کوین میتنیک یکی از نام‌های شناخته‌شده تاریخ هک و مهندسی اجتماعی است. زندگی او دو دوره متفاوت داشت. فعالیت‌های غیرمجاز و دستگیری در سال ۱۹۹۵ بخشی از روایت عمومی او را شکل داد و پس از آزادی، در مشاوره امنیت، آزمون مجاز و آموزش فعالیت کرد. او در سال ۲۰۲۳ درگذشت. برای شناخت کار میتنیک، توجه به روش‌هایی که در نوشته‌ها و فعالیت حرفه‌ای خود توضیح داد از تکرار لقب‌های رسانه‌ای مفیدتر است. بخش مهم این روش‌ها به نحوه اعتماد افراد به درخواست‌هایی مربوط می‌شود که ظاهری عادی دارند.
یک درخواست ظاهراً معمولی
در مهندسی اجتماعی، موضوع فقط متقاعد کردن یک نفر برای بیان گذرواژه نیست. یک فرایند ممکن است برای بازنشانی دسترسی، انتقال مسئولیت یا پاسخ به درخواست اضطراری به نشانه‌های ضعیفی تکیه کند. اگر نام همکار، شماره داخلی یا اطلاعات عمومی به‌عنوان اثبات هویت پذیرفته شود، مهاجم می‌تواند از همان فرایندی استفاده کند که برای کمک به کاربر طراحی شده است. این توضیح، یک نمونه عمومی از مسئله است و نباید به عنوان بازسازی رخدادی خاص در زندگی میتنیک خوانده شود.
در کتاب خاطرات Ghost in the Wires، میتنیک و همکار نویسنده‌اش روایت شخصی او را عرضه می‌کنند. چنین اثری برای شناخت دیدگاه نویسنده منبع دست‌اول است، اما ماهیت خاطره با گزارش مستقل رخداد تفاوت دارد. متخصص امنیت هنگام استفاده از آن می‌تواند میان توصیف تجربه، ادعای تاریخی و درس قابل تعمیم تفکیک قائل شود. یکی از درس‌ها اهمیت شناخت فرایند کسب‌وکار در کنار شناخت فناوری است.
آزمون مجاز و اصلاح فرایند
در دوره حرفه‌ای بعدی، میتنیک از تجربه خود در ارزیابی امنیت سازمان‌ها استفاده کرد. در یک آزمون مهندسی اجتماعی با مجوز، هدف باید به یک تغییر قابل اجرا منتهی شود. برای نمونه، اگر کارمند بتواند بدون کنترل مستقل یک حساب حساس را بازنشانی کند، گزارش باید دقیقاً مرحله مشکل‌دار را مشخص کند. سرزنش یک فرد یا شمارش پاسخ‌های ناموفق، ریشه ضعف را نشان نمی‌دهد.
راه اصلاح می‌تواند تغییر مسیر تأیید، محدودکردن اختیار یا ثبت تصمیم برای بررسی بعدی باشد. انتخاب میان این گزینه‌ها به نقش حساب و نیاز واقعی پشتیبانی بستگی دارد. اگر روال دفاعی استفاده عادی را غیرممکن کند، ممکن است کاربران راهی غیررسمی برای دور زدن آن پیدا کنند. ارزش پرداختن به میتنیک در یک مجموعه فنی همین است که هویت و مجوز را از سطح یک فرم ورود به سطح رفتار سازمان می‌آورد. مطالعه آثارش پرسش مشخصی برای تیم دفاع ایجاد می‌کند. هنگام دریافت درخواست حساس، چه شاهد مستقلی برای اثبات هویت و اختیار وجود دارد؟
