Мать ИБ-эксперта без всяких навыков обошла систему безопасности тюрьмы

Основатель американской ИБ-компании Black Hills Джон Стрэнд (John Strand) рассказал на конференции Derbycon, как в 2014 году его мать обошла системы безопасности тюрьмы в штате Южной Дакоте без каких-либо навыков или знаний. Рита Стрэнд (Rita Strand) без труда миновала охрану, проникла в исправительное учреждение под видом медицинского инспектора и взломала компьютеры с помощью «флешки», сообщило издание Wired.

Джон Стрэнд должен был провести тестирование на проникновение в одной из американских тюрем, однако вместо ИБ-эксперта на дело вызвалась его мать. Рита не обладала никакими техническими навыками или знаниями — последние 30 лет работала в сфере общественного питания. 58-летняя женщина предложила притвориться медицинским инспектором, приехавшим осуществить проверку учреждения на соответствие нормам питания и содержания заключенных.

Рите необходимо было проникнуть в учреждение, сфотографировать все точки доступа и физические меры защиты. Поскольку женщина не обладала нужными навыками для взлома компьютеров, ей нужно было подключить так называемые «резиновые уточки» (USB Rubber Ducky) к устройствам. USB Rubber Ducky представляет собой устройство в виде «флешки» со встроенной программой, перехватывающей данные с подключенного компьютера.

Джон изготовил фальшивый бейдж медицинского инспектора с логотипом компании, фотографией матери и контактными данными. Мать ИБ-эксперта подключила USB-устройства всего за 45 минут. Как отметила Рита, охранники без каких-либо подозрений пропустили ее на территорию тюрьмы, разрешили взять с собой телефон, а иногда и вовсе оставляли одну. Под предлогом проверки на наличие плесени и насекомых Рита попала в рабочие кабинеты сотрудников, зоны отдыха, операционный центр и в помещение с серверами. Вскоре сам начальник тюрьмы пригласил Риту в свой кабинет для консультации. Она предложила ему специальный чек-лист для устранения недостатков в учреждении и таким образом подсоединила к его компьютеру «USB-утку».

Джон Стрэнд не рассказал, в какой именно тюрьме осуществлялась проверка систем безопасности.