Взломать всё как сильные мира сего используют уязвимости систем в своих интересах

44. Внимание и зависимость

гиперконсервативные социальные сети, появившиеся после того, как Дональду Трампу запретили пользоваться Twitter*, не имеют и близко такой власти, как крупные транснациональные компании социальных сетей.

Логической крайностью хакинга внимания является зависимость — самая эффективная форма удержания внимания. Хак заключается не в самом физиологическом процессе зависимости, а в том, как заставить кого-то стать зависимым. Создавая свои продукты так, чтобы они вызывали привыкание, производители и разработчики гарантируют, что клиенты и пользователи будут продолжать их использовать. Иногда зависимость бывает физиологической, но чаще всего она начинается как поведенческая фиксация, закрепляемая с помощью эндорфинов, адреналина и других нейрохимических веществ, выброс которых вызывает такое поведение.

Базовая методология поведенческой зависимости хорошо иллюстрируется на примере игрового автомата. Мы знаем, что переменные вознаграждения вызывают большее привыкание, чем вознаграждение фиксированное, а азартные игры по своей природе предоставляют именно такой вид вознаграждения. На первом этапе процесса возникает триггер — пусковой механизм, который привлекает наше внимание. Игровые автоматы нарочито яркие и шумные. Они шумят и тогда, когда ими никто не пользуется, и тогда, когда кто-то выигрывает. Второй этап представляет собой действие, которое запускает ожидание вознаграждения. Эту роль выполняет ставка — когда-то это была монета, опущенная в слот, сегодня достаточно нажать кнопку. Третий этап — переменное вознаграждение: вы то выигрываете, то проигрываете. На четвертом этапе начинаются эмоциональные инвестиции, которые увеличивают склонность игрока к повторному входу

*После покупки Twitter Илоном Маском среди пользователей был проведен опрос, по результатам которого в конце 2022 г. аккаунт Дональда Трампа разблокирован и вновь активен. — Прим. ред.

251

Часть VI. Хакинг когнитивных систем

вцикл. Все любят победителей. Еще одно нажатие кнопки, и — кто знает? — может быть, джекпот будет вашим.

Онлайн-игры тоже относятся к аддиктивным процессам с переменным вознаграждением, особенно игры с лутбоксом — наборами цифровых товаров. Игроки платят — иногда игровой валютой, но в основном реальными деньгами — за случайный набор внутриигровых предметов. Ценные предметы встречаются в лутбоксах нечасто, иногда очень редко, что имитирует аддиктивные характеристики игрового автомата. Видеоигры в целом обычно разрабатываются с десятками поведенческих настроек, призванных удерживать игроков онлайн как можно дольше — до такой степени, что их аддиктивный характер является секретом Полишинеля.

Информационные продукты, такие как приложения для смартфонов и сайты социальных сетей, специально созданы для того, чтобы аналогичным образом вызывать привыкание. Триггерами служат оповещения, которые привлекают наше внимание: звуковые сигналы, звонки, вибрация, push-уведом- ления. (Не правда ли, прямо по Павлову?) Действием становится клик, который приносит с собой предвкушение награды. Переменные вознаграждения — это лайки, посты, комментарии, изображения и все остальное, что появляется

вленте.

Ничто из этого не является случайным. Цифровые платформы могут обновлять свои страницы автоматически, без вмешательства пользователя, если бы так решили их разработчики. Но принуждение пользователей к нажатию кнопок или пролистыванию страниц, чтобы увидеть больше сообщений, имитирует поведение игрового автомата и создает иллюзию контроля, которая приучает вас делать это снова и снова. Аналогичным образом, любого рода пакетные уведомления — когда все новые уведомления показываются один раз в день — снижают эффект переменного вознаграждения, а значит, и аддиктивность. Вот почему эта удобная и простая

252

45

Убеждение

В 2014 г. боты, выдававшие себя за женщин в приложении для знакомств Tinder, отправляли текстовые сообщения пользо- вателям-мужчинам, вели с ними банальную светскую беседу, упоминая в ней мобильную игру Castle Clash, в которую они якобы играли, и затем давали ссылку. С точки зрения хакерского мастерства это было довольно неубедительно. Игра велась на разных мужских эмоциях, включая доверие

исексуальное желание, но новая «подруга», если вы хоть немного включали критическую оценку, явно была ботом. Достоверно неизвестно, насколько успешно эти поддельные аккаунты убеждали людей скачать и поиграть в игру, пока Tinder не удалил их.

Этот пример не уникален. Чат-боты регулярно используются для манипулирования человеческими эмоциями

иубеждениями людей в коммерческих и правительственных целях. В 2006 г. армия США развернула SGT STAR, чат-бота, призванного убеждать людей вступать в армию. Технологии ИИ и робототехники делают подобные усилия намного эффективнее.

В1970-х г. Федеральная торговая комиссия попросила руководителей рекламных агентств объяснить им, что такое маркетинг. До этого у членов комиссии было довольно примитивное представление об отрасли. Они полагали, что

254

45. Убеждение

реклама — это средство, с помощью которого компании объясняют потенциальным потребителям преимущества своей продукции. Но, конечно, реклама уже тогда была чем-то большим, а современные рекламные технологии, направленные на взлом когнитивных систем, и подавно.

Убеждение — дело непростое. Из-за страха перед манипуляциями и просто опасаясь перемен люди часто противятся попыткам изменить их мнение или поведение196. Но, несмотря на наше осознанное и неосознанное сопротивление, бесчисленные уловки незаметно меняют наше мнение. Многие из этих хаков до смешного просты, например эффект иллюзорной правды: люди охотнее верят в то, что они слышали неоднократно. (По сути, это метод большой лжи, только с другого конца: если вы повторяете ложь достаточно часто, ваши слушатели начнут в нее верить.) Люди с аналитическим складом ума противостоят эффекту иллюзорной правды ничуть не лучше всех остальных. На самом деле повторение лжи и полуправды со стороны элит и СМИ может объяснить устойчивость ложных убеждений. В любом случае очевидно, что такие простые приемы, как повторение одного и того же, могут ускользнуть от нашего внимания и сделать свою работу, незаметно в чем-то убедив нас.

Капельное ценообразование — еще один пример. Оно широко распространено в сфере авиаперевозок и гостиничного бизнеса, поскольку цена — это первый атрибут, на который люди обращают внимание при выборе туристических услуг. Хак заключается в том, чтобы сначала показать низкую цену, а затем накрутить дополнительные сборы в надежде, что покупатель не обратит на них внимания. Исследование, проведенное на базе StubHub, онлайн-площадки по продаже билетов, показало, что капельное ценообразование заставляет людей потратить197 в среднем на 21% больше, чем прямое выставление цены.

255

Часть VI. Хакинг когнитивных систем

Некоторые продавцы используют ложные цены, чтобы повлиять на покупателей. Если вы выбираете между двумя товарами, более дешевым и более дорогим, вы попытаетесь оценить их достоинства и, возможно, выберете тот, что дешевле. Но если продавец добавит третий товар-приманку, еще более роскошный и дорогой, вы, скорее всего, выберете средний вариант.

В интернете для убеждения часто прибегают к темным паттернам. Большая часть пользовательского интерфейса компьютера строится на метафорах и нормах, которые доступно объясняют нам, людям, что творится «под капотом» компьютера. Файлы, папки и каталоги — все это не что иное, как метафоры. И они не всегда точны. Перемещая файл в папку, мы на самом деле ничего не перемещаем, а просто меняем указатель, обозначающий место хранения файла. Удаление файла — это не то же самое, что уничтожение физического объекта. Обвиняемые на скамье подсудимых узнают об этом снова и снова, когда файлы, которые, как они думали, были удалены, неожиданно используются против них обвинителями. Но для большинства целей метафоры довольно точно отражают смысл процессов. Нормы, насколько это возможно, тоже взяты из реальной жизни.

Темные паттерны — это термин, обозначающий подрывные хаки в дизайне интерфейса, которые используют общепринятые элементы, чтобы подтолкнуть пользователей к определенным действиям. Обычно стандартизированный дизайн помогает нам в процессе различных онлайн-взаи- модействий; это визуальный язык, которому мы доверяем. Например, при таком привычном виде активности, как вождение автомобиля, зеленый цвет означает движение, а красный — остановку. Эти же цвета постоянно используются в качестве ориентиров в пользовательских интерфейсах. Но они превращаются в темный паттерн, когда ряд зеленых кнопок «Продолжить» внезапно прерывается кнопкой

256

46

Доверие и авторитет

19 марта 2016 г. Джон Подеста, в то время председатель президентской кампании сенатора Хиллари Клинтон, получил электронное письмо якобы от Google. Это было предупреждение о безопасности, и в нем содержалась ссылка на страницу, похожую на страницу входа в Google. Подеста спокойно ввел свои учетные данные, но позже оказалось, что эта страница вовсе не была страницей Google. На самом деле она управлялась ГРУ, российской военной разведкой. Как только оперативники по ту сторону экрана получили пароль Подесты от сервиса Gmail, они завладели по меньшей мере 20 000 его электронных писем, а затем слили их в WikiLeaks для публикации. Это был хакинг с помощью средств социальной инженерии.

Социальная инженерия — весьма распространенный способ взлома компьютерных систем. По сути, это убеждение человека, имеющего особый доступ к системе, в том, чтобы он использовал его не по назначению. Более 20 лет назад я написал: «Только любители атакуют машины; профессионалы нацелены на людей»198. Это утверждение верно и сегодня. И в первую очередь оно касается хакерских методов, основанных на доверии.

Один из таких методов представляет собой звонок на линию техподдержки сотового оператора под видом другого человека

258

46.Доверие и авторитет

сцелью убедить сотрудника перевести номер этого человека на телефон, который вы контролируете. Эта атака, известная как подмена SIM-карты, особенно неприятна, поскольку кон-

троль над номером телефона открывает путь другим видам мошенничества и часто приводит к большим потерям. Известен случай, когда жертва лишилась вследствие такой атаки $24 млн199, а совокупные потери просто огромны.

Существует гигантское количество вариаций на тему социальной инженерии. Они могут выглядеть как телефонный разговор с сотрудником — именно так в 2020 г. хакеры завладели 130 аккаунтами Twitter200 — или как переписка по электронной почте. Термином «фишинг» обозначают отправку фальшивых электронных писем с целью убедить получателя перейти по ссылке, открыть вложение или сделать что-то еще, ставящее под угрозу безопасность компьютера или банковского счета получателя. Фишинговые атаки не слишком эффективны, поскольку злоумышленники забрасывают широкую сеть и делают свои призывы достаточно общими. Термин «целевой фишинг» используется, когда эти письма становятся персонализированными. Чтобы составить убедительное сообщение, требуется серьезно исследовать адресата, но оно может быть очень эффективным методом взлома. Подеста попался как раз на такой крючок. Как и бывший госсекретарь Колин Пауэлл.

В главе 12 я рассказал о компрометации деловой электронной почты. Хакер получает доступ к электронной почте руководителя компании, а затем пишет подчиненному что-то вроде: «Здравствуйте. Это генеральный директор. Да, это непривычно, но я в командировке и не имею обычного доступа к сети. Мне нужно, чтобы вы прямо сейчас перевели $20 млн на этот иностранный счет. Это важно. От этого зависит крупная сделка. Я пришлю вам необходимые бумаги, когда вернусь в отель». В зависимости от того, насколько хорошо хакеру удастся сделать детали правдоподобными,

259

Часть VI. Хакинг когнитивных систем

насколько сотрудник будет рассеян и доверчив и как все вместе впишется в реальную ситуацию, этот хак может оказаться весьма успешным. В 2019 г. компания Toyota потеряла $37 млн из-за подобной аферы, пополнив длинный список ее жертв.

В2015 г. сирийские женщины-агенты, флиртуя по Skype

сдоверчивыми повстанцами, сумели выведать у них планы сражений, а также личные данные высокопоставленных руководителей. Российская разведка использовала ту же тактику, пытаясь выведать секретную информацию у военнослужащих США.

Технологии облегчают подобные махинации. Сегодня преступники используют технологию дипфейк для совершения атак методами социальной инженерии. В 2019 г. генерального директора британской энергетической компании обманом заставили перевести201 €220 000, подделав голос его босса из материнской компании и подтвердив телефонный звонок электронным письмом. В этом хаке использовалась только цифровая обработка голоса, но и видеоизображение уже на подходе. Известен случай, когда мошенник использовал силиконовую маску для записи видео202 и обманом заставил людей перевести ему миллионы долларов.

Этот вид мошенничества может иметь и геополитические последствия. В рамках научного исследования были созданы очень убедительные видеоролики, в которых политики говорят то, чего они не говорили, и делают то, чего не делали. В 2022 г. видео, на котором президент Украины Владимир Зеленский призывает украинские войска сдаться, было развенчано самим Зеленским. Хотя ролик сделан кое-как и в нем легко можно распознать фальшивку, со временем при развитии технологий такие подделки станут намного лучше.

Одного существования такой технологии уже достаточно для того, чтобы подорвать наше доверие к аудио- и видеодо-

260