Dansk høflighed hjælper analog hacker
På vej mod indgangen til din virksomhed ser du kvinden, som ikke kan finde sit adgangskort, eller manden som ikke har frie hænder til at åbne døren, fordi han bærer noget.
Måske er du hjælpsom og lukker dem ind på din arbejdsplads, når du selv går ind.
Umiddelbart lyder scenariet uskyldigt, og det generelle billede er, at danskerne gerne vil hjælpe. Men du har måske lige hjulpet en analog hacker ind på arbejdspladsen via ‘tailgating’. Tailgating betyder - som navnet indikerer - at en hacker får adgang til en virksomhed ved at følge efter andre.
Ifølge certificeret etisk hacker hos NNIT Lone Juul Dransfeldt Christensen er denne form for hacking mere almindelig, end det måske umiddelbart forventes.
»Der er rigtig meget analog hacking. Hackeren kan forsøge at lirke nogle låse for at komme ind det rigtige sted på kontorerne. Ofte er virksomheden på ydre parametre godt beskyttet, og det virker måske ikke, men så kan man lave tailgating,« siger hun.
Høflighed er et problem
Det nytter altså ikke noget at have stærke sikkerhedsforanstaltninger, hvis den danske mentalitet står i vejen.
»Danskere er meget høflige, de har ikke så meget lyst til at vende sig om og spørge, hvor folk, de ikke kender, skal hen,« siger Lone Juul Dransfeldt Christensen.
Der kan være større succesrate for kvinder, for eksempel hvis hun bærer en stor taske, og roder rundt i den, så vil de fleste åbne døren for en - eller hvis man bærer på en stor kasse eller noget, så mødes man ofte med ‘ej, men kom indenfor’, fortæller Lone Juul Dransfeldt Christensen.
»Så kan man som hacker komme ind og snuse lidt rundt,« siger hun.
Hun fortæller, at den analoge hacking bliver brugt i sammenhænge, hvor det er målrettede angreb mod bestemte virksomheder, i modsætning til eksempelvis et ransomware-angreb, hvor målet er generel økonomisk vinding, og det specifikke offer er af mindre betydning.
Svært at beregne omfang
Det er svært at beregne et bestemt omfang af, hvor meget analog hacking der foregår. Det kan nemlig være svært at adskille den analoge hacking fra almindelige indbrud, og samtidig er det næsten umuligt at spore, da der sjældent bliver stjålet noget fysisk, fortæller Lone Juul Dransfeldt Christensen.
»Men når man samler detaljer fra et målrettet angreb mod Sony, Stuxnet og beretninger fra hackere i miljøet, så peger det på, at både hackere og efterretningsenheder anvender fysisk hacking.«
Blandt andet derfor er der også sikkerhedsvirksomheder, som anvender fysisk hacking ved penetrationstest af andre virksomheder og på den måde identificerer sårbarheder i virksomheden.
»Når sikkerhedsvirksomheder vælger at anvende fysisk hacking, så skyldes det, at man med et målrettet angreb kigger på de muligheder der er, og her har fysisk hacking vist sig at være en god mulighed, der kan være svær at spore. Så man kan spørge sig selv: Hvorfor skulle hackere ikke anvende de muligheder, der er tilgængelige?« siger Lone Juul Dransfeldt Christensen.
Kigger over skulderen og i skraldespande
Selv arbejder Lone Juul Dransfeldt Christensen som certificeret etisk hacker hos NNIT. Virksomheden arbejder ikke med analog hacking, men Lone Juul Dransfeldt Christensen interesserer sig selvfølgelig for emnet for at kunne forudsige forskellige scenarier og udtænke beskyttelse.
»Hvis jeg eksempelvis skulle hacke en virksomhed, så undersøger jeg alt om virksomheden. Hvilke IP-ranges bruger den, hvorhenne er de, hvilke adgangskort bruger de og så videre. Jeg går måske ind i virksomheden, for at sniffe nogle adgangskoder over skuldrene, mens de arbejdende skriver, jeg laver måske noget dumpster diving, hvor jeg går ned direkte i skraldespanden og kigger efter gode post-its med koder på,« siger hun.
For at sikre sig mod denne type af angreb, kan man for eksempel spørge folk, man ikke kender, hvem de er, og hvad de foretager sig i virksomheden, siger Lone Juul Dransfeldt Christensen.
»Men igen er danskere ikke nogen, der går rundt og spørger på den måde. Specielt i store virksomheder, hvor man ikke kender hinanden,« siger hun.
Lone Juul Dransfeldt Christensen kender selv til adskillige danske virksomheder, som har været udsat for denne type af angreb, men har ikke bemyndigelsen til at give eksemplerne videre til Version2.
