В конце октября 2026 года Дамьен занял второе место на Social Engineering CTF на Hackfest в Квебеке, это было его седьмое участие в этом соревновании. Двадцать участников столкнулись с заданием по сбору информации и телефонному манипулированию, касающемуся 28 компаний. У них было тридцать минут, чтобы получить максимум сведений от настоящих сотрудников.
Первый этап проходил в письменной форме за неделю до Hackfest. Участники должны были заполнить разведывательный отчет с длинным списком вопросов о таких компаниях, как Decathlon, Ikea, Air Canada или Home Depot, например, о подрядчике по борьбе с вредителями, компании, управляющей торговыми автоматами, или наличии столовой. Каждый ответ должен был быть обоснован открытым и проверяемым источником. Дамьен сообщает, что нашел около 95% ответов, однако этот результат составлял лишь половину оценки.
Другая половина разыгрывалась по телефону, и время выступления определялось жеребьевкой. Дамьену выпал обеденный перерыв, время, когда у некоторых сотрудников есть всего пятнадцать минут. Тем не менее, ему удалось продолжить соревнование.
Для этих разговоров он подготовил пять инструментов. Он упоминает, в частности, справочник, позволяющий связывать контактные данные, должности и отделы, синтезатор звуковых атмосфер, состоящий из примерно пятидесяти MP3-файлов, и собственную искусственную интеллект, которую он представляет как средство быстрого поиска уже собранных и проверенных элементов контекста. По его словам, « тон, ритм, паузы, колебания и реакции моего собеседника остаются важнейшими », и никакое программное обеспечение не может гарантировать идеального считывания человеческого поведения.
Смена персонажа для выхода в финал
В финале у участников было двадцать минут на сбор информации с помощью публики, а затем тридцать минут на телефонные звонки. Из 67 поставленных целей Дамьен достиг 39 напрямую от своих собеседников. Чтобы повысить доверие, он создал персонаж профсоюзного деятеля, ответственного за завершение внутреннего опроса о требованиях по зарплате, после десяти дней чтения местной прессы.
Он рассказывает, что один руководитель, прошедший обучение по кибербезопасности тремя неделями ранее, ввел интернет-адрес, предложенный во время звонка. Его оправдание поразило автора: « Я ввел его, потому что там есть название моей компании, иначе я бы ничего не вводил! » Дамьен подчеркивает, что наличие названия компании в адресе ничего не гарантирует.
В конкурсе также была система измерений: участники были подключены к детектору лжи и кардиомонитору во время звонков. Сердце одного из них достигло 155 ударов в минуту.
Второе место и урок о человеке
Дамьен вспоминает фразу хакера Кевина Митника, услышанную во время его визита в Лилль: « Знаешь, Дамьен, самое сложное, не говорить с ними, а слышать их дыхание! »
За три дня соревнования Дамьен позвонил 43 людям и всем им перезвонил, чтобы объяснить контекст. Он указывает, что фраза одного участника, « Ну да, конечно, меня поймали! », резюмирует этот опыт. Он считает, что обучение должно ставить сотрудников перед реалистичными ситуациями, ведь настоящая ловушка может начаться с банального разговора.
« В киберразведке самая ценная информация, не всегда та, которую обнаруживает инструмент. Иногда это та, которой человек соглашается поделиться, даже не понимая, почему его об этом спрашивают ».
