Cele mai multe bugete de securitate sunt direcționate către firewall-uri, agenți endpoint și cicluri de patching. Apoi cineva intră pe ușa din față, spune cuvintele potrivite persoanei potrivite și ajunge să stea la o stație de lucru a unui angajat. Fără exploit. Fără malware. Fără credențiale furate. Doar un pretext convingător și un membru al personalului care a vrut să ajute.

Asta s-a întâmplat în timpul unui test de penetrare fizică realizat de Zerotak pentru un client din sectorul bancar. Obiectivul era simplu de formulat și inconfortabil de răspuns: putea un atacator motivat să ocolească controalele fizice și să ajungă la sisteme interne folosind doar social engineering? Răspunsul scurt este da. Iată cum și ce spune acest lucru despre locul în care se află expunerea ta reală.

• Industrie: Banking
• Regiune: Europa
• Livrare: On-site

De ce testarea fizică este încă importantă

Mediile bancare sunt concepute pentru un nivel ridicat de servicii. Personalul este instruit să fie abordabil, să reducă fricțiunile și să ajute clienții să parcurgă rapid procesele. Aceeași cultură este exploatată de un atacator. O sucursală nu este o cameră de servere cu o cușcă încuiată, ci un spațiu plin de oameni care iau decizii rapide sub presiune, iar presiunea este ceva ce poate fi creat intenționat.

Am construit engagementul în jurul unui model realist de amenințare, nu în jurul unei liste de verificare. Scope-ul a acoperit patru zone care determină dacă o intruziune fizică reușește sau eșuează: controale de acces fizic, precum puncte de intrare, procese de recepție și verificări ale badge-urilor; comportamente umane de securitate, precum obiceiuri de verificare, cultura de challenge și escaladare; securitatea spațiului de lucru, precum politici clean-desk, acces la stații de lucru și dispozitive nesupravegheate; și controale de mediu, precum segmentare internă, bariere și managementul vizitatorilor.

Toate activitățile au rămas în limitele regulilor de engagement agreate. Niciun client real nu a fost afectat, operațiunile business nu au fost perturbate și fiecare pas a fost autorizat. Metodologia s-a bazat pe framework-uri consacrate pentru testarea securității fizice, inclusiv OSSTMM, Penetration Testing Execution Standard (PTES) și controalele de protecție fizică și de mediu din NIST SP 800-53. Scopul menționării acestora nu este brandingul, ci faptul că testarea fizică are o disciplină în spate, la fel cum are și testarea de rețea. La Zerotak, fiecare engagement fizic se desfășoară pe baza unei astfel de referințe structurate, nu ca un walk-through improvizat.

Atacul, fază cu fază

Faza 1: Reconnaissance și pregătire

Înainte ca cineva să intre în sucursală, am desfășurat activități OSINT țintite pentru a înțelege ținta așa cum ar face-o un adversar real. Asta a însemnat identificarea rolurilor angajaților și a fluxurilor operaționale probabile, maparea perioadelor de vârf în care atenția personalului ar fi fost cel mai divizată și înțelegerea modului în care sucursala gestiona interacțiunile cu clienții și organizarea fizică a spațiului.

Pe baza acestor informații, am construit un pretext care părea de rutină, plauzibil și ușor sensibil la timp. Rutina contează mai mult decât ingeniozitatea. Un atacator care se integrează într-o zi obișnuită de marți ajunge mai departe decât unul cu o poveste elaborată care invită la întrebări. De asemenea, am împărțit activitatea între doi operatori: Operatorul A a gestionat interacțiunea on-site și contactul fizic, în timp ce Operatorul B a oferit suport remote și coordonare în timp real. Doi operatori au permis menținerea consistenței poveștii și i-au oferit persoanei aflate la fața locului o modalitate de a „confirma” detalii fără a ieși din rol.

Faza 2: Intrare inițială prin social engineering

Operatorul A a intrat într-un interval operațional de vârf, când traficul de persoane era ridicat, iar personalul se mișca deja rapid. Pretextul a fost sigur și urgent, formulat astfel încât să se alinieze cu fluxuri interne pe care personalul le-ar recunoaște.

Execuția s-a bazat pe pârghii umane obișnuite, nu pe ceva tehnic. Operatorul a început cu o conversație naturală pentru a stabili legitimitatea, a introdus o presiune ușoară legată de timp pentru a descuraja verificările atente, a folosit un ton cooperant și indicii de familiaritate și a încadrat cererea ca fiind necesară operațional și de rutină. Procedurile standard de intrare existau pe hârtie. Sub presiune socială, validarea identității și verificările de autorizare nu au fost aplicate consecvent. Accesul în zone interne a fost acordat fără verificare procedurală completă.

Aceasta este partea asupra căreia merită insistat. Controalele nu lipseau. Erau documentate și cunoscute. Pur și simplu nu au rezistat în momentul în care o persoană a aplicat presiune realistă, ceea ce este exact condiția pe care un atacator o creează intenționat.

Faza 3: Deplasarea în zone restricționate

Odată ajuns în interior, Operatorul A a coordonat cu Operatorul B pentru a menține consistența narațiunii și pentru a consolida credibilitatea. De acolo, deplasarea prin zone restricționate nu a întâmpinat rezistență. Personalul nu a revalidat autorizarea, nu a existat niciun challenge sau escaladare, iar confirmarea badge-ului sau a identității nu a fost niciodată aplicată. Operatorul a ajuns în spații operaționale sensibile fără a declanșa suspiciuni.

Absența unei a doua verificări este un tipar recurent în evaluările fizice. Intrarea inițială este tratată ca poarta principală, iar odată ce cineva trece de ea, se presupune că aparține acelui loc. Un atacator care depășește primul obstacol moștenește o încredere pe care nu a câștigat-o niciodată cu adevărat.

Faza 4: Acces la stațiile de lucru și compromitere

În interiorul zonei restricționate, operatorul a interacționat din nou cu personalul folosind pretextul deja stabilit. Prin framing bazat pe urgență, aliniere operațională și dialog cooperant, operatorului i-a fost acordat acces direct la mai multe stații de lucru ale angajaților.

Ceea ce iese în evidență este ce nu s-a întâmplat. Nu a fost efectuată nicio validare secundară a identității. Nu a fost solicitată nicio aprobare managerială. Accesul a fost acordat pe baza încrederii contextuale, nu pe baza autorizării formale, iar personalul l-a facilitat voluntar deoarece situația părea necesară operațional. Rezultatul a fost acces interactiv la un PC intern al unui angajat, obținut fără exploatarea vreunei vulnerabilități tehnice. Fără furt de credențiale, fără malware, fără exploatare de sistem. Procesul uman a fost întreaga suprafață de atac.

Rezultatul final

Evaluarea s-a încheiat cu o ocolire completă a perimetrului fizic, rezultând în acces la stații de lucru ale angajaților și la zone operaționale interne. Un atacator care ar urma această cale ar avea deja un punct de sprijin în interiorul mediului înainte ca vreun control tehnic să aibă șansa de a interveni.

Ce înseamnă acest lucru pentru apărarea ta

Lecția este clară: măsurile de securitate pot fi ocolite atunci când comportamentul uman și lacunele procedurale sunt exploatate, iar un atacator poate ajunge la stații de lucru sensibile și zone interne doar prin social engineering. Dacă programul tău de testare validează doar sistemele și infrastructura, măsori doar jumătate din expunerea ta.

Câteva priorități tind să închidă lacunele pe care le-am exploatat aici. Fă verificarea obligatorie și repetată, nu o verificare unică la intrare, astfel încât trecerea de punctul de acces să nu acorde încredere permanentă. Construiește o cultură de challenge în care solicitarea adresată unei persoane necunoscute de a confirma cine este să fie tratată ca un comportament așteptat, nu ca lipsă de politețe. Aplică disciplina stațiilor de lucru prin blocarea ecranelor, timeout-uri de sesiune și reguli clare despre cine poate atinge un dispozitiv. Și testează aceste procese conduse de oameni la fel cum îți testezi rețeaua, periodic, cu scenarii realiste.

O postură de securitate matură ia în calcul oamenii și procedurile, nu doar tehnologia. Sucursala din acest engagement avea controale reale. Ceea ce îi lipsea era obiceiul de a le aplica sub presiune, iar acest obicei se construiește prin testare. Acesta este decalajul pe care evaluările Zerotak sunt concepute să îl scoată la suprafață înainte să o facă un adversar real.

Dacă vrei să afli cum rezistă controalele tale fizice și umane în fața unui adversar realist, acesta este exact tipul de engagement pe care îl desfășoară Zerotak.

Dacă vrei să afli cum rezistă controalele tale fizice și umane în fața unui adversar realist, acesta este exact tipul de engagement pe care îl desfășurăm. Scrie-ne la contact@zerotak.com pentru a începe discuția.