April Awareness: mens is zwakste schakel

Doel van April Awareness is alle medewerkers van de deelnemende organisaties te bewust te maken van de gevaren die (fysieke) indringers met zich mee kunnen brengen.

LBVD constateert dat in veel organisaties wordt vergeten dat criminelen ook aanvallen uitvoeren via de zwakste schakel, zijnde de mens. Zelfs bij organisaties waarvan verwacht werd dat ze bestand zouden zijn tegen aanvallen via ‘social engineering’ konden de hackers toegang krijgen tot het interne netwerk. Bij alle deelnemende organisaties kregen de aanvallers toegang tot de locatie.

Beveiligingsmaatregelen aanwezig, niet goed nageleefd

Veel deelnemende organisaties hebben wel (informatie)beveiligingsmaatregelen getroffen, maar de naleving ervan laat te wensen over. Eén organisatie had een toegangscontrolesysteem voor elke ruimte, terwijl de deur van een vergaderruimte door een stoel werd opengehouden. In deze vergaderruimte konden de hackers de wifi-router plaatsen en verbinding maken met het netwerk.

De namen van de organisaties die dit jaar aan April Awareness hebben deelgenomen worden niet bekend gemaakt. LBVD stelt dat het energieleveranciers, financiële instellingen, zakelijke dienstverleners, multinationals in niet-duurzame consumentenproducten en overheidsinstellingen betrof.

Makkelijke dor de slagboom

Eén van de LBVD-hackers vertelt: “Bij een organisatie kwamen we gemakkelijk langs de slagbomen door te tailgaten: achter een geautoriseerde bezoeker aanrijden zonder aan te melden. De receptioniste liet ons dankzij onze vermomming als printermonteurs binnen, maar een facilitair medewerker escorteerde ons naar de printers. Hem afschudden was onmogelijk, dus aan het einde van de onderhoudsbeurt verlieten we onverrichter zake de locatie.

Eenmaal buiten liep ik zonder mijn collega een rondje om het pand en zag bij de achteringang dat een verhuisbedrijf dozen uitlaadde. Ik pakte een doos op, liep naar binnen en vervolgde mijn weg naar de kantoorruimten. Deze waren beveiligd dus wachtte ik mijn kans af en liep achter een medewerker aan die wel een toegangspasje had. Ongezien installeerde ik de wifi-router en kreeg ik verbinding met het interne netwerk.”