In deze post de tweede gastblog van Matthieu Paques, met een mooi praktijkvoorbeeld van phishing en social engineering. Deze voorbeelden zijn afkomstig uit een artikel in ons vakblad Compact. Het hele artikel onder deze link; het eerste deel onder deze andere link. Wederom veel leesplezier.

Bij een test waarbij het doel was systeemtoegang te verkrijgen heb ik een medewerkster gebeld met de melding dat er waarschijnlijk een probleem was met haar systeem en dat deze een enorme hoeveelheid netwerkverkeer op het netwerk veroorzaakte. Ik gaf aan dat het systeem hier uiteindelijk door kon vastlopen en in het ergste geval de aanwezige data niet meer benaderbaar zou zijn. Op mijn vraag of de laptop niet erg traag was de laatste tijd kreeg  uiteraard bevestigend antwoord. Na wat willekeurig getik op mijn toetsenbord zei ik dat ik het probleem had gevonden, benadrukte dat het erg lastig was dit op te lossen, maar dat ik er mee bezig ging. Ik hing op en belde na een half uurtje opnieuw om te vertellen dat het probleem was opgelost. Nadat ze mij nadrukkelijk had bedankt hing ik op.

Twee dagen later belde ik opnieuw en zei dat het probleem helaas toch niet opgelost bleek te zijn en ook op de laptop zelf aanpassingen moesten worden doorgevoerd. Ik vroeg of ze de laptop even bij local IT kon langsbrengen (die ik al in een eerder gesprek had gebeld om vast te stellen hoe de procedure werkte en om te controleren dat deze daadwerkelijk een lokaal service punt had) om daarmee de indruk te wekken dat ik daadwerkelijk een interne medewerker was. De medewerkerster was echter erg druk en dit kwam erg slecht uit. Bij wijze van uitzondering wil ik dan ook wel op afstand kijken of ik het probleem kon oplossen, zei ik. Omdat we vanuit veiligheidsoogpunt nooit aan gebruikers vragen hun wachtwoord over de telefoon af te geven zei ik, vroeg ik haar om het wachtwoord tijdelijk te veranderen in “welkom123” zodat ik dan op afstand het probleem kon oplossen. Twee minuten later kon ik op de laptop inloggen en had ik toegang tot de (vertrouwelijke) data die ik nodig had.

Binnenkort het derde en laatste deel. Mocht je naar aanleiding hiervan meer willen weten, neem dan gerust contact op met Matthieu: paques.matthieu@kpmg.nl.