A algum tempo atras, Engenharia Social era apenas usada para conseguir coisas de graça e passar alguém para traz com conversa, naquela época ninguém pensava em usar isso pesadamente em segurança da informação. Hoje em dia, cerca de 66% de todos os ataques usam engenharia social, incluindo hackers, crackers, hackativistas e governos.
O site social-engineer.org criou alguns infográficos interessantes sobre o assunto.
Algumas outras informações que foram levantadas:
90% das pessoas que participaram da pesquisa informariam sem problema seu nome e email profissional e pessoal a qualquer pessoa, sem confirmar a identidade.
67% das pessoas dariam o social security number (similar ao nosso CPF), data de nascimento e outras informações relacionadas a cadastro na empresa
Tiveram 100% de sucesso em obtenção de informação e invasões físicas
O objetivo da pesquisa é mostrar como um ataque de engenharia social não é tratado com a devida importância, como cyber ataques. O único modo de mitigar estes ataques é treinando os funcionários para esses tipo de situação.
Olá a todos. Nesse post vamos falar de uma coisa provavelmente pouco conhecida e explorada pelo menos no Brasil, mas vem crescendo, o Pentest Físico. Você achava que a única coisa que estava na categoria “non-tech” do ramo de Pentest era a Engenharia Social? Está muito enganado! Temos muita coisas que envolvem esse mundo. E é sobre essas coisas que estou escrevendo.
O que é?
O pentest físico é basicamente o que o famoso Hacker Kevin Mitnick fazia em sua época de fora da lei. O pentest físico consiste em invadir fisicamente a empresa. Do mesmo modo que um pentest normal, tem as mesmas características, podendo ser completamente do zero, sem informações, com algumas informações e com todas as informações do alvo e o objetivo é conseguir o máximo de informação esquivando-se dos alarmes, câmeras e etc.
Um pentest desse nível deve ser feito com muita cautela, um contrato autenticado com o cliente explicando todas as medidas que podem ser tomadas é fundamental, por causa que se algo der errado e a polícia for acionada, ou alguma pessoa ver pode dar problemas e passar algumas noites na cadeia por isso
Um exemplo bem prático de como isso funciona é uma série de TV, produzida pelo mais famoso time de hackers, o Tiger Team, contando com apenas 2 episódios (por quê será? xD) mostra o pentest físico em ação. Veja abaixo os 2 episódios:
Tiger Team Ep.1 Parte 1
Parte 2
Parte 3
Parte 4
Tiger Team Ep.2 Parte 1
Parte 2
Parte 3
Parte 4
Engenharia Social
Como você pode ver nos vídeos, engenharia social é extremamente importante aqui. Sem ela tudo seria mais difícil, ou até mesmo impossível. Para os que ainda não estão acostumados com o termo, engenharia social é:
Em Segurança da informação, chama-se Engenharia Social as práticas utilizadas para obter acesso a informações importantes ou sigilosas em organizações ou sistemas por meio da enganação ou exploração da confiança das pessoas. Para isso, o golpista pode se passar por outra pessoa, assumir outra personalidade, fingir que é um profissional de determinada área, etc. É uma forma de entrar em organizações que não necessita da força bruta ou de erros em máquinas. Explora as falhas de segurança das próprias pessoas que, quando não treinadas para esses ataques, podem ser facilmente manipuladas.
E isso é o que a wikipedia acha disso. Não é muito difícil de entender como funciona, caso queira mais informações sobre o assunto confira os livros do Kevin Mitnick, The Art of Intrusion, The Art of Deception e o Ghost in The Wires são ótimos livros sobre o assunto, especialmente este último, que é (ou quase isso) uma biografia de sua vida e obras. Pode-se também conferir o filme sobre sua captura, o Operation Takedown.
Lockpicking
Você conhece esse termo? Sim, o ato de destrancar fechaduras e cadeados sem ter a chave. Também é necessário para um pentest físico, por que em muitos casos o pentester vai se deparar com portas trancadas ou cadeados bloqueando seu caminho. Existem hoje em dia milhares de ferramentas e tutoriais pela internet explicando como funciona essa arte, mas caso seu orçamento esteja meio limitado você também pode fazer ao estilo MacGyver com um grampo de cabelo e um clip de papel.
Essas ferramentas, conhecidas como Michas no Brasil, são somente de uso de chaveiros, seu porte e uso pode ser considerado crime por aqui. A aquisição dessas ferramentas também é ilegal. Então cuidado com o que você vai fazer, como qualquer outra ferramenta do pentest tanto convencional quanto físico, sem autorização do dono, pode ser enquadrado em alguns crimes.
Existem muitas outras coisas que podem ser colocadas aqui, mais adiante escreverei mais sobre elas. Caso queira ingressar no pentest, se especializar nisso é um ótimo diferencial para qualquer profissional.
Por hoje fico por aqui, aguarde que em breve postarei mais conteúdos do gênero. Valeu!
Nos dias de hoje Segurança Digital é um dos temas mais comentados nas mídias sociais e veículos de comunicação. Tudo gira em torno de privacidade, segurança e os maldosos hackers ....
