L'histoire du hacker qui a "volé" la mauvaise banque à Beyrouth
Jason E. Street est un spécialiste en test d'intrusion qui a découvert et aidé à résoudre des failles de sécurité dans de nombreuses banques autour du monde. Toutefois, même les professionnels les plus réputés peuvent commettre des erreurs.
Un jour, Street a été engagé pour exécuter une formation de sensibilisation à la sécurité dans une banque à Beyrouth .
Cette formation de sensibilisation peut être décrite comme une atteinte à la sécurité physique stimulée qui vise à développer la sécurité de l'établissement en sensibilisant le personnel aux dangers existants et aux façons de les affronter.
Comment le fait-il ?
"Je n'ai pas besoin de contourner le pare-feu si j'arrive à contourner votre réceptionniste".
Jayson E. Street
Afin de comprendre ce que Street fait et comment il le fait, nous pouvons retourner en arrière, quelques années avant qu'il n'a gâché de travail d'une banque à Beyrouth .
En 2013, Street a complété avec succès la formation à la banque de Beyrouth .
L'épreuve était de tester la sécurité des 3 différentes branches de la banque et de trouver l'identifiant de l'utilisateur, le mot de passe, une carte à puce et un accès au réseau afin de réussir la mission.
Cependant, les techniques principales que Street a employées dans son travail lui ont confié la validité et la confiance des employés, des responsables et des directeurs - ils ont peut-être même ignoré ses techniques. Comment ?
Par exemple, lorsqu'il est entré dans la première branche avec confiance, il s'est précipité vers le bureau du directeur, sans se retourner vers les responsables. Il s'est mis devant la porte pour quelques minutes, sans rencontrer le directeur, avant de retourner au bureau des responsables comme s'il savait très bien ce qu'il faisait.
Ensuite, il a dit à une responsable qu'il avait besoin de jeter un coup d'œil sur son ordinateur parce qu'il effectuait un audit, tout en basculant des termes techniques pour prouver sa légitimité.
La responsable, qui a automatiquement relié son arrivé du bureau du directeur, validité et sa légitimité, lui a permit de brancher sa clé USB Rubber Ducky (une clé USB programmable utilisée pour le piratage qui est capable de causer de gros dégâts) sur son ordinateur.
Bien que dans ce cas, le Rubber Ducky de Street était uniquement programmé pour ouvrir un bloc-notes ; vu que ce n'était pas un vrai cambriolage ; il a fragilisé la sécurité de la banque. Street avait à peine commencé.
À ce moment, on l'a supposément vu au bureau de directeur ainsi qu'au bureau de l'un des responsables ce qui a augmenté sa validité dans les yeux du personnel.
Il a piraté ensuite l'ordinateur d'un autre responsable et celui de toutes les personnes au guichet - en deux minutes et demie après qu'il est entré dans la banque pour la première fois dans sa vie.
Après qu'il ait pratiquement cambriolé la banque, il a rassemblé le personnel pour leur raconter ce qu'il a venait de faire.
Jayson E. Street, à droite, sur une chaise de bureau derrière le guichet d'une banque à Beyrout .
Crédit photo : Darknet Diaries
Il a expliqué à quel point ils ont été piraté et les a ensuite sensibilisés sur les méthodes préventives.
Street a reproduit la même simulation dans les deux autres branches tout en révélant les identifiants des utilisateurs, les mots de passe, les cartes à puce et la preuve de l'accès aux réseaux. Les responsables étaient stupéfiés.
Le moment où ça a mal tourné
Quelques années plus tard, Street est retourné à Beyrouth de nouveau et a contacté la banque où il était supposé exécuter une formation de sensibilisation à la sécurité. Il a raconté son histoire lors d'un épisode de Darknet Diaries .
Lorsqu'il est arrivé, il avait besoin d'utiliser les toilettes. Il est monté au deuxième étage, supposant (selon son expérience) que les toilettes étaient là-haut.
Une fois de retour à l'étage, il a aperçu 2 personnes qui travaillaient dans un bureau. Il s'est rapproché d'eux prétendant qu'il était un envoyé de Microsoft, tout en leur montrant un faux badge. Ainsi, il a commencé son travail.
Il a branché son Rubber Ducky sur leur ordinateur et aurait dû terminer son travail directement, vue que pirater un seul était suffisant pour s'emparer du system complet.
Mais il voulait inclure chaque employé dans cette expérience afin qu'ils retiennent la leçon. De ce fait, il continua à pirater le reste des ordinateurs.
En plein piratage, une personne s'est rapproché de lui et lui a demandé qu'il faisait. Street lui a redit qu'il travaillait pour Microsoft et qu'il effectuait un audit.
Il lui a même montré l'email du directeur administratif et financier (DAF) de la banque sur un iPad qu'il avait sur lui. Cette méthode était une autre façon de promouvoir sa légitimité. En effet, l'email l'autorisait à travailler, mais ce dernier était erroné aussi.
L'homme a informé Street qu'il avait besoin de l'autorisation de ses superviseurs. Ainsi, le hacker leur a montré l'email sur son iPad. Toutefois, il ne s'attendait pas à entendre ce qu'on lui a dit.