Studenten van de Universiteit Twente (UT) hebben dertig laptops van verschillende universiteitsmedewerkers gestolen in ruil voor studiepunten. Het betrof een onderzoek van UT-onderzoeker Trajce Dimkov, die promoveerde op het veiligheidsbeleid van organisaties. Onder het voorwendsel van een gebruikersonderzoek leende Dimkov laptops aan dertig willekeurig gekozen medewerkers van de universiteit uit.

De medewerkers die de laptops leenden kregen de opdracht om de laptop altijd aan het bureau vast te maken met een ketting. Ook moesten ze de deur van de kamer afsluiten als ze weggingen en de laptop met een wachtwoord vergrendelen.

Vervolgens werden de studenten gevraagd om de laptops als wetenschappelijk experiment terug te stelen. De studenten deden zestig pogingen, waarvan er dertig slaagden. Om te voorkomen dat de studenten werden opgepakt, is van tevoren de beveiliging ingelicht. Uit het onderzoek blijkt dat een organisatie perfecte beveiligingssystemen kan hebben, maar dat het systeem staat of valt bij het menselijk gedrag.

Social engineering
"Mensen vergaten bijvoorbeeld de deur op slot te doen. Soms verzonnen de studenten een goede smoes waarna de schoonmaakster of conciërge de deur voor ze opende. Sommige studenten wisten de laptops te bemachtigen door zich voor te doen als technici. Of ze zeiden dat ze hun laptop vergeten waren uit het kantoor van hun begeleider en dat ze dringend met hun opdracht verder moesten. Mensen hebben de neiging zich dienstverlenend op te stellen en gladde praatjes zijn soms moeilijk te doorzien", aldus Dimkov.

Model
Om diefstal in de toekomst te voorkomen, ontwikkelde de student een prototype van een soort navigatiesysteem dat inzichtelijk maakt op welke manieren laptops gestolen kunnen worden. In het model worden gegevens gestopt, zoals een plattegrond, informatie over medewerkers, regels, sloten en beveiligingscodes.

Het model verbindt deze informatie door middel van algoritmes en produceert hiermee scenario’s waardoor eventuele ‘gaten’ in de beveiliging naar voren komen. "Criminelen hebben niks aan dit systeem, zonder alle input. Aan een navigatiesysteem zonder kaart heb je immers ook niets", aldus Dimkov.