Kevin Mitnick conseguia senhas com uma ligação. Em vários casos, telefonava para uma empresa, se passava por funcionário e convencia alguém a fornecer acesso. Essa prática é conhecida como engenharia social: explorar a confiança de uma pessoa para obter informações ou permissões. Mitnick combinava essa habilidade com invasões de redes e interceptação de comunicações. Depois de ser procurado pelo FBI e passar quase cinco anos detido, fez carreira testando a segurança de empresas com autorização.
Na adolescência, Mitnick se interessou pelo phone phreaking, a exploração do funcionamento das redes telefônicas. Em sua autobiografia, contou que já usava a persuasão aos 12 anos. Segundo seu relato, convenceu um motorista de ônibus a lhe indicar onde comprar um perfurador de bilhetes. Depois, encontrou formulários em branco descartados e passou a emitir os próprios comprovantes de transferência para viajar de graça. A NPR retomou a história em uma entrevista com ele.
Em 1981, ainda adolescente, Mitnick se envolveu no furto de manuais de informática da operadora Pacific Bell, em Los Angeles. Em 1988, foi condenado na Justiça federal por invadir redes corporativas e copiar programas, em um caso que envolveu a Digital Equipment Corporation (DEC). Recebeu uma pena de um ano de prisão. Mais tarde, a violação das condições de sua liberdade supervisionada levou à emissão de um mandado federal. Durante os mais de dois anos em que ficou foragido, continuou invadindo empresas de tecnologia e telecomunicações. Motorola, Fujitsu e Sun Microsystems estavam entre as companhias atingidas.
A busca ganhou impulso após a invasão aos computadores do especialista em segurança Tsutomu Shimomura, no Natal de 1994. O ataque atribuído a Mitnick envolveu a falsificação do endereço IP de origem, técnica que fez o tráfego parecer vir de um computador em que o sistema já confiava. Shimomura ajudou as autoridades a rastreá-lo. Na madrugada de 15 de fevereiro de 1995, o FBI prendeu Mitnick em um apartamento em Raleigh, na Carolina do Norte. Shimomura e o jornalista John Markoff narraram a perseguição no livro Takedown.
Em 1999, Mitnick se declarou culpado de sete acusações federais ligadas a fraudes. No acordo judicial, admitiu que invadiu computadores, interceptou comunicações e copiou software proprietário. O acordo principal previa 46 meses de prisão, e o Departamento de Justiça registrou 68 meses de pena total. Contado o tempo de detenção desde a captura, Mitnick saiu em 21 de janeiro de 2000, após quase cinco anos preso. Passou a cumprir três anos de liberdade supervisionada com restrições ao uso de computadores e celulares. Em março de 2000, depôs no Senado dos Estados Unidos em uma audiência sobre a segurança de sistemas federais.
Um dos relatos mais conhecidos sobre sua prisão envolve o Comando de Defesa Aeroespacial da América do Norte (NORAD). Em entrevista à ABC australiana, Mitnick disse que um promotor teria argumentado que ele poderia usar um telefone para se conectar a um modem do comando e lançar um míssil assobiando. Mitnick atribuiu a esse argumento um período em isolamento. A história ficou conhecida pela versão contada por ele e virou uma lenda em torno do caso.
Depois da prisão, Mitnick fundou a Mitnick Security Consulting e passou a realizar testes de invasão autorizados. Em 2011, assumiu o cargo de Chief Hacking Officer da KnowBe4, empresa de treinamento em segurança. Sua atuação também gerou controvérsia. Em 2014, anunciou um serviço para intermediar a venda de exploits de dia zero, ferramentas que exploram falhas para as quais ainda não havia correção. À Wired, disse que os preços começavam em US$ 100 mil e deixou em aberto se já havia intermediado alguma venda.
Em A Arte de Enganar (2002), Mitnick explicou como alguém pode ser induzido a revelar informações ou conceder acesso. The Art of Intrusion (2005) reuniu histórias de invasões, Ghost in the Wires (2011) apresentou sua versão da própria trajetória e The Art of Invisibility (2017) abordou a privacidade digital. Mitnick morreu em 16 de julho de 2023, aos 59 anos, de câncer de pâncreas.
Os casos de Mitnick mostram onde a engenharia social contorna um controle técnico. A rede pode exigir uma senha e funcionar exatamente como foi configurada. Se alguém entrega essa senha a um interlocutor que parece falar em nome da empresa, o sistema recebe uma credencial válida. Nesse ponto, a segurança depende de como a empresa verifica a identidade de quem pede acesso, inclusive por telefone.