A BP-hez is be tudtak kéredzedkedni a hackerek

Nagy cégeket vettek célba a Defcon információbiztonsági konferencia résztvevői. A social engineering, azaz a megtévesztésen alapuló, emberi hibákat kihasználó hackelés versenyén a legtöbb nagy cég elbukott.

Csupán két telefonhívásra volt szüksége Josh Michaelsnek, a Defcon manipulálási versenyének egyik nevezőjének, hogy megtudja milyen operációs rendszert, böngészőt, vírusirtót és virtuális hálózati (VPN) szoftvert használnak a brit olajvállalat alkalmazottai. A támadónak sikerült kiszednie a cég telefonvégre kapott alkalmazottjából, hogy milyen típusú laptopokkal szerelik fel a BP-seket. A hacker végül még arra is rá tudta venni az informatikai ügyfélszolgálatot, hogy az átveréses támadásokról szóló Social-Engineering.org honlapot meglátogassa.

"Ijesztő volt. Sosem tudod, mit fogsz hallani. A félrevezetéses támadás nagy adrenalinlökettel jár" - mondta Michaels miután letette a telefont. A hacker a BP kártérítési részlegén dolgozó lousianai alkalmazottjának adta ki magát, így tudta kikérdezni a gyanútlan ügyfélszolgálatost.

Elestek az IT-cégek is

A játékosoknak egy, a szervezők által kiválasztott nagyvállalatról kellett minél több információt begyűjteniük. A támadásra 25 percük volt, ez alatt viszont akárhány telefonhívást lebonyolíthattak. Pontot ért a cég gépeire telepített Adobe Reader verziószáma, a hulladékszállító vállalat neve - a kidobott papírokból rendkívül sok információt lehet kinyerni - és az is, ha a felhívottat sikerült rávenni a támadó által megjelölt weboldal meglátogatására.

A célpontok között megtalálható volt a BP, a Shell, az Apple, a Google, a Microsoft, a Pepsi, a Coca-Cola és a Ford is. A kétnapos verseny első napján több tucatnyi hívást intéztek a listán szereplő vállalatokhoz, és csak három olyan eset volt, amikor a hackerek nem kaptak választ a kérdéseikre.