Hacken zonder computer: gewoon naar binnen lopen

Door ethisch hacker Sander.

Niet elke hacker zit achter een scherm in een donkere kamer. Soms loopt hij gewoon naar binnen, in een hesje, met een gereedschapskist en een klembord. “Goedemorgen, ik kom voor het onderhoud aan de printer.” Niemand vraagt door en in elk bedrijf staat wel ergens een printer. Hij ziet eruit alsof hij daar hoort en hij doet heel zelfverzekerd. Eenmaal binnen komt de volgende stap: “Ik heb even het wachtwoord nodig om de printer te resetten, kun je dat voor me opzoeken?” Een behulpzame collega wil niemand ophouden en geeft het. En zo krijgt een onbekende in vijf minuten toegang waar een hacker anders weken voor nodig zou hebben.

Dit is een mooi voorbeeld van social engineering

Geen gekraak van ingewikkelde codes, maar misbruik van vertrouwen. Een geloofwaardig verhaal, een beetje tijdsdruk en een verzoek dat redelijk klinkt. Het werkt omdat mensen van nature behulpzaam zijn, autoriteit niet snel in twijfel trekken en ongemakkelijke situaties willen vermijden. ‘Mag ik eerst even controleren wie u bent?’ voelt al snel alsof we iemand beschuldigen.

Stel dat die vraag wél was gesteld. 

Dat jij of een collega contact had gezocht met de receptie of de eigen IT-afdeling had gebeld. Dan was het bezoek waarschijnlijk bij de voordeur geëindigd.

Mijn tips zijn daarom: je hoeft niet iedere bezoeker te wantrouwen. Je moet wel durven controleren:

• Vraag wie iemand is en wie hem heeft gestuurd.Vraag wie iemand is en wie hem heeft gestuurd. Een hesje en een klembord zijn geen legitimatie.

• Controleer de afspraak bij je eigen IT-afdeling of receptie. Gebruik daarvoor de contactgegevens die je zelf al hebt.

• Geef nooit je wachtwoord aan iemand die erom vraagt. Laat toegang voor onderhoud via de afgesproken IT-procedure regelen.

• Laat bezoekers niet alleen rondlopen. Zorg dat iemand hen begeleidt.

Doorvragen is niet onbeleefd. Het is professioneel.