(tegning: Adam Fribo)

Hackede dansk virksomhed gennem receptionisten: ”Hun var venlig og forsøgte at underholde os. Det udnyttede vi”

Et hold frustrerede sikkerhedseksperter kunne ikke hacke en dansk virksomhed. Men så fandt de ud af, at receptionistens datter kunne lide mobilspil…

”Vi var kommet lidt for tidligt, så vi fik lov til at brugte gæste-WiFi i receptionen. Vi scannede netværket og kunne se, at der var en adskillige smartphones tilkoblet – en af dem var receptionistens privattelefon.”

Giuseppe Trotta er sikkerhedskonsulent hos Fort Consult, og han skulle for et par måneder siden udføre en penetrationstest hos en dansk virksomhed.

Virksomheden skulle hackes.

Opgaven var at få adgang til følsomme oplysninger, men de første forsøg på klassisk phishing og social engineering kiksede, fordi medarbejderne var godt trænede i ikke at klikke på udefrakommende links.

Men så faldt Giuseppe i snak med receptionisten, mens han ventede på et møde med virksomhedens ledelse.

”Vi talte lidt om hendes privatliv, og hun fortalte, at hun har en lille datter, der er glad for at spille spil på telefonen. Det endte med at blive vores vej ind,” siger Gisueppe Trotta til Computerworld.

Malware-inficeret mobilspil gav kontrol over alt
Giuseppe Trotta anbefalede den venlige receptionist et sjovt, gratis mobilspil, hun kunne downloade til sin datter.

Han skulle nok sende hende et link, forklarede han.

Det skulle dog downloades fra Amazons app-butik, og den kræver, at man slå nogle sikkerheds-funktioner fra i Android. Men som sagt, han skulle nok sende et link.

”Så snart hun havde downloadet spillet, havde vi fuld kontrol over telefonen, og derfra fik vi fuld adgang til det gæste-WiFi, som hun var forbundet til hver dag.”

Da Giuseppe og hans kollegaer først havde adgang til virksomhedens gæste-WiFi gik det ud på at finde en vej videre ind. Den viste sig i form af en pivåben dør.

I receptionen stod en skærm, der viste basale informationer om virksomheden til kunderne.

Den var forbundet til gæste-WiFi, men informationerne blev kontinuerligt trukket fra det interne netværk.

"Det var en åben port gennem deres firewall,” siger Gisueppe Trotta og tilføjer, at der dog var sat et kodeord på den tilhørende webserver.

”Men det var noget i retning af password1234, så det kom vi ret hurtigt forbi.”

Mange servere – ét kodeord
Da Giuseppe Trotta først var på virksomhedens interne netværk, var der stort set frit spil.

Sikkerheden internt i virksomheden så godt som ikke-eksisterende bag den ydre firewall, og så handlede det blot om at finde den rigtige server.

”Til vores held opdagede vi, at alle serverne havde præcis det samme kodeord, så vi kunne bevæge os fuldstændig frit rundt. På det tidspunkt var det problemfrit at trække følsomme oplysninger ud af virksomheden.”

Missionen var fuldført.

Det hele begyndte med en venlig sekretær, og ifølge Giuseppe Trotta er læren ikke, at man skal bede sit front-personale om ikke at tale med kunderne.

Det er svært at være en god sekretær, hvis virksomhedens sikkerhedspolitik betyder, at man ikke må tale med kunderne.

”Den primære lektie må være, at man skal lade være med at bruge sin private telefon på en virksomheds netværk. Og kun downloade Android-apps fra Googles egen butik.”

Læs også: Lone er certificeret hacker: "Hvis man vil have god it-sikkerhed, er man nødt til at forstå, hvordan de gode hackere arbejder"



Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...
mest debaterede artikler

CIO
Dansk it-afdeling med 140 ansatte vil væk fra 'brændende platform'
Landbrugsstyrelsens it-afdeling, der nærmer sig 140 medarbejdere, har en klar mission: “Jeg håber, at vi hurtigst muligt er ude af den brændende platform, hvor it er den begrænsende faktor,” lyder det fra underdirektør.
Comon
Ugens tip: Find ud af hvem der ringer til dig med Facebook og MobilePay
Hvis du bliver ringet op af et nummer, du ikke kender, kan du lynhurtigt bruge en af to smarte tricks til at finde ud af, hvem de er - også selv om nummeret er beskyttet
Job & Karriere
Dansk it-virksomhed indførte fire-dages arbejdsuge: I dag er sygefraværet rekord-lavt og direktøren har tabt sig 13 kilo
Interview: Great Place To Work kategori-vinderen IIH Nordic har indført en fire-dages arbejdsuge og taget et opgør med forstyrrende storrums-kontorer og en frustrerende mailkultur. I dag er medarbejderne gladere end nogensinde før.
White paper
Er din virksomhed (måske) på vej ud i skyen? … her er tre mulige strategier og alle de vigtigste overvejelser
For langt de fleste virksomheder er cloud en uundgåelig del af fremtiden. Men hvordan skal man gribe det projekt an? Dette whitepaper fra EG fyldt med værdifulde input til de virksomheder, som står på tærsklen til at tage beslutningen - analyser, refleksioner, opmærksomhedspunkter og anbefalinger, som kan være en støtte i overvejelserne og undersøgelsen forud for beslutningen.