Aciliyet ve otorite baskısı

Açılış

Cuma günü saat dördü elli geçiyordu. Büronun stajyerinin telefonuna, tanımadığı bir numaradan bir mesaj düştü. Profil fotoğrafı Defne Hanım'ındı. "Bu benim yeni numaram, eskisi bozuldu. Bir müşteri toplantısındayım, konuşamıyorum. Bir müşterimizin vergi borcu için bugün mutlaka havale yapılması lazım, yoksa ceza kesilecek. Bankalar arası transfer saat beşte kapanıyor. Hesap bilgilerini gönderiyorum, şirket hesabından hemen yap, sonra konuşuruz."

Stajyer büronun internet şubesine girdi, alıcıyı ekledi, tutarı yazdı. Parmağı onay düğmesinin üstündeyken kıdemli çalışan odaya girdi ve ekrandaki tutarı gördü. Stajyer telaşla durumu anlattı ve saati gösterdi: dokuz dakika kalmıştı. Kıdemli çalışan tek bir şey söyledi: "Bekle." Defne Hanım'ın rehberdeki, yıllardır kullandığı numarasını aradı.

Defne Hanım dişçi koltuğundaydı ve hiçbir mesaj göndermemişti. Stajyer ekranı kapattığında elleri hâlâ titriyordu. Onu hata yapmaya iten şey bilgi eksikliği değildi; mesajdaki her ayrıntı onun düşünmesine fırsat bırakmayacak biçimde dizilmişti. Bu ders o dizilişi, yani zaman baskısının ve otoritenin nasıl kurulduğunu ve yavaşlamanın neden en güçlü savunma olduğunu anlatıyor.

Tek fikir

Aciliyet ve otorite, düşünmeyi atlatmak için kurulan bir düzendir: ne kadar az zaman ve ne kadar yüksek bir ad varsa, doğrulamaya o kadar çok ihtiyaç vardır. Yavaşlamak bir zayıflık değil, dolandırıcının kurduğu düzeni bozan tek harekettir.

Nasıl çalışır

Sosyal mühendislik dersinde kaldıraçları adlandırdık: otorite, aciliyet, duygu, kıtlık, güncel olaylar. Bu derste en sık birlikte kullanılan ikisini, aciliyeti ve otoriteyi, ve ikisinin birlikte neden bu kadar etkili olduğunu açacağız.

İnsanlar gündelik kararlarının çoğunu hızlı, alışkanlığa dayalı bir düşünmeyle verir: tanıdık bir yüz, tanıdık bir istek, tanıdık bir kurum. Yavaş ve dikkatli düşünme ise zaman ve çaba ister. Dolandırıcının asıl hedefi bu ikinci düşünme biçimini hiç devreye sokmamaktır.

Stajyerin mesajında üç ayrı saat vardı: bugün, ceza, beşte kapanan transfer. Her biri tek başına makul görünüyordu; birlikte, düşünmek için tek bir dakika bırakmayan bir duvar örüyorlardı.

İki kaldıraç birlikte daha da güçlüdür. Otorite "sorma" der, aciliyet "düşünme" der. Bir yöneticinin adıyla gelen ve saat sınırı taşıyan bir istek, alıcıya iki seçenek bırakıyormuş gibi görünür: itaat etmek ya da bir felakete sebep olmak. Üçüncü seçenek, yani beş dakika durup doğrulamak, bu düzenin içinde görünmez kalır.

Savunmanın mantığı buradan çıkar. Saldırı zamanı senden almaya dayanıyorsa, zamanı geri almak saldırıyı bozar. Bunun için bir kural gerekir, çünkü baskı anında kural koymak zordur; kural önceden konmuş olmalıdır.

Kuralın gücü, kişiyi kararın yükünden kurtarmasıdır. Stajyer "yöneticime hayır mı diyeceğim" sorusuyla değil, "kural böyle" cevabıyla karşılaşır. Kural herkes için, en çok da yöneticiler için geçerli olduğunda, bir yöneticinin adını kullanan dolandırıcı en güçlü kaldıracını kaybeder.

Sahada

Savunma

Aciliyet ve otorite baskısına karşı savunma, kişisel bir alışkanlık ile kurumsal bir düzenin birleşimidir.

Kişisel savunmanın ilk adımı, aciliyeti bir alarm olarak okumaktır. Bir isteğe saat, ceza ya da yüksek bir ad eşlik ediyorsa, bu doğrulamayı atlamak için değil, doğrulamak için bir sebeptir. Gerçek bir acil durum, beş dakikalık bir doğrulamaya dayanır; sahtesi dayanmaz.

İkinci adım, kanalı değiştirmektir. İstek mesajla geldiyse ara; aramayla geldiyse kapat ve kendi bildiğin numarayı ara; tanımadığın bir numaradan geldiyse rehberindeki numarayı kullan. Kıdemli çalışanın yaptığı tam olarak buydu.

Baskı anında kendine sorabileceğin üç kısa soru da bu adımın parçasıdır. Bu istek neden bu kanaldan geliyor, kişinin her zamanki kanalı varken? Bu saat sınırını kim koydu ve neden ben onu ancak şimdi öğreniyorum? Beş dakika beklersem gerçekte ne kaybederim? Stajyer bu soruları sorsaydı, dişçideki bir yöneticinin neden yeni bir numaradan yazdığını, neden aramadığını ve neden ödemenin büronun her zamanki onay sürecinden geçmediğini merak ederdi. Bu sorular bir cevap bulmak için değil, tüneli kırmak içindir: soru sorulduğu anda düşünme geri gelir.

Üçüncü adım, birine danışmaktır. Dolandırıcı seni yalnız bırakmaya çalışır. Bir iş arkadaşına, bir aile üyesine "bu sana normal geliyor mu" diye sormak, baskının kurduğu tünelden çıkmanın en hızlı yoludur.

Kurumsal savunma, bu alışkanlıkları kişinin cesaretine bırakmamaktır. Para gönderme, ödeme bilgisi değiştirme, parola ve ikinci adım sıfırlama gibi işlemler için yazılı bir duraklama kuralı olmalıdır: ikinci bir kişinin onayı, kayıtlı bir numaraya geri arama ya da yeni bir alıcıya ilk ödeme öncesinde bir bekleme süresi. Yöneticiler, "sizden asla mesajla para göndermenizi istemem" cümlesini ekiplerine açıkça söylemeli ve kuralın kendilerine de uygulanmasını kabul etmelidir. Ve en önemlisi, bir isteği doğrulamak için duran ya da bir yöneticiye "önce doğrulamam gerek" diyen çalışan hiçbir zaman azarlanmamalıdır; aksi hâlde bir sonraki gerçek dolandırıcılıkta kimse durmaz.

Uygulama

Kendin için ve en az bir ortam için, iş yerin ya da ailen, yazılı bir duraklama kuralı kuracaksın.

Kuralı sakin bir günde yazmak, baskılı bir günde onu uygulayabilmenin tek yoludur.

Defter: Kişisel bölüme «Asla acele etmeyeceğim işler» listesi ve her birinin duraklaması. Bankada açılan bildirimler ve limit. İş yerinden ya da aileden alınan «bu kanaldan asla istemem» cevabı, tarihiyle.

Hata köşesi

Etik ve sınırlar

Duraklama kuralı kurmak bir yetki meselesidir: bir kurumda kimin hangi işlemi hangi doğrulamadan sonra yapabileceğine kurumun yönetimi karar verir ve kural herkes için geçerli olduğunda adil olur. Kendin bir yönetici ya da aile büyüğüysen, çevrene yapay aciliyet kurmamak da bu dersin parçasıdır; "hemen yap, sonra konuşuruz" alışkanlığı, dolandırıcının taklit edeceği sesi hazırlar. Bir iş arkadaşını ya da bir yakınını "ne kadar dikkatli" diye sahte bir acil mesajla denemek ise, izni olmadan onun güvenini kullanmaktır; böyle bir sınama ancak kurumun yetkili ekibince, önceden belirlenmiş kurallarla yapılır.

Kapanış

1. Yapay aciliyet ve kimliğe bürünme birlikte, düşünmeyi ve danışmayı atlatmak için kurulan bir düzendir; otorite sormayı, aciliyet düşünmeyi engeller.
2. Aciliyet ve yüksek bir ad, doğrulamayı atlamak için değil doğrulamak için bir sebeptir: yavaşla, kanalı değiştir, bilinen numarayı ara, birine danış.
3. Duraklama kuralı önceden ve yazılı konur, herkes için, en çok da yöneticiler için geçerli olur; doğrulamak için duran kişi hiçbir zaman azarlanmaz.

Üç soru

1. Stajyere gelen mesaj, düşünmesine fırsat bırakmamak için hangi unsurları birlikte kullanıyordu?
2. Bora'nın hastanesindeki nöbetçi teknisyen öfkeli "başhekime" rağmen neden sıfırlamayı yapmadı?
3. Duraklama kuralı, kişiyi kararın yükünden nasıl kurtarır?

Yanıtlar

1. Defne Hanım'ın fotoğrafıyla otorite, "bugün mutlaka", ceza tehdidi ve saat beşte kapanan transferle üst üste yapay aciliyet, "toplantıdayım, konuşamıyorum" cümlesiyle de doğrulama yolunun kapatılması. Her unsur tek başına makul görünüyordu; birlikte durmaya fırsat bırakmıyordu.
2. Hastanenin kuralı yönetici hesaplarında sıfırlamanın kişinin kayıtlı numarası geri aranarak yapılmasıydı ve kural herkes için geçerliydi. Teknisyen kurala uydu, kayıtlı numarayı aradı ve başhekimin kimseyi aramadığını öğrendi. Öfke ve tehdit, bu türden bir isteğin en sık eşlikçisidir.
3. Baskı anında kişi "yöneticime ya da müşteriye hayır mı diyeceğim" sorusuyla yalnız kalmaz; kural önceden konmuştur ve herkes için geçerlidir. Kişi kararı kendisi vermez, kuralı uygular. Bu, yüksek bir adın taşıdığı baskıyı etkisiz kılar.

Sonraki derse köprü

Stajyere gelen mesaj bir yöneticinin adını taşıyordu ve bir kerelik bir havale istiyordu. Kurumları çok daha büyük tutarlarla hedef alan bir başka düzen ise daha sessizdir: tanıdık bir tedarikçinin gerçek gibi görünen bir faturası ya da "banka hesabımız değişti" diyen sıradan bir e-posta. Ders 7.6 iş e-postası dolandırıcılığını ele alıyor: sahte fatura ve hesap değişikliği taleplerini ve onları durduran ikinci kanaldan doğrulamayı.