Federalni angażują się bardzo często w śledztwa dotyczące przestępstw w cyberprzestrzeni. Ścigając takich gagatków, pewnie nie spodziewali się, że w końcu sami zostaną dopadnięci. I tak się właśnie stało, Moi Drodzy. Haker, który podał się za prezesa instytucji finansowej, twierdzi, że uzyskał dostęp do liczącej ponad 80 tys. członków bazy danych InfraGard, programu prowadzonego przez FBI.
Czym zajmuje się InfraGard? Otóż, jest to program, który tyczy się wrażliwych informacji na temat bezpieczeństwa narodowego i zagrożeń cybernetycznych z urzędnikami publicznymi i podmiotami sektora prywatnego, które zarządzają amerykańską infrastrukturą krytyczną. Jak wynika z analizy forów hakerskich - ów człowiek opublikował już próbkę danych - za dostęp do całości życzy sobie aż 50 000 dolarów. Dużo i niedużo jednocześnie - nie zdziwiłbym się, gdyby to była większa kwota. Ale 50 patyków i tak piechotą nie chadza.
Jak haker dostał się do bazy? Otóż, udzielono mu do niej dostępu w ramach portalu internetowego po tym, jak podał się za dyrektora generalnego instytucji finansowej. W sumie ciekawe jest to, że tożsamości tego człowieka nijak nie weryfikowano. Wiecie, na miejscu urzędników, chciałbym mieć stuprocentową pewność, że ten i ten człowiek jest tym, za kogo się podaje.
Osoba odpowiedzialna za ten atak przekazała na forum, że dane nie zawierają ani numerów ubezpieczenia społecznego, ani dat urodzenia. Pola dla takich informacji były zawarte w bazie, jednak... ktoś przytomnie ich nie wypełnił. I bardzo dobrze - gdyby tak się stało, to niestety - mielibyśmy wtedy do czynienia z dużo poważniejszym incydentem. Co więcej, rekordy tylko 47 000 członków forum - nieco więcej niż połowa - zawierają unikalne e-maile. InfraGard zatwierdził wniosek hakera na początku grudnia i był w stanie użyć spreparowanego maila, aby otrzymać jednorazowy kod uwierzytelniający. Po wejściu do środka - informacje o bazie danych miały być łatwe do uzyskania za pomocą prostego skryptu.
O, właśnie. Socjotechnika. Wyobraźcie sobie, że nie macie umiejętności, aby wkraść się do - najpewniej - całkiem dobrze strzeżonej bazy. No, nie każdy będzie to potrafił. Ale... macie za to fantazję i umiecie doskonale wkręcać inne osoby. Nie przychodzi Wam z trudem wcielanie się w jakieś niecodzienne role, jesteście wręcz gekon i potraficie wchodzić w buty konkretnych ludzi. To bardzo ciekawa i w takich sytuacjach - przydatna umiejętność.
I robicie właśnie coś takiego. Nie jest to etyczne, nie jest to dobre, ale lekcja wyciągnięta z tego - i przez FBI i przez inne osoby... powinna być pożyteczna. Niezależnie od tego, jakie możecie mieć zabezpieczenia - najsłabszym ogniwem zawsze będą ludzie. Oni tu zawalili sprawę, weryfikacja się nie powiodła, do bazy dopuszczono kogoś z zewnątrz. Kogoś z nie do końca dobrymi zamiarami.
Socjotechniką są również złośliwe maile, które najpewniej czasami otrzymujecie. Istotne jest to, by nie dać się złapać. Pamiętajcie o tym.
Hej, jesteśmy na Google News - Obserwuj to, co ważne w techu
