2026年10月末、ダミアンはケベック・ハックフェストのSocial Engineering CTFで2位を獲得した。これは彼の7回目の参加となる。20人の参加者が、28社を対象とした情報収集と電話による操作の演習に挑み、実際の従業員から最大限の情報を30分以内に入手することを競った。
最初のステージは、ハックフェストの1週間前に書面で行われた。参加者は、Decathlon、Ikea、Air Canada、Home Depotなどの企業について、害虫駆除業者、自動販売機管理会社、食堂の有無など、長い一連の質問を含む偵察レポートを記入する必要があった。各回答は、公開され検証可能な情報源で裏付けられなければならない。ダミアンは約95％の回答を見つけたと述べているが、この結果は評価の半分に過ぎなかった。
残りの半分は電話で行われ、参加時間は抽選で決まった。ダミアンは昼休みの時間帯に当たり、一部の従業員は15分しか時間がない状況だった。それでも彼は競技を続行できた。
これらの通話のために、彼は5つのツールを準備していた。具体的には、連絡先、役職、部署を関連付けるディレクトリ、約50のMP3ファイルで構成された環境音合成ツール、そして自前の人工知能を挙げている。彼はこのAIを、既に収集・検証済みの文脈情報を素早く引き出す手段として紹介している。彼によれば、「相手の口調、リズム、沈黙、ためらい、反応が依然として重要だ」とし、人間の行動を完璧に読み取ることを保証するソフトウェアはないとしている。
キャラクターを変えて決勝へ
決勝では、参加者は20分間で観客の助けを借りて情報を集め、その後30分間で電話をかける時間が与えられた。67個の目標のうち、ダミアンは39個を直接の通話相手から入手した。信頼性を高めるため、彼は10日間地元の新聞を読み込んだ後、賃金要求に関する内部アンケートを最終化する組合員という役を構築した。
彼は、3週間前にサイバーセキュリティ研修を受けた監督者が、通話中に提示されたインターネットアドレスを入力したエピソードを語る。その理由が印象的だったという：「会社の名前が入ってたから入力したんだ、でなきゃ何も入力しないよ！」ダミアンは、URLに会社名が含まれていることは何の保証にもならないと強調する。
この競技には測定装置も含まれていた：参加者は通話中、嘘発見器と心拍モニターに接続されていた。ある参加者の心拍数は毎分155回に達した。
2位と人間に関する教訓
ダミアンは、リールでの講演で聞いたハッカー、ケビン・ミトニックの言葉を思い出す：「ダミアン、一番難しいのは彼らと話すことじゃないんだ、彼らの呼吸を聞くことなんだよ！」
3日間の競技中、ダミアンは43人に電話をかけ、全員に状況を説明するため折り返し連絡した。ある参加者の言葉、「あらま、やられちゃったね！」がこの経験を要約していると述べる。彼は、従業員教育では現実的な状況に直面させるべきだと考える。真の罠は、何気ない会話から始まる可能性があるからだ。
「サイバーインテリジェンスにおいて、最も貴重な情報は必ずしもツールが発見するものではない。時には、人間がなぜ求められているのかも理解せずに共有を承諾する情報なのだ。」
