Уже семнадцать лет Роб Шэпланд занимается тем, что проникает в чужие здания. Клиенты платят ему за то, чтобы он обманным путём попал в штаб-квартиры их компаний, используя методы социальной инженерии.
Как обученный компьютерный хакер, он сочетает цифровые техники с физическими — точно так же, как это делают настоящие преступники, против которых он, на самом деле, и борется.
Клонирование голосов
Недавно Шэпланд выполнял задание для компании: ему требовалось взломать электронную почту генерального директора. Решение оказалось неожиданным, но лежащим на поверхности:
«Я успешно проник в систему, клонировав голос [ГД], позвонив в службу поддержки и попросив сбросить пароль», — рассказывает он.
Голос руководителя он нашёл в рекламном ролике компании на YouTube – достаточно было пятиминутной записи.
Шэпланд использовал инструмент ElevenLabs – легальный сервис для клонирования голосов, который можно применять и в преступных целях. Для создания качественной копии достаточно примерно десяти секунд аудиозаписи, но чем больше материала, тем естественнее звучит результат. В таких ситуациях хакер может либо вводить текст вручную, либо подключить клон к ChatGPT, который будет отвечать за него.
«Ты просто даёшь ему задачу: "Мне нужно сбросить пароль", – и он отвечает за тебя, говоря чужим голосом со службой поддержки. Так мне и сбросили пароль», — объясняет Шэпланд.
ИИ в помощь физическому взлому
Главный тренд, который отмечает специалист, – это сочетание ИИ-клонирования с техниками физического проникновения. Более того, он использует обычные потребительские чат-боты для тестирования планов вторжения.
«Я планировал физическое проникновение на днях и составил черновой план, а затем попросил дополнительных предложений. Чат-бот ответил: "Я не могу помочь вам взломать здание, но, знаете, если бы вы делали нечто очень похожее, вот что я бы сделал". ИИ иногда сам находит обходные пути – вам даже не нужно его заставлять», - делится он.
Шэпланд знает о существовании чат-ботов в даркнете, у которых отключены защитные механизмы – те, что могут разрабатывать вредоносное ПО. Однако в целом он считает, что индустрия кибербезопасности переоценивает масштабы использования ИИ преступниками.
«Они экспериментируют. Но в ближайшие несколько лет произойдут серьёзные изменения. Дойдёт до того, что поддельную видеоконференцию будет совершенно невозможно отличить от настоящей», — предупреждает пентестер.
Он указывает на выход Sora 2 прошлой осенью и поток реалистичных «сфабрикованных видео», которые сейчас заполняют его соцсети.
Как сделать киберподготовку эффективной
Раскрывая некоторые приёмы своего ремесла, Шэпланд стремится повысить осведомлённость о кибербезопасности в организациях. Большинство своих проникновений он снимает скрытыми HD-камерами, встроенными в галстуки или очки, а затем показывает записи сотрудникам. Наблюдение за собственными ошибками оказывается куда более запоминающимся, чем десятиминутный тест по кибербезопасности, утверждает он.
«На тренинге я собираю всех в комнате на час и пугаю их. Они видят: "Это я впускаю человека. Это мой рабочий стол!". Это остаётся с ними на годы», — объясняет Шэпланд. «Я думаю, обучение стало скучным и превратилось в галочку для соблюдения формальностей, а оно должно быть по-настоящему эффективным», – добавляет он.
Секреты проникновения в здания
Свои методы Шэпланд подробнее раскрывает в предстоящем документальном фильме компании Semperis Midnight in the War Room, премьера которого состоится 5 августа 2026 года на конференции Black Hat USA в Лас-Вегасе. В фильме выступят ведущие специалисты по кибербезопасности и национальной безопасности, включая Криса Инглиса, первого национального директора по кибербезопасности США, Джен Истерли, бывшего директора Агентства кибербезопасности и защиты инфраструктуры, бывшего директора ЦРУ Дэвида Петреуса и Маркуса Хатчинса, независимого исследователя безопасности, который помог остановить печально известный вирус WannaCry.
Неожиданным открытием может стать то, что Шэпланду редко приходится использовать свои технические навыки после входа в здание. За более чем 200 проникновений он столкнулся с распознаванием лиц лишь однажды.
Самые эффективные способы попасть в здание эксплуатируют человеческую отзывчивость и добродушие. Например, самозванец может выдать себя за сотрудника, создав поддельный корпоративный пропуск — для этого достаточно поискать в LinkedIn правильный брендинг компании. Пропуск не откроет дверь, но можно пройти за настоящим сотрудником, неся две чашки кофе и просто попросив придержать дверь.
«На самом деле люди хотят быть милыми, они хотят помочь, поэтому они вас впускают», – говорит Шэпланд.
Менее рискованная техника – записаться на визит под видом какого-нибудь специалиста: арендодателя, инспектора или уборщика (у него есть несколько костюмов, которые, похоже, входят в профессиональный арсенал).
«Вы можете проводить осмотр окон или что-то ещё. Лучше, если вы можете заранее забронировать визит, прийти в здание, зайти, а затем сделать плохую вещь попутно, пока выполняете то, ради чего якобы пришли – это менее рискованно», — объясняет он.
Весь мир – театр
Характер работы Шэпланда заставляет его постоянно мыслить как хакер.
«Вчера я разговаривал с человеком, чей отец был инспектором огнетушителей, и я подумал: "О, это неплохая легенда – пожарный инспектор!"» — делится он.
Постоянная смена ролей, образов и съёмка результатов делают его работу сравнимой с жизнью актёра. Он соглашается и добавляет, что одна из его подрядчиц – действующая актриса.
«Вы играете роль. Абсолютно. И я обнаружил, что перед тем, как куда-то попасть, я очень нервничаю и беспокоюсь, что всё пойдёт не так. Что они заметят, что я не уборщик, не айтишник или кто-то ещё», — признаётся Шэпланд. «Но затем я переступаю порог, и это как вхождение в роль. Ты внезапно такой: "Так, я играю эту роль". Если ты уверен в костюме, который подготовил, и в том, как будешь себя вести, когда попадёшь туда, и что будешь делать, то обычно всё проходит хорошо», — заключает он.
