的时候。山米觉得这很简单，回报也很高，就把他的重心从诈骗转移到了盗窃公司机密上。
　　大部分人不知道我在做什么。通过电话或者互联网和人们聊天，任何时候都不会有人看见你，但是任何一个优秀的骗子，都能够用传统的、面对面的方式撒下弥天大谎，并让你相信它（现在还有很多这样的人，超乎你的想像）。我认识的一个检察官认为这是犯罪，但我觉得这是一种天分。
　　但是你不能盲目前进，首先你必须制定计划。在街头行骗中，你可以用友好的对话试探目标，然后措辞小心地提出建议，如果得到了正面的回应，嘿！——你就抓住了一只鸽子。
　　公司任务和我们的大型骗局差不多，你得要一步一步来，找出他们的“按钮”，了解他们想要什么、需要什么，制定攻击计划，耐心地做你的功课，了解你将要扮演的角色，背好台词，在你做好准备之前不要走进那张门。
　　我花了三个星期调查目标，然后与客户商讨了两天怎样介绍“我的”公司和怎样解释两家公司的商业合作联盟。
　　接下来的事情很顺利，我打电话到那家公司说我是风险投资公司的，我们要安排一次会议，我想在下个月找出一个所有股东都用空的时间，有没有我应该避开的、拉里的不在的时间段？然后她说，自从他们创办了这家公司以来，两年里他几乎没有休息过，但是这一次他的妻子把他拽了出来，他会在八月的第一个星期度过一个高尔夫假期。
　　离现在还有两个星期，我可以等