Pod koniec października 2026 roku Damien zajął drugie miejsce w konkursie Social Engineering CTF na festiwalu Hackfest w Quebecu, co było jego siódmym udziałem w tych zawodach. Dwudziestu uczestników zmierzyło się z ćwiczeniem wywiadu i manipulacji telefonicznej obejmującym 28 firm, mając trzydzieści minut na uzyskanie jak największej ilości informacji od prawdziwych pracowników.
- Damien zajął drugie miejsce w konkursie Social Engineering CTF na festiwalu Hackfest.
- Uczestnicy zbierali informacje o firmach w raporcie pisemnym i podczas rozmów telefonicznych.
- Damien przyjął personę związkowca i uzyskał 39 z 67 celów bezpośrednio od rozmówców.
- Autor uważa, że czynnik ludzki pozostaje najważniejszy, dlatego szkolenia powinny być realistyczne.
Pierwszy etap odbywał się na piśmie, tydzień przed Hackfestem. Uczestnicy musieli wypełnić raport rozpoznawczy zawierający długą serię pytań o firmy takie jak Decathlon, Ikea, Air Canada czy Home Depot, na przykład o dostawcę usług deratyzacji, firmę zarządzającą automatami z napojami czy obecność stołówki. Każda odpowiedź musiała być uzasadniona otwartym i weryfikowalnym źródłem. Damien wskazuje, że znalazł około 95% odpowiedzi, jednak wynik ten stanowił tylko połowę oceny.
Druga połowa rozgrywała się przez telefon, a godzina występu była losowana. Damienowi wypadła przerwa obiadowa, czas, w którym niektórzy pracownicy mają tylko piętnaście minut. Mimo to udało mu się kontynuować konkurs.
Na te rozmowy przygotował pięć narzędzi. Wymienia między innymi książkę telefoniczną pozwalającą powiązać dane kontaktowe, stanowiska i działy, syntezator dźwięków otoczenia składający się z około pięćdziesięciu plików MP3 oraz własną sztuczną inteligencję, którą przedstawia jako sposób na szybkie odnalezienie już zebranych i zweryfikowanych elementów kontekstu. Jego zdaniem, « ton, rytm, cisze, wahania i reakcje mojego rozmówcy pozostają kluczowe » i żadne oprogramowanie nie może zagwarantować idealnego odczytu ludzkiego zachowania.
Zmiana persony, by dotrzeć do finału
W finale uczestnicy mieli dwadzieścia minut na zebranie informacji z pomocą publiczności, a następnie trzydzieści minut na rozmowę telefoniczną. Spośród 67 celów do osiągnięcia, Damien uzyskał 39 bezpośrednio od swoich rozmówców. Aby zyskać wiarygodność, stworzył postać związkowca odpowiedzialnego za finalizację wewnętrznego sondażu dotyczącego roszczeń płacowych, po dziesięciu dniach czytania lokalnej prasy.
Opowiada, że jeden przełożony, który trzy tygodnie wcześniej przeszedł szkolenie z cyberbezpieczeństwa, wpisał adres internetowy podany podczas rozmowy. Jego uzasadnienie utkwiło autorowi w pamięci: « Wpisałem go, bo jest tam nazwa mojej firmy, inaczej bym nic nie wpisał! » Damien podkreśla, że obecność nazwy firmy w adresie niczego nie gwarantuje.
Konkurs obejmował także urządzenie pomiarowe: uczestnicy byli podłączeni do wykrywacza kłamstw i monitora pracy serca podczas swoich rozmów. Serce jednego z nich osiągnęło 155 uderzeń na minutę.
Drugie miejsce i lekcja o człowieku
Damien przypomina zdanie hakera Kevina Mitnicka, które usłyszał podczas swojej wizyty w Lille: « Wiesz, Damien, najtrudniejsze nie jest z nimi rozmawiać, tylko usłyszeć ich oddech! »
Podczas trzech dni konkursu Damien zadzwonił do 43 osób i do wszystkich oddzwonił, aby wyjaśnić kontekst. Wskazuje, że zdanie jednego z uczestników, « No tak, dałem się złapać! », podsumowuje to doświadczenie. Uważa, że szkolenia świadomościowe powinny konfrontować pracowników z realistycznymi sytuacjami, ponieważ prawdziwa pułapka może zaczynać się od banalnej rozmowy.
« W cyberwywiadzie najcenniejsze informacje nie zawsze są tymi, które odkryje narzędzie. Czasami są to te, które człowiek zgadza się przekazać, nawet nie rozumiejąc, dlaczego się o nie pyta. »
