Codul de constrângere

Originea

Agenții serviciului britanic SOE parașutați în Europa ocupată transmiteau prin radio mesaje criptate către Londra. Fiecare operator avea două „verificări de securitate” convenite înainte de plecare. Bluff check era o eroare deliberată pe care, dacă era capturat și forțat să transmită, o putea „mărturisi” nemților ca fiind semnalul secret. True check era a doua eroare, cea adevărată, de exemplu litera greșită la fiecare al optsprezecelea caracter. Un mesaj fără true check însemna un singur lucru — operatorul transmite sub control inamic.

În martie 1942, operatorul olandez Huub Lauwers a fost capturat de Abwehr la Haga. Forțat să transmită, a omis verificarea adevărată, exact cum fusese instruit. Londra a răspuns, i-a reproșat că a uitat verificarea și a continuat să-i trimită instrucțiuni, bani și agenți. Timp de doi ani, în ceea ce germanii au numit Englandspiel, „jocul Angliei”, serviciul de contraspionaj german a controlat aproape toată rețeaua SOE din Olanda, primind peste cincizeci de agenți direct în brațele lor la aterizare. Majoritatea au murit în lagăre. Codul de constrângere a funcționat perfect. Nu a funcționat cel care trebuia să-l citească.

În 1966, comandorul american Jeremiah Denton, prizonier în Vietnamul de Nord, a fost adus în fața camerelor pentru un interviu de propagandă. În timp ce spunea, obligat, că este tratat bine, a clipit în cod Morse T-O-R-T-U-R-E. Înregistrarea a fost difuzată în Statele Unite și a fost prima confirmare că prizonierii americani erau torturați. Nimeni nu convenise semnalul; Denton a mizat pe faptul că cineva, undeva, știa Morse și se uita atent. De data aceasta, cineva s-a uitat.

Surse: Leo Marks, Between Silk and Cyanide (1998), cap. despre Olanda; M. R. D. Foot, SOE in the Low Countries (2001); Jeremiah Denton, When Hell Was in Session (1976).

Principiul

Toate celelalte tehnici din acest catalog presupun că persoana autorizată acționează liber. Codul de constrângere acoperă cazul în care nu o face — angajatul cu un cuțit la gât, contabilul șantajat, administratorul IT amenințat cu publicarea unor fotografii, directorul a cărui familie este reținută.

În aceste situații, refuzul este periculos, iar cooperarea aparentă este singura opțiune. Codul de constrângere oferă un al treilea canal. Acțiunea cerută se execută, sau pare că se execută, dar lângă ea trece un semnal pe care atacatorul nu-l vede, iar cineva din afară știe că trebuie să intervină.

Ca să funcționeze, semnalul trebuie să fie indistinctibil de normalitate pentru cineva care nu-l cunoaște, adică o eroare, o frază obișnuită sau un cod diferit de cel uzual, dar care funcționează. Receptorul trebuie să fie instruit să-l recunoască și să aibă o procedură, iar Englandspiel este eșecul exact al acestei condiții. Iar atacatorul nu trebuie să poată verifica dacă semnalul a fost transmis sau nu.

Amenințarea de azi

Coerciția nu a dispărut odată cu digitalizarea; și-a schimbat forma. Grupurile de infractori cibernetici recrutează sau șantajează angajați cu acces. În 2020, un cetățean rus a încercat să ofere unui angajat Tesla un milion de dolari pentru a instala malware în rețeaua fabricii din Nevada; angajatul a raportat tentativa, iar FBI-ul a intervenit. Nu toate cazurile se termină așa, iar multe nu se află niciodată, pentru că angajatul constrâns a executat, iar firma a tratat incidentul ca pe un atac extern.

Jaful clasic a devenit hibrid, cu amenințarea fizică a unui angajat pentru a obține acces la sisteme, la seif sau la conturi. Iar răpirile-fulger cu scopul de a forța transferuri bancare sau de criptomonede de pe telefonul victimei, cunoscute în Franța, Spania și America Latină, au apărut și în Europa de Est.

În toate aceste situații, politicile obișnuite de securitate sunt neputincioase. Persoana are credențiale valide, acțiunea este autorizată, parola de recunoaștere (fișa 1) este cunoscută. Singurul lucru care diferă este că persoana nu vrea să o facă, și nimic din sistem nu are cum să vadă asta, decât dacă a fost construit special pentru.

Cum o implementezi luni dimineață

Firma de 20 de oameni

Începeți cu sistemul de alarmă. Aproape orice centrală permite un cod de constrângere, diferit de cel obișnuit, care dezarmează sistemul normal, dar trimite o alertă silențioasă la firma de pază. Dacă aveți pază, activați-l și asigurați-vă că dispeceratul știe ce înseamnă. Dacă nu l-ați configurat niciodată, aceasta este sarcina de luni.

Apoi fraza de constrângere verbală. Conveniți, împreună cu parola de recunoaștere din fișa 1, o frază aparent banală care înseamnă „sunt forțat” — nu un cuvânt ciudat, ci ceva ce se poate strecura natural, de exemplu „trimite-mi și situația de la Brașov”, când firma nu are nimic la Brașov. Cel care o aude confirmă calm, tergiversează („durează vreo oră, te sun eu”) și sună la 112. Procedura pentru receptor, adică ce face exact persoana care primește semnalul, se scrie în runbook (fișa 3); fără procedură, aveți un Englandspiel. Discutați tehnica și cu familia, pentru apelurile de tip „am nevoie de bani acum”.

Firma de 500 de oameni

Codul de constrângere se configurează pe toate sistemele de control al accesului fizic, uși, seifuri, camere de servere, și pe sistemul de alarmă, cu testarea trimestrială a răspunsului dispeceratului. Pentru personalul cu acces privilegiat și pentru cei care pot autoriza plăți mari se stabilește, la instruire, o frază de constrângere individuală, cunoscută de echipa de securitate. Un mecanism tehnic complementar este aprobarea „întârziată” a tranzacțiilor excepționale, care cere o confirmare suplimentară după o oră, din alt loc, timp în care o persoană constrânsă poate ajunge în siguranță.

Directorii care călătoresc în zone cu risc au o procedură de proof of life, convenită cu familia și cu firma. Iar angajații sunt instruiți explicit că raportarea unei tentative de recrutare sau șantaj este protejată și recompensată, nu sancționată — cazul Tesla a fost posibil pentru că angajatul a avut încredere că poate raporta.

Unde eșuează

Cel mai grav mod de eșec este receptorul care nu știe, Englandspiel. Semnalul este trimis corect și ignorat, iar instruirea receptorului contează mai mult decât semnalul. Apoi este atacatorul care știe că există coduri de constrângere. Un infractor pregătit va întreba „care e codul de constrângere?” și va cere codul normal, de aceea codul de constrângere trebuie să funcționeze vizibil — ușa se deschide, seiful se deblochează — astfel încât atacatorul să nu poată distinge între cele două.

Uitarea sub stres este reală. Oamenii uită, sub amenințare, lucruri pe care le știu perfect, așa că semnalul trebuie să fie simplu și exersat, pentru că o frază lungă nu va fi rostită. Alarma falsă, când cineva folosește codul din greșeală, cere ca procedura să prevadă și verificarea discretă înainte de intervenția în forță.

Și un mit, cel al PIN-ului inversat. Circulă de ani de zile ideea că introducerea PIN-ului în ordine inversă la bancomat alertează poliția. Nu există un asemenea sistem. Codurile de constrângere trebuie configurate explicit; nu vin de la sine.

Cadrul legal

Art. 21 alin. (1) din Directiva NIS2 cere măsuri care să protejeze inclusiv mediul fizic al sistemelor, iar alin. (2) lit. (i) politici de securitate a resurselor umane și de control al accesului. Sub GDPR, art. 32 nu distinge între accesul neautorizat obținut prin exploatarea unei vulnerabilități și cel obținut prin constrângerea unui angajat, iar operatorul răspunde pentru ambele. În ISO/IEC 27001:2022, controalele A.7.1–A.7.4 (securitatea fizică și monitorizarea), A.6.3 (instruirea personalului) și A.6.8 (raportarea evenimentelor de securitate) acoperă implementarea; legislația națională privind paza obiectivelor și cea privind sistemele de alarmă completează cadrul.