Если вам есть, что сказать сообществу профессионалов ИБ и ИТ – заведите здесь свой блог

Социальная инженерия, техника "Дай позвонить"

Аватар пользователя dys
Автор: Другач Юрий, Блог о социальной инженерии
(8)
()
Опубликовано в:

Если в вашей компании сотрудники используют личные смартфоны — это еще одна проблема для безопасности.

Я приведу пример, почему это опасно для искателей корпоративных тайн, а вы просто имейте ввиду, что такая возможность есть. Не нужно при входе в компанию забирать телефоны у сотрудников, есть более рациональные решения.

Простой пример. У сотрудника «знакомый/друг» просит позвонить (дома, на прогулке, в отпуске). Тот без проблем соглашается. «Друг» устанавливает вредоносное приложение на телефон и после этого он может прослушивать разговоры и читать сообщения сотрудника.

Теперь злоумышленник может узнать, о чем говорят в его офисе или как минимум может более точно составить социальный профиль жертвы. Например, узнать, что у нее большие долги и предложить деньги за «слив» каком-нибудь «незначительном корпоративном секрете».

Посещая одну организацию, в которой работает несколько тысяч человек, я заметил, что её сотрудники пользуются специальными устройствами для связи, а при попытке подкупа или шантажа, у него был регламен, при котором он должен взять деньги у злоумышленника, сообщить об этом в службу безопасности и оставить себе деньги, получив при этом значительную премию (конечно, в случае разоблачения преступника).

Это один из вариантов решения такой уязвимости, как личный смартфон на работе.

Источник icast.ru

 

Оцените материал:
Total votes: 41
 
Комментарии в Facebook
 

Комментарии на сайте

Аватар пользователя riskmn

Смешно.

Очередные пугалки с отрывом от жизни. Был старый фильм (название не помню) там шло собрание и кого-то прорабатывали за незначительный проступок. Но, периодически просыпался персонаж (исполнял молодой Р. Быков) и орал на все собрание:" Позвольте, а если бы он вез патроны"?

Примерно так и в этих примерах. Я на месте владельцев компаний, в которых СБ придумала такие "решения" разогнал бы их всех......

​Но особенно мне нравится пассаж - "... а вы просто имейте ввиду, что такая возможность есть. " - конц цитаты.

​Смешно. Извините не мог удержаться. Если еще это кто-то читает и принимает за чистую монету - ........

Куда катится мир?

up
1 user has voted.
Аватар пользователя dys

Михаил, спасибо за комментарий!

Я точно не технарь, но мне кажется, что затроянить Android конкретного сотрудника с целью шпионажа вопрос нескольких часов/дней.

Давайте поговорим о том, как бы вы организовали защиту от прослушки через личный телефон сотрудника, который был затроянен. Может быть есть не стандартные способы (не включающие современные DLP)?

Я лично за практичные, а не философско-психологические методы.

И мне действительно интересно, что Вы как можно решить данную проблему.

up
3 users have voted.
Аватар пользователя riskmn

Да, Юрий, коль скоро Вы спросили, не могу быть невоспитанным, и, одновременно не получить удовольствие от ответа на Ваш вопрос. Все равно "чайники" даже не догадаются о чем я.

Отвечю - решить эту проблему элементарно с помощью решения "Стекло".  Не уверен, что это Вам поможет, но, кто знает.

up
1 user has voted.
Аватар пользователя riskmn

Я занимаюсь ИБ с 1981 года (значит 37 лет).....Это достаточно.

1. Такой задачей заниматься просто не буду. Такой вариант просто не работает(((( - долго объяснять теорию.

2. Если уж паранойя одолевает - решения элементарные (малозатратные) - есть классика жанра. Расказывать не вижу смысла. Буду читать мастер-класс могу пригласить. Уверяю, что DLP тут просто не при чем. Подобные системы - гипертафированный взглят ит-ка (программиста) замешанный на комиксах, детективах и 007)))).

Да, могу огорчить, DLP системы - очень вредны для бизнеса. Разрабатывают их люди, абсолютно плюющие на то, что будет с компаниями где они эту ерунду впарили. А тем, кто повелся на это - мои соболезнования.  

3. Юрий, где Вы видели, чтобы в мире таком как Безопасность рассказывал о своих приемах, методах и решениях. Не сомневаюсь, что Вам интересно (уверяю, что и не только Вам), но законы жанра просто это запрещают.

Примечание - не обижайтесь, что не получили ответ. Не считайте, что если кто-то не отвечает на Ваш вопрос - это не значит, что он не знает ответ. Не попадитесь на эту ошибку.

Захотите услышать мое мнение - обращайтесь.

Удачи.

З.Ы. Не расстраивайтесь, что больше никто не среагирует на Ваши посты. Здесь так принято. Большинство читает, а мнения своего или не имеет или боятся высказать (абы не оконфузиться). Это еще раз подтверждает мой тезис, что настоящих Мастеров от ИБ здесь по пальцам одной руки, а большинство ряженые пассажиры - самозванцы, ставшие "экспертами по ИБ" случайно или в силу обстоятельств.

Вто теперь все.  

up
1 user has voted.
Аватар пользователя dys

Да, я бы с удовольствием сходил на Ваш мастер-класс, несмотря на то, что Вы без удовольствия мне отвечаете, да думаю, и не к чему оно)

Вы про то "стекло", где всё прозрачно, но информация не "утекает"?

А по поводу того, что мне тут не ответят я не расстраиваюсь. Думаю, людям просто лень. Как лень администратору Госсопки удалить пост от поляков, уже неделю рекламирующих отбеливание зубов http://gossopka.ru/forum/topic/co-na-zylaki-odbytu/

up
1 user has voted.
Аватар пользователя riskmn

Юри!

Приношу извинения, но это я не Вам не отвечаю, я просто в принципе перестал сюда писать. Продлема в главреде. Это  личное и ....

2. Мастер-классы я только оставил в Академии Госслужбы. Там иногда веселю народ. А так, все больше, ребята приезжают индивидуально. Наше дело не терпит ни стандартов ни широкой публики.

3. Про "Стекло" - все просто - это прф сленг - терминоглогия. Если кто в этом не варился - то никогда и не догадается.

4. А про "не ответят" - это я хотел Вас поддержать что ли, чтобы не расстраивались из-за отсутствия ответов - получилось видимо как-то коряво. Тогда не серчайте.

Удачи

 

up
0 users have voted.
Аватар пользователя dys

Михаил, а у вас есть какой-то контакт, тут не знаю как написать лично. Очень нужно мнение эксперта, а общался только с Вами по этой теме.

Если проигнорируете, всё пойму.

up
0 users have voted.
Аватар пользователя riskmn

riskmn@mail.ru - это моя почта.

up
0 users have voted.

Рассылка BISA

Подпишитесь на новости информационной безопасности и актуальные статьи экспертов

Ищите нас также:
Вы сообщаете об ошибке в следующем тексте:
Нажмите кнопку «Сообщить об ошибке», чтобы отправить сообщение. Вы также можете добавить комментарий.