(tegning: Adam Fribo)

Hackede dansk virksomhed gennem receptionisten: ”Hun var venlig og forsøgte at underholde os. Det udnyttede vi”

Et hold frustrerede sikkerhedseksperter kunne ikke hacke en dansk virksomhed. Men så fandt de ud af, at receptionistens datter kunne lide mobilspil…

”Vi var kommet lidt for tidligt, så vi fik lov til at brugte gæste-WiFi i receptionen. Vi scannede netværket og kunne se, at der var en adskillige smartphones tilkoblet – en af dem var receptionistens privattelefon.”

Giuseppe Trotta er sikkerhedskonsulent hos Fort Consult, og han skulle for et par måneder siden udføre en penetrationstest hos en dansk virksomhed.

Virksomheden skulle hackes.

Opgaven var at få adgang til følsomme oplysninger, men de første forsøg på klassisk phishing og social engineering kiksede, fordi medarbejderne var godt trænede i ikke at klikke på udefrakommende links.

Men så faldt Giuseppe i snak med receptionisten, mens han ventede på et møde med virksomhedens ledelse.

”Vi talte lidt om hendes privatliv, og hun fortalte, at hun har en lille datter, der er glad for at spille spil på telefonen. Det endte med at blive vores vej ind,” siger Gisueppe Trotta til Computerworld.

Malware-inficeret mobilspil gav kontrol over alt
Giuseppe Trotta anbefalede den venlige receptionist et sjovt, gratis mobilspil, hun kunne downloade til sin datter.

Han skulle nok sende hende et link, forklarede han.

Det skulle dog downloades fra Amazons app-butik, og den kræver, at man slå nogle sikkerheds-funktioner fra i Android. Men som sagt, han skulle nok sende et link.

”Så snart hun havde downloadet spillet, havde vi fuld kontrol over telefonen, og derfra fik vi fuld adgang til det gæste-WiFi, som hun var forbundet til hver dag.”

Da Giuseppe og hans kollegaer først havde adgang til virksomhedens gæste-WiFi gik det ud på at finde en vej videre ind. Den viste sig i form af en pivåben dør.

I receptionen stod en skærm, der viste basale informationer om virksomheden til kunderne.

Den var forbundet til gæste-WiFi, men informationerne blev kontinuerligt trukket fra det interne netværk.

"Det var en åben port gennem deres firewall,” siger Gisueppe Trotta og tilføjer, at der dog var sat et kodeord på den tilhørende webserver.

”Men det var noget i retning af password1234, så det kom vi ret hurtigt forbi.”

Mange servere – ét kodeord
Da Giuseppe Trotta først var på virksomhedens interne netværk, var der stort set frit spil.

Sikkerheden internt i virksomheden så godt som ikke-eksisterende bag den ydre firewall, og så handlede det blot om at finde den rigtige server.

”Til vores held opdagede vi, at alle serverne havde præcis det samme kodeord, så vi kunne bevæge os fuldstændig frit rundt. På det tidspunkt var det problemfrit at trække følsomme oplysninger ud af virksomheden.”

Missionen var fuldført.

Det hele begyndte med en venlig sekretær, og ifølge Giuseppe Trotta er læren ikke, at man skal bede sit front-personale om ikke at tale med kunderne.

Det er svært at være en god sekretær, hvis virksomhedens sikkerhedspolitik betyder, at man ikke må tale med kunderne.

”Den primære lektie må være, at man skal lade være med at bruge sin private telefon på en virksomheds netværk. Og kun downloade Android-apps fra Googles egen butik.”

Læs også: Lone er certificeret hacker: "Hvis man vil have god it-sikkerhed, er man nødt til at forstå, hvordan de gode hackere arbejder"



Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...

Premium
Han blev ansat til at flytte Carlsbergs 700 servere i skyen på halvandet år: "Vi valgte at rive plasteret hurtigt af"
Interview: På mindre end halvandet år har Carlsberg flyttet hele bryggeriets it-infrastruktur fra 700 servere over i skyen. Den nye platform skal sikre, at Carlsberg i fremtiden kan rykke fra sine direkte konkurrenter i Vesteuropa. Derfor blev Jakob From hentet hjem fra USA.
Computerworld
Datatilsynet advarer om falske GDPR-tilsyn: Mystiske folk i tøj fra sikkerhedsfirma dukkede op hos dansk ørelæge
Dansk klinik er blevet udsat for et mistænkeligt besøg af to mænd i forklædning som tilsynsfolk fra Datatilsynet. Datatilsynet kommer nu med et opråb: "Jeg håber, at vi med denne advarsel kan undgå, at det gentager sig."
CIO
Henrik Jeberg om at arbejde i Silicon Valley: "Er du dygtig nok får du tilbud der får en til at falde ned af stolen."
Henrik Jeberg bor i San Francisco og er direktør i Hampleton Partners, der rådgiver om opkøb med særligt fokus på teknologi. Hør ham fortælle om forskellen på Danmark og Silicon Valley - og om nogle af de vilde forhold der hersker i verdens ubestridte tech-hovedstad.
Job & Karriere
Stor outsourcing i Region Hovedstaden kan føre til medarbejderflugt
Der er en risiko for, at vigtige it-medarbejdere vælger at forlade Region Hovedstaden, hvis et nyt stort outsourcing-projekt gennemføres.
White paper
Du slipper ikke … digitaliseringen rammer også dig og din virksomhed. Men gå ikke i panik, for de fundamentale færdigheder er (næsten) de samme som altid
Hvordan slipper industrivirksomheder i alle størrelser igennem det minefelt af markedskræfter, stadig mere krævende digitale kunder, konkurrencepres og digitale forventninger? Nøglen er at begynde med det fundamentale. Mennesker, smidige processer, digitalt lederskab og tilfredse kunder. Læs dette whitepaper fra Columbus med bidrag fra eksperter og få indsigt i relevant benchmarking. 24 sider på engelsk.