Ключи от кибербезопасности вашей компании в туалете

Я (Терри Катлер) сертифицированный хакер, которому платят компании за взлом их сетей.
Моя компания, Cyber Locksmiths была нанята производственным предприятием в 2011 году для попытки обнаружения любых уязвимостей в системе безопасности, которые могут скрываться у них.
Внешняя инфраструктура компании – в том числе веб-сервера, сервера доменных имен, почтовые сервера, точки доступа VPN, периметр брандмауэров, а также любые другие приложения общедоступные из интернета – как правило, считаются главными мишенями для атак. В основном там мы и начинаем.
Наши методы включают в себя взлом паролей с помощью клавиатурных шпионов, снифферов, ошибок и дистанционного управления. В этот раз, я пытался атаковать брандмауэры системы со всеми возможными инструментами нашей компании, но безрезультатно. Сеть была защищена.
И тут я сказал себе: «К черту все. Я иду вовнутрь!» Видите ли, компании, которые имеют непроницаемую стену от внешних атак, часто удивительно открыты от внутренних угроз. Хакеры способны использовать эти уязвимости, эксплуатирую один простой факт: большинство людей ведут себя весьма предсказуемым образом в определенной ситуации.
Во-первых, я сделал небольшую разведку на Google Earth и Street View, чтобы ознакомиться с периметром здания и территорией компании. В этот день я решил сыграть самого себя и одев хорошие джины и рубашку на пуговицах, отправился туда.
Я сел в свое авто и поехал на объект. Делая все возможное, чтобы выглядеть беспристрастным, я вошел в главный холл и сообщил регистратору: «Мне действительно неудобно, и я обычно не прошу об этом, но мог бы я воспользоваться вашим туалетом? Я подразумевал, что буду сожалеть при заказе коктейля большого размера!»
Она улыбнулась (хороший знак) и уже через минуту я был внутри мужского туалета. Я достал из кармана своих брюк два USB-накопителя и положил их поверх металлического держателя для туалетной бумаги в каждой из кабинок.
Я быстренько показал себе в зеркале два поднятых вверх больших пальца и отправился через холл к выходу, одарив при этом широкой улыбкой регистратора.
Я поехал обратно в свой офис для ожидания, потому что, как только кто-то подключит один из моих USB-накопителей в компьютер, программа записанная на нем выполнит автозапуск и предоставим мне удаленное управление компьютером.
Это дало бы мне мгновенный доступ и возможность обойти авторизацию. Обратите внимание, что я говорю не о старых добрых днях колледжа, а о получении зашифрованных учетных данных для владельца компьютера и обращении к серверу компании, имитируя реальную работу пользователя.
За короткое время, мой компьютер ожил: с возможностью сейчас же войти в сеть компании, я был готов заняться всеми видами беспредела – от извлечения имен пользователей и паролей, до открытия и взаимодействия с файлами на скомпрометированной системе, так же возможна снятие скриншотов текущей деятельности на рабочем столе пользователя.
Само собой разумеется, руководство компании было в ужасе, узнав, как я легко взломал их систему, просто используя поведение людей в определенных ситуациях.
Моя уловка имела успех т.к. по большому счету все люди склоны к любопытству. В девяти случаев из десяти человеку нашедший флэшку подключит ее к компьютеру, чтобы узнать что за содержимое на ней.
Защита от современных хакеров
Эта история подчеркивает тот факт, что безопасность включает в себя больше, чем просто защиту брандмауэра вашей сети. Внутренние угрозы реальны – и обязательно нужно вести разъяснения со служащими.
Сотрудники должны понимать, что угрозы безопасности могут быть вызваны различными способами и обучены тому, как снизить возможность этих угроз, которые могут скрываться под видом чего-то совершенно безобидного.
Хотя угрозы безопасности стали более грозными, помните, что и защита безопасности также стали более мощными и современными. Убедитесь, что вы приняли необходимые меры для защиты инфраструктуры и ваших данных.