Af Torben B. Sørensen, 11/10/16
Artiklen blev oprindeligt publiceret den 1/11/2013
En kvinde fik flere jobtilbud og adgang til brugernavne og passwords for sine venner på sociale netværk selvom hun ikke eksisterer.To sikkerhedsforskere blev bedt tjekke sikkerheden på en amerikansk offentlig institution. Til det formål opfandt de kvinden Emily Williams.
De oprettede profiler på LinkedIn og Facebook, der fortalte, at hun var 28 år gammel, uddannet fra Massachusetts Institute of Technology og havde ti års erhvervserfaring. De bragte også et profilbillede af en smuk ung kvinde.
Derefter gik "Emily Williams" i gang med at blive venner med folk hos den offentlige myndighed. Hun narrede flere til at tro, at de kendte hende fra tidligere.
Hun sendte sine venner et digitalt julekort. Når de klikkede på det, blev deres pc inficeret. En af vennerne var en sikkerhedsansvarlig. På den måde fik forskerne bag Emily Williams adgang til hans passwords til mange kritiske it-systemer.
Forskerne har prøvet et lignende angreb med en fiktiv mand, men det gav ikke så god succes. De konkluderer, at hvis man vil angribe en mandsdomineret branche, giver det god mening at lokke med en attraktiv kvinde.
Sikkerhedsforskerne, Aamir Lakhani og Joseph Muniz, præsenterede resultaterne på RSA Conference Europe i denne uge.
Den form for angreb kaldes social engineering. Forskerne siger, at hver gang de bruger social engineering som led i en sikkerhedstest, får de succes.
Anbefaling
Vær forsigtig med, hvem du accepterer som venner på sociale medier.
Links
- Government agency compromised by fake Facebook hottie, artikel fra ZDnet
- Social Media Deception, præsentation af Aamir Lakhani og Joseph Muniz (PDF-format)
- The Social Media Deception Project: How We Created Emily Williams To Compromise Our Target, blogindlæg af Joseph Muniz
- Part 2 The Attack The Social Media Deception Project: How We Created Emily Williams To Compromise Our Target, blogindlæg af Joseph Muniz