Почему обманули даже Ньютона, или Как изменилась социнженерия за три века

Триста лет назад лопнул финансовый пузырь South Sea Company.

Цена акций рухнула с 1000 фунтов в августе до 124 в декабре. Вкладчики потеряли тысячи фунтов, инвесторы разорились. В Лондоне выросло число самоубийств, возмущенные люди выходили на улицы и требовали объяснений.

Среди инвесторов South Sea Company был и Исаак Ньютон — известный ученый и математик, который к этому моменту уже сформулировал законы движения и всемирного тяготения.

По некоторым оценкам, в пересчете на современные деньги Ньютон тогда потерял около 40 млн фунтов.

South Sea Company создали для торговли с Америкой. Компания рассчитывала получать прибыль от перевозки африканских рабов в испанские колонии — в то время на этом можно было хорошо заработать.

Расчеты не оправдались. Торговля приносила меньше денег, чем обещали инвесторам, а компания все больше зависела от продажи собственных акций. Но это не мешало им дорожать — все больше людей покупали их в надежде заработать.

В сентябре 1720 года пузырь лопнул. К декабрю акции упали с 1000 до 124 фунтов — почти на 88% от августовского пика.

Во многом схема держалась на двух механизмах, которые сегодня можно узнать в социнженерии.

Авторитет и доверие 

South Sea Company совсем не выглядела как сомнительный проект с громкими обещаниями. 

• Компанию создали по решению парламента как совместный проект государства и бизнеса.
• South Sea Company получила монополию на торговлю — конкурентов у нее почти не было.
• Позже ее возглавил король Георг I. Для инвесторов это был знак доверия со стороны государства.
• Затем парламент передал компании работу с государственным долгом. Связь с государством стала еще заметнее.

То есть доверие строилось не просто на каких-то госконтрактах — за бизнесом буквально стояли парламент, государственный долг и монопольное право.

Жадность 

Руководители South Sea Company подогревали интерес к акциям и их цену.

• Инвесторам обещали высокую доходность.
• Людей из своего круга убеждали покупать бумаги, а некоторых даже подкупали, чтобы поддерживать спрос.
• Чем больше людей покупали акции, тем больше росла цена. Рост привлекал новых инвесторов, которые тоже хотели заработать.

Историю South Sea Company часто приводят как пример того, как общий ажиотаж и поведение окружающих влияют на решения людей. Причем от этого могут не защитить ни опыт, ни высокий интеллект.

Прошло три века. Появились интернет, мессенджеры, ИИ, дипфейки, а человеческие механизмы, на которых держится обман, остались прежними. Разберемся, что в социнженерии действительно изменилось, а что осталось тем же.

Около 130 лет назад голландский промышленник Жак ван Маркен предложил нанимать «социальных инженеров» — специалистов, которые будут заниматься условиями труда, мотивацией сотрудников и отношениями внутри коллектива.

На фабриках уже были специалисты, которые отвечали за машины и производственные процессы. Ван Маркен считал, что работа с людьми тоже должна быть системной — ведь условия труда, мотивация и лояльность сотрудников влияют на результат не меньше, чем оборудование.

Через 15 лет американский социальный инженер Уильям Толман выпустил книгу «Social Engineering» и посвятил отдельную главу новой профессии — «социальный секретарь». 

Социальный секретарь принимал жалобы сотрудников, помогал новичкам освоиться, собирал предложения по улучшению работы, организовывал обучение и отдых, навещал заболевших. В некоторых компаниях социальный секретарь даже закупал продукты и составлял меню для фабричной столовой.

Толман пишет, что социальный секретарь должен был заслужить доверие сотрудников: к нему можно было прийти с жалобой, рассказать о домашних и личных проблемах и не бояться увольнения. 

Главной задачей социального секретаря было выстроить доверительные отношения с людьми и помогать им. 

В XX веке термин вышел за пределы фабрик. Его масштаб вырос — социальную инженерию стали применять уже к целым обществам. В нацистской Германии и СССР государство пыталось управлять поведением миллионов людей через планирование, учет и организацию труда.

После войны социальная инженерия стала ассоциироваться с массовым контролем, но сама идея сохранилась — уже в других областях, где изучали влияние среды и правил на поведение людей. Например, в организационной психологии или системном менеджменте.

В конце XX века социнженерия пришла в кибербезопасность.

Можно сказать, что современный смысл социнженерии закрепил Кевин Митник. В 1980—1990 годах этот американский хакер проникал в системы крупных компаний, используя не только технические уязвимости, но и людей.

Митник звонил сотрудникам этих компаний, выдавал себя за коллегу и выманивал пароли или другую нужную ему информацию. Он показал, что техническую защиту можно обойти разговором с правильным человеком.

Так за один век смысл термина перевернулся. У Толмана социальный инженер заслуживал доверие сотрудника, чтобы помочь ему, сегодня же социнженерия использует доверие уже совсем с другой целью — чтобы обмануть.

Обман — один из главных инструментов социальной инженерии, а появился он задолго до компьютеров.

Например, истории Троянского коня около трех тысяч лет, но даже сегодня она укладывается в один из современных фреймворков атак с использованием социальной инженерии.

В этом фреймворке четыре этапа: подготовить атаку, создать убедительную легенду, добиться нужного действия и завершить атаку, не вызвав подозрений.

1. Подготовка. Атакующий выбирает цель, собирает информацию и решает, какой способ подойдет лучше. Греки поняли, что взять Трою штурмом не получается, и придумали другой способ попасть внутрь — построили деревянного коня и спрятали в нем воинов.
2. Легенда и доверие. Угроза должна выглядеть достаточно убедительно, чтобы жертва сама сделала нужный шаг. Греки сделали вид, что отступили, а деревянного коня оставили как подношение богам. Троянцы поверили, что опасности больше нет, и конь не представляет угрозы. 
3. Действие жертвы. В какой-то момент жертва делает то, что нужно атакующему. Троянцы сами внесли коня за городские стены — вместе со спрятанными внутри греческими воинами. 
4. Завершение атаки. Обман должен продержаться достаточно долго, чтобы атакующий успел воспользоваться результатом. Так воины оставались внутри коня, пока он не оказался в городе. 

Механика социнженерии в том, что атакующий создает убедительную ситуацию, а нужное действие совершает уже сама жертва. За три тысячи лет изменились инструменты, но этот принцип почти не изменился.

Мошенничество не всегда связано с воздействием на человека, а манипуляция не всегда преступна. Социнженерия в ИБ находится на пересечении — это манипуляция человеком с преступной целью

Однажды известный лондонский торговец тканями Морис Ллевеллин решил использовать своего бывшего подмастерья Пола Барроу, чтобы быстро заработать. 

Он придумал выдать Барроу за успешного предпринимателя. Поставщики шелка должны были поверить ему и продать большие партии товара в кредит. После этого Барроу тайно передавал шелк Ллевеллину и объявлял о банкротстве. 

Чтобы убедить поставщиков, Ллевеллин поселил Барроу в доме в престижном районе Лондона, арендовал ему два магазина на Королевской бирже и заполнил их дорогим шелком. Еще Ллевеллин дал Барроу деньги на первые платежи. 

План сработал. Поставщики видели успешный бизнес и продавали Барроу крупные партии шелка. 

Когда обман раскрылся, оказалось, что поддельной была не только репутация. Мошенники подготовили фальшивые бухгалтерские книги, долговые обязательства и задним числом оформленные документы о передаче имущества.

Тогда в 1609 году продавцы тканей уже знали, что мошенники существуют. Любой опытный торговец мог проверить репутацию успешного предпринимателя с двумя магазинами и роскошным домом в центре Лондона. Мог привлечь свидетелей, потребовать поручителей или гарантии.

Торговцы поверили Барроу не потому, что были глупыми. Проверка требует времени, денег и усилий, а перепроверять каждого человека и каждую сделку невозможно. Поэтому даже опытные торговцы постоянно выбирали, когда проверять контрагента, а когда рискнуть и довериться.

Полностью отказаться от доверия нельзя. В большинстве сделок доверие экономит время и делает деловые отношения вообще возможными.

За три тысячи лет люди не перестали доверять, почти не изменилась и схема обмана. Зато сильно изменилась среда, в которой мошенники используют это доверие.

Чем больше цифровых сервисов и каналов связи мы используем, тем шире периметр атаки. 

Теперь вместо слухов в лондонских пабах и записей в гроссбухах — рабочая почта и мессенджеры, соцсети, банковские приложения и маркетплейсы, доставки и подписки. Каждый новый сервис дает мошеннику больше возможностей для атаки.

А еще мы постоянно находимся в потоке контента и не можем одинаково внимательно обрабатывать все сообщения. Поэтому часть реакций автоматизируется — мы переходим на автопилот.

В нашем исследовании «Почему умные люди ведутся на глупые разводы» мы используем понятие «фильтр на правдоподобность». Это быстрая внутренняя проверка в момент, когда приходит подозрительное сообщение или просьба: похоже ли происходящее на правду и логично ли то, чего от нас хотят.

За доли секунды мы оцениваем: Что происходит? Подходит ли мне роль в этой ситуации? Могу ли я сделать то, что от меня требуют?

Если все выглядит логично и правдоподобно, мошеннический сценарий проходит фильтр.

Когда мы перегружены и действуем на автопилоте, нам сложнее заметить нестыковки. Поэтому сегодня фильтр на правдоподобность должен быть шириной с Ла-Манш. 

Постоянные переключения усиливают этот эффект. Чтобы остановиться, усомниться и перепроверить сообщение, нужно внимание — а обычного уведомления уже достаточно, чтобы его переключить.

Исследования показывают, что для этого даже не обязательно брать телефон в руки.

Подробнее о том, как перегрузка и постоянные переключения влияют на поведение сотрудника во время атаки, — мы рассказывали в статье о когнитивном дефиците.

Раньше мошеннику нужно было находиться рядом с жертвой или хотя бы действовать в том же деловом кругу. Люди часто заключали повторные сделки, знали репутацию друг друга, а если кого-то ловили на обмане, это мешало ему вести дела дальше.

Сегодня личный контакт не нужен. Одну и ту же схему можно разослать тысячам людей через почту и мессенджеры, находясь в любой точке мира.

При этом настоящую личность проще скрыть за чужими или временными аккаунтами. Если один профиль раскрыли, мошенник просто создаст новый.

Одну и ту же схему можно запустить на тысячи людей, но сделать сообщение для каждого персональным.

Раньше легенда строилась на общих допущениях или мошеннику приходилось много работать, чтобы изучить образ жизни и психологию конкретной жертвы. Сейчас ее можно строить на данных из соцсетей, слитых баз и корпоративных реестров.

Автоматизация и ИИ ускоряют эту работу — собранные данные можно быстрее обработать и использовать для подготовки более убедительных сообщений. 

Сократился и путь от легенды до нужного мошеннику действия. Раньше многие схемы требовали физических действий: пойти в банк, написать расписку, передать деньги или отгрузить товар. У жертвы была пауза, за которую можно было усомниться и перепроверить ситуацию.

Сегодня этой паузы может не быть. Продиктовать код из смс, перевести деньги, переслать файл с данными или дать доступ к устройству можно сразу — с того же телефона или компьютера, на который пришло сообщение.

Социнженерия не стала принципиально другой. Люди по-прежнему доверяют, ориентируются на авторитет, хотят получить выгоду и принимают правдоподобные истории за правду. 

Мы не можем рассчитывать на идеального сотрудника, который всегда внимателен, никому не доверяет и каждый запрос перепроверяет. Нам приходится работать с  реальными людьми, которые доверяют, спешат и действуют на автопилоте. Поэтому строить защиту нужно с учетом человеческой природы, а не вопреки ей.

Historic UK, "The South Sea Bubble — The 18th Century Version of the Dot Com Boom — and Bust!" — Historic UK.

David Östlund, "A Knower and Friend of Human Beings, Not Machines: The Business Career of the Terminology of Social Engineering, 1894−1910" — Ideas in History, 2007.

Guru Madhavan, "Reclaiming Social Engineering for Good" — IEEE Spectrum, 2026.

William H. Tolman, "Social Engineering" — McGraw-Hill Book Company, 1909.

Jennifer Stoddard, "Social Engineering — A Brief History Into This Very Human Element of Deceit" — Flat Earth Networking, 2026.

Mitnick Security, "Kevin Mitnick: From the World’s Most Wanted to Its Most Trusted" — Mitnick Security.

Francois Mouton, Louise Leenen, Mercia M. Malan, H. S. Venter, "Towards an Ontological Model Defining the Social Engineering Domain" — 11th IFIP International Conference on Human Choice and Computers, 2014.

Imperva, "What Is Social Engineering? Attack Techniques & Prevention Methods" — Imperva.

Jennifer Stoddard, "Social Engineering — A Brief History Into This Very Human Element of Deceit" — Flat Earth Networking, 2026.

University of Law, "What is social engineering?" — University of Law, 2025.

Collins English Dictionary, "Fraud definition and meaning" — Collins English Dictionary.

Kat Eschner, "The Market Crash That Cost Newton a Fortune" — Smithsonian Magazine, 2017.

CelcomDigi, "2024 Scam Report: Malaysians are still susceptible to scams despite high awareness" — CelcomDigi, 2024.

Don A. Moore, Paul J. Healy, "The Trouble With Overconfidence" — Psychological Review, 2008.

Cary Stothart, Ainsley Mitchum, Courtney Yehnert, "The attentional cost of receiving a cell phone notification" — Journal of Experimental Psychology: Human Perception and Performance, 2015. 

Jingjing Zhang, Qiuyang Feng, Jiang Qiu, "Frequent absent mindedness and the neural mechanism trapped by mobile phone addiction" — Neuroscience, 2024.

Emily Kadens, "The Persistent Limits of Fraud Prevention in Historical Perspective" — Northwestern University Law Review, 2023.