"Don't touch me, sucka." Mr. T
By bernz (official sponsor of the 1996 Croatian Olympic Men's Synchronized Swimming Team)
with shoutouts to: The Genocide2600, Silicon Toad and your big fat mama.
Translated by 志々雄真実
DISCLAIMER!!!!! THIS INFORMATION IS HERE FOR THE SOLE PURPOSE OF ENLIGHTENMENT! IF YOU USE IT AND GET CAUGHT, NO ONE IS TO BLAME BUT YOUR OWN IDIOTIC ASS!!! （お約束というやつです）
SECTION I: INTRO
1.1 What is social engineering?
1.2 Why is there a FAQ about it?
1.3 Who cares?
1.4 Basic intro and other shit.
SECTION II: PHONE SOCIAL ENGINEERING
2.1 Basics
2.2 Equipment
2.3 Phreak stuff
2.4 Technique
SECTION III: SNAIL MAIL
3.1 Is Snail Mail acutally usefull for something?
3.2 Equipment
3.3 Technique
SECTION IV: INTERNET
4.1 Isn't this just hacking?
SECTION V: LIVE, FROM NEW YORK...
5.1 In person?
5.2 Equipment
5.3 I'm wearing a suit, now what?
SECTION VI: PUTTING IT TOGETHER
A sample problem
SECTION I: INTRO
1.1 What is social engineering?
ハッカーズ用語辞典にはこのように書かれている：
Social Engineering（社会工学）: n. クラッカー達や、ソフトウェアよりもウェットウェア （人の心理・脳）の弱点を突くクラッキング技術を持った人の間で用いられる用語で、 その目的は人をだましてパスワードや目的のシステムのセキュリティーを危うくする ような情報を引き出させること。ほしい情報を持った人に電話をかけ、緊急の用件を持った 技術者や同僚のふりをして騙す古典的詐欺。
狭い見地からすればそれは正しい。ソーシャルエンジニアリング、それは基本的には、 あなたの知識と機知を他の誰かと競う電話詐欺である。このテクニックはパスワードや キーカード、組織やシステムに関する基本的な情報を手に入れるなどの多くのことに 使用される。
1.2 Why is there a FAQ about it?
良い質問だ。私はちょっとした理由のためにこのＦＡＱを作った。 それは第１に、ソーシャルエンジニアリングがほとんど議論されていないこと、 人々はハッキングやフリーキングについてはよく議論するのにソーシャルエンジニアリング についてはほとんどしない。 たぶんこのＦＡＱがもっと多くの議論を生む助けとなるだろう。 また私はソーシャルエンジニアリングのスペシャリストがほとんど尊敬されていない ことに気づいたので、これによってパスワードを得る方法を無知なハッカーに教えるため。 最後に正直に言えば初心者へのちょっとした訓練のためである。 彼らがこの月並みな文書を読むことによって私へのつまらないメールが無くなるだろう。
1.3 Who Cares?
初心者へ：もしあなたがコンピューターとセキュリティーの世界が、キーボードと赤い箱 によって開くことができると考えているのならそれはとんでもない間違いである。 学校に行き、学年を変えてバカハッカーとなるがいい。 ハッキングは実生活のようにあなたのシステムを越えたところに存在するものなのだ。 プログラムによってすべてを解決することはできない。 私はがたがたと述べるつもりはない、ちょっとした革新を促すための冒険のつもりである。
上級者へ：これはちょっとした助けになるだろう。
1.4 Basic intro and shit for this document.
このＦＡＱでは電話と手紙とインターネットと潜り込みの技術を説明する。 私はソーシャルエンジニアリングの道具と実際の会話の台本を提示する。 そこではフリーキングと伝統的なハッキングについての議論もあるが、 用語が間違っているとか戯言を言っているとかいったメールを私に送らないように。 私は便利なためと他にもっと適切な表現がないためにそうするのだ。 （たとえば私はゴミ漁りがソーシャルエンジニアリングのもとであるなどというが。） 技術的なことではない。
SECTION II: PHONES
2.1 Basics
これがたぶん最も一般的なソーシャルエンジニアリングの技術である。 素早く、努力を要せず、怠惰な人にもできる。指より他に動かすものはない。 ただ電話をかけるだけである。もちろん実際はもう少し複雑ではあるが。
2.2 What Equipment is necessary for this?
最も重要な道具はあなたの脳みそである。あなたは素早く思考することができなくてはならない。
物理的な道具に限れば電話が必要だ。
呼び出しに戸惑ってはならない、それではあなたが信用できない者のように思われてしまう。
呼び出し音がなる間にリズムをとろう。
電話はよいものを選び安定性を保つためコードレスは避ける。
いくつかの電話には会社のような雑音を流すことができるすてきなボタンが付いている。
Caller ID unitsはあなたがコールバックを使ったペテンを行うときに役立つ。
あなたはあなたのガールフレンドが電話にでるのを期待して"I wanna fuck you"などと言ってはならない。
電話にでるのはあなたがどういうものかを確かめようとするＩＢＭの交換手である。
Caller ID unitsならクールに"Hello,ーblankー" と言うだろう。
私はヴォイスチェンジャーを使う。それによって声を女のように高くしたりJames Earl Jones
のように低くしたりできる。それはあなたがうまく声を変えることができないときには
役に立つだろう、（救いようのない）子供だと思われないために。
性別を変えてみることはとても良いことだ。わたしはSharper Imageを持っている。
これはかなり安いものだがとても良いものだ。もし他によいものがあったら教えてくれ。
2.3 Phreaking and Social engineering?
ソーシャルエンジニアリングとフリーキングはよく交差するところがある。
それはお互いにコンピューター以外の方法で電話会社に接続する必要があるからである。
彼らは交換手から情報を引き出すために信用詐欺を使う。
赤い箱、緑の箱、その他のフリーキング技術はパスワードを獲るために長時間しようされた
電話の課金から逃れるために使われる。インターネットをと通じて、カリフォルニアに
テルネットをするのはただであるが、電話会社を通せば高くつく。
公衆電話を使うのはよいことだが雑音が気になる。公衆電話からではプロのように
聞こえさすことはできない。静かな電話ボックスを見つけよう。
2.4 How do I pull off a social engineering with a phone?
先ずターゲットを見つける。あなたがあなたの学校を狙うとしよう。
学校のコンピューターセンターのようなところに電話をかける。
あなたがアカウントをすでに持ってることとして、それが使えなくなっていると
彼らに言おう。この時点で彼らは２つのうちのどちらかを行う。
もしあなたの希望どうりに彼らがバカなら、彼らはすぐあなたに新しいアカウントを
くれるだろう。このような場合彼らはもっと大勢の人に対してそうしている。
誰かのアカウントにフィンガーをかけて学部生、教職員を特定し、ヴォイスチェンジャーをつかって
教職員を騙すのだ。人の声は電話では異なって聞こえるので望みはある。
あなたが女性でなければ女性のふりをすることに挑戦しよう。多くの男は
きれいな女性の声に弱いので何でも教えてくれるだろう。
ヴォイスチェンジャーを使い女性のように振る舞い彼らからほしいものを引き出そう。
多くの場合はあなたの正体を確かめるためにある種の照会を行うだろう。
あなたが電話をかける前にターゲットについての情報をできるだけ掴んでおくように。
もしあなたが別人に成りすましいるときに、彼らからあなたが答えられないような
身分照会を要求されたら、彼らはより疑い深くなりそのシステムを騙すことは大いに
難しくなるだろう。
馬鹿者へもう一度：DO NOT TRY TO SOCIAL ENGINEER WITHOUT SUFFICIENT INFORMATION ON YOUR MARK!
人が一度あなたのことを信じてくれたなら、そのシステムに関する情報をできる限り引きだそう。
パスワードやテルネット番号などを要求しよう。疑われるほど過剰な要求はするな。
あなたは本人のようにしゃべるためにターゲットを観察し、彼・彼女の話し方を学ばねばならない。
その人は短縮形(wan'tなど）を使うのか、引用形（likeなど）を多用するか、アクセントや
舌足らずなしゃべり方をするか、などなど。
しゃべり方を観察するのに最も良い方法は、テレホンショッピングや電話抽選のふりをして
その人物に電話をかけることである。
彼らがあなたとしゃべろうとはしないときでさえ、あなたは彼らのしゃべり方について少しは
学ぶことができるだろう。もし彼らがあなたとしゃべりたがっているのなら、彼らについての
正しい情報を手に入れられるチャンスである。
彼らが何かに当選して、あなたが彼らについての基本的な情報、住所だとか社会保障番号だとかを
必要としていることを告げよう。
WARNING: ABUSING SOMEONE'S SOCIAL SECURITY NUMBER IS ILLEAGAL!!! DON'T SAY YOU WEREN'T WARNED!!! （お約束というやつです）
SECTION III: SNAIL MAIL
3.1 Is snail mail really useful?
実際それは役に立つのだ。にせ手紙は盗聴されず、安価で、きわめて容易である。 あなたはそれをどうやってソーシャルエンジニアリングに使うのか。 私がすでに述べたように身分照会を行わないシステムを探すのは難しい。 それは存在してはいるがほとんど無いだろう。 そこで、あなたはターゲットの人物とそのシステムに関する情報を必要とする。 あなたはテレホンショッピングのペテンを行うことができるが、人はテレホンショッピングを信用しないので いつも成功するとは限らない。 しかし何故だか人は書かれた言葉は信じてしまうのだ。愚かな。 人は強い興味を示して抽選はがきに応募する。 そしてあなたのほしい情報は何でもそこに書かれるだろう。 それがにせ手紙のすばらしいところである。
3.2 What do I need?
もちろん切手や封筒などの”手紙の準備”が必要だ。さらにちょっとしたものも要る。
あなたは、”あなたの会社”のロゴと名前のはいった返信用のラベルをほしがるだろう。
それはStaplesやOffice Maxなどで比較的安い値段で入手できる。
メールソーシャルエンジニアリングで最も重要なのは、レイアウトプログラムである。
WordPerfectは良いが私はQuarkXpressやPageMakerを好む。
これらのプログラムは安くはないが、他の十分な用途に使えるので値段に見合った価値はある。
IF YOU GET IT PIRATED, I DON'T ADVOCATE THAT ACTION.
それらのプログラムを使えば全くプロのようなものが作れるだろう。さらに続けよう。
私書箱は良い。もしプロのようになりたければPO boxを使え。
私は団体に属しているのでPO boxを使う。それらはいろいろな価格で借りることができる。
安く借りてもっと効果的なことに金を使おう。
3.3 I've got the stuff, now what?
あなたの標的は何か？、メールソーシャルエンジニアリングにとっては、多数の人が標的となるだろう。
従って、あなたの手紙は大規模な懸賞のように見えなくてはならない。
そのように見せかけるためにコンピューターラベルなどを使う。
あなたはその会社の従業員と、その住所のリストを必要としている。
あなたの手紙をジャンクメールと比べて、フォームなどをごまかすようにつとめよう。
埋めなければならない欄は少なくし、重要なものを載せておく。
すかしを入れておくことも良いだろう。ビジネス用のフォントと流行に近い言葉を使う。
すべては嘘である。社会保障番号を常に含んでいなければならない。
さらに受賞を確認するためのパスワードを言うことが必要であると要求するのも良い。
運が良ければそれらは、ネット上のアカウントパスワードと同じである。
実際人はこのような材料で引っかかるものだ。
誰かにそれを埋めてもらうには、簡単で視覚的アピールがないとだめだ。
難しい選択にしてはいけない。チェックボックスにするのが効果的である。
ちゃんと信用されるように作らねばならない。ソーシャルエンジニアリングにとって信用こそが全てである。
後はそれらの手紙を出して待つだけだ。いくつかの返事を受け取ったら、基本的な電話ソーシャル
エンジニアリングに入る。最も一般的な確認は社会保障番号だ。
さらに必要なことがあれば別のフォームで手紙を出す。たとえば未婚時の名前などがある。
SECTION IV: INTERNET
4.1 Isn't this just a form of hacking?
それは要を得ていると思う。ハッキングはセキュリティーの穴を突き、ソーシャルエンジニアリング
は人の常識の盲点を突く。システムにフィンガーが可能であるという穴を突き、あなたの
ターゲットを見つけることがソーシャルエンジニアリングの始まりとしてはよい方法である。
フィンガーは多くの場合フルネームと最後にログインした時間、場所などの情報を
提供する。めったにいない人を見つけるのだ。
ＩＲＣやチャットでシスオペのふりをしてパスワードを教えてもらおうとするのも
古典的な企てである。
実際、一般的にインターネットやオンライン上でとる行動は、
熟慮された伝統的なものであるが、あなたが平均的な脳を持っているのならひらめきが浮かぶだろう。
SECTION V: LIVE, FROM NEW YORK...
5.1 In person?
もちろんきわめて重要である。電話や手紙でもできるが、時には自分自身で 尻を上げてやらねばならないときもある。机を漁ってパスワードを奪う、つまり 会社に直行し探し回るのだ。職場に潜り込む方法である。
5.2 Equipment
それはハッカー修行の中で大きな困難に直面するときである。
Ｔシャツを着たり、ウォークマンなどをつけた怪しげな格好でＶＩＡＣＯＭ社
に入っていってはならない。スーツを着て髪を整え堂々としていなければならない。
手を抜くな。行儀良くしているのだ。もしあなたが会社員であると思われたいならそうしなくてはいけない。
だからスーツは必要である。もしあなたが背が低いにもかかわらず極めて太っていたり、
２０歳よりも若く見られるのなら、この方法は避けるべきである。
あなたは滑稽に見えて、セキュリティーに呼ばれるだろう。
あなたが従業員の子供と間違えられるほど若いのなら、たぶん先に進めるだろうが、ほとんどの人には無理だろう。
ベルトなどにはさむブラスチックシートに入った、写真付きの偽のＩＤカードを
付けておけばより尤もらしく映る。
訪問者、見学者のバッジを付けるのも良いだろう。それであなたの不自然な態度も
正当なものであると思われるに違いない。
5.3 I'm sweating in this suit..now what?
訪問者、見学者用のバッジなどをきらめかせながら自信を持って社内を歩こう。
あなたがそこに属しているものとして、どこを見て回ったらいいだろうか。
小部屋を歩き回って私物を観察したり、ＵＮＩＸのコンピューターを見つけよう。
それは大きなウィンドウプレートの向こうにあるのでどのように接続されているか調べよう。
ゴミ箱あさりや望遠鏡で覗くことを除けばそれはよい偵察になるだろう。
DO NOT TRY TO HACK WHILE IN THE BUILDING! IT'S PRETTY SUSPICIOUS LOOKING!
SECTION VI: PUTTING IT TOGETHER
あなたがあなたの学校の記録や化学会社の新薬（毒物）を知りたがったとする。
しかしそこではＶＡＸを使っていてパスワードを入力する必要があるとする。
どうすればいい？先ず従業員の名簿を手に入れるのだ。
学校なら名簿を使い、会社なら会社に潜り込むソーシャルエンジニアリングを使って
従業員名簿や配属表を探す。右を向いて社員にでも尋ねてみればいい。
人の前では穏やかに振る舞うことを忘れるな。ちゃんと信用されなければならない。
それぞれの従業員のアカウントにフィンガーをかけて、過去数ヶ月間のアカウントの使用状況を見て、
使われていないアカウントを見つける。それがあなたのターゲットとなるので
名前を書き留めておく。
そして電話帳を見て住所を調べ、ＤＴＰプログラムを使って
懸賞、抽選や一般的にありそうな記事を作成する。少しも嘘っぽく見られないように
作らなければいけない。もう一度言おう、信頼性こそ全てである。
他の情報欄と同じく社会保障番号を書く欄を必ず設け、それらを発送する。
相手が近所でなければ切手代は必要となる。もし相手があなたを信用したのならこれを繰り返そう。
そして電話を取り彼らのシスアドを呼び出し、女の声を使う。なぜなら彼らは
日中はほとんど女を見ることはない。彼らはすぐに女の声に騙されるだろう。
困っているように話そう、彼らはそれを好む。
もし彼らがパスワードをくれなくても、あなたは彼らの身分照会に必要な情報を
十分に持っている。もしあなたが女のふりをしているなら彼らはほとんど教えてくれる。
会社で彼らを見かけて気に入ったとでも言ってやれば、パスワードなどいただきだ。
That's it. Once you're in, do what you do..i can't help you from here.
Any questions? Email bernz at bernz@ix.netcom.com