Dy specialistë të sigurisë, të njohur si "red teamers", Kristopher Johnson dhe një koleg i tij i quajtur Michael, kanë testuar sigurinë fizike të një kompanie gjatë dimrit të vitit 2023. Ata u futën në ndërtesë përmes një dere të mirëmbajtjes që ishte lënë hapur. Pasi u përballën me një punonjëse në dhomën e postës, ata u prezantuan si punonjës të rinj të IT-së që nuk kishin ende kartela identifikimi. Për të fituar besimin e stafit, ata ofruan ndihmë për të pastruar borën, një ofertë që ekipi i mirëmbajtjes e pranoi.
Ai vendosi një kompjuter të vogël Raspberry Pi në një portë Ethernet në dhomën e konferencave, të cilin e fshehu pas koshave të mbeturinave. Pajisja mbeti e lidhur në rrjet për dy javë, pasi siguria e ndërtesës nuk e gjeti atë, pavarësisht se kishin kontrolluar pamjet e kamerave të sigurisë dhe kishin tentuar të identifikonin makinën e Johnsonit.
Gjatë këtyre dy javëve, ekipi arriti të lidhej me Active Directory të kompanisë dhe të identifikonte kontrolluesit e domenit. Duke shfrytëzuar dobësitë në shërbimet e certifikatave të Active Directory (ESC1, ESC4 dhe ESC8), ata arritën të siguronin akses administrativ në nivel domeni. Pajisja Raspberry Pi u zbulua nga pastruesi i ndërtesës pas dy javësh.
Dahvid Schloss, menaxheri i Johnsonit, theksoi se ky rast tregon se njerëzit shpesh supozojnë se dikush bën pjesë në një hapësirë nëse sillet si i tillë. Sipas tij, ekziston një paragjykim se krimi ndodh vetëm kur dikush shfaqet me maskë dhe armë. Incidenti nxori në pah nevojën për trajnime më të mira të stafit, kufizimin e aksesit në rrjet për pajisjet e panjohura dhe zbatimin e politikave më të forta të fjalëkalimeve dhe autentifikimit me shumë faktorë.
Burimi: theregister.com