Знаменитый бывший хакер Кевин Митник говорит, что большинство социотехнических атак, совершаемых от чужого имени, о которых ему известно, провалились бы, если бы объект просто поинтересовался номером телефона позвонившего.
Это позволило бы сотрудникам пострадавшей компании, перезвонив по названно
у номеру, убедиться в том, что это действительно тот, за кого он себя выдает. Если кто-то звонит, чтобы выведать у компании какие-то сведения, это немедленно отпугнет его. Если же это подлинное лицо, оно с готовностью выполнит такую просьбу. “Если бы люди просто перезванивали, это решило бы проблему безопасности на 80%”, – заявил Митник участникам форума, организованного сегодня утром в Сиднее компанией Citrix.
Митник рассказал, как сотрудница Motorola, передавшая ему в его бытность хакером секретный исходный код компании, заставила его поволноваться и едва не повесить трубку, когда она взяла паузу, чтобы согласовать некоторые детали со своим менеджером по безопасности. Однако в конечном счете эта попытка все же удалась.
Большинству людей свойственно желание помочь другим, когда кто-то к ним обращается, но служащим следует твердо отклонять вопросы, которые могут нанести ущерб безопасности, сказал Митник. Исправившийся хакер – теперь консультант по безопасности – особо выделил те попытки нарушить безопасность компании, которые относятся к разведке: сбору информации в преддверии атаки. Одним из замечательных объектов для такой разведки, по его словам, является служба технической помощи ИТ-подразделения компании.
“Они всегда готовы помочь”, – заверил Митник. Мошенники, позвонившие по номеру сервисной службы, легко могут выяснить, какие контрольные признаки – дата рождения, идентификационный номер сотрудника и т. п. – использует персонал службы для удостоверения личности позвонившего. Затем они могут повесить трубку, провести некоторое исследование и позвонить снова, уже во всеоружии, готовые взломать пользовательский аккаунт.
Хотя социотехнические рекомендации Митника не привязаны ко времени и технологически нейтральны, экс-хакер явно в курсе современных технических приемов. Он отметил, что при помощи одного из устройств Apple AirPort (популярный узел беспроводного доступа) можно моментально создать порт беспроводного доступа в штаб-квартиру любой компании, если подключить его к сетевому порту этой компании. “Достаточно нанести на него логотип компании с пометкой “Отдел ИТ. Не отключать”, и можно бродить по всей сети с автостоянки”. А если это устройство USB Bluetooth, оно будет выполнять ту же функцию, если вставить его в порт на задней панели ПК любого сотрудника.