Smartphone zakenreiziger al gehackt op landingsbaan
Zakenreizigers en topmanagers die naar het buitenland reizen lopen het risico dat hun smartphone al is gehackt terwijl ze nog in het vliegtuig zitten. Daarvoor waarschuwt beveiligingsonderzoeker Justin Morehouse. Aanvallers gebruiken onder andere sms-berichten om de telefoons van hun slachtoffers te hacken. De berichten bevatten links naar webpagina's met een exploit, waardoor de aanvaller toegang tot de mobiele telefoon krijgt.
Volgens Morehouse immiteren de sms-berichten van de aanvallers de standaard welkomstberichten van lokale telecomaanbieders. Dit zijn de berichten die reizigers over de lokale mobiele kosten informeren. Dit soort sms-berichten zouden zeer effectief zijn, aangezien gebruikers verwachten dat ze die krijgen zodra ze hun telefoon weer inschakelen.
Met name China en Rusland zijn risicovolle landen, maar door het groeiend aantal spionageproducten moeten reizigers in elk land oppassen. Zo heeft een Israëlisch bedrijf een tool ontwikkeld die de locatie van een mobiele telefoon tot op een afstand van 30 meter kan detecteren.
Prepaid simkaart
Morehouse adviseert zakenreizigers die denken dat ze een doelwit zijn om hun telefoon thuis te laten. Verder is het verstandig om een geheel nieuwe telefoon mee te nemen en ter plekke een prepaid simkaart te kopen. In het geval internettoegang is vereist adviseert de onderzoeker geen publieke WiFi-verbindingen te gebruiken. Verder zou er alleen via een VPN moeten worden gewerkt.
Ook moeten reizigers niet hun fysieke beveiliging vergeten. Bij veel topmanagers zou er in de hotelkamer zijn ingebroken, mogelijk door ingehuurde criminelen die vertrouwelijke gegevens, laptops of mobiele apparaten zoeken. Als laatste tip adviseert Morehouse het gebruik van codetaal. Wie vraagt hoe het met de kinderen gaat in plaats van de nieuwe chips zou aanvallers op het verkeerde spoor kunnen zetten.
Het lijkt me toch dat niet zoveel mensen actief direct iets met zo'n URL zouden doen, waardoor ze dan pas geinfecteerd zouden worden. Ikzelf heb nog nooit méér gedaan dan lezen, met dit soort sms-jes.
Iemand een idee?
Als we willen dat de mensen veiliger omgaan met hun spullen, dan moeten we de spullen ook aanpakken, en niet de mensen een advies geven dat 80 % van de functionaliteit van hun apparaten ongebruikt laat...
"Verder zou er alleen via een VPN moeten worden gewerkt. "
Blackberry blijft de beste voor zakelijk gebruik.
Blackberry blijft de beste voor zakelijk gebruik.
Als we willen dat de mensen veiliger omgaan met hun spullen, dan moeten we de spullen ook aanpakken, en niet de mensen een advies geven dat 80 % van de functionaliteit van hun apparaten ongebruikt laat...
Dat is een beetje de makke van de huidige security community. Er worden allerlei zaken bedacht en (uit)gevonden maar implementeren ho maar. Dat moeten anderen maar doen. Qua gebruikers vriendelijkheid is er ook behoefte aan betere adviezen. Beveiliging mag het goede gebruik nooit in de weg staan, maar de meeste ICT'ers (veelal als beveiligers ingezet) snappen daar geen snars van. Deze denken alleen maar na over oplossingen terwijl ze de eisen niet eens kennen.
Erg goed zo'n veilige smartphone maar voor de gebruiker totaal onbruikbaar, dus wie schiet nu wiens doel voorbij?
Dat is een beetje de makke van de huidige security community. Er worden allerlei zaken bedacht en (uit)gevonden maar implementeren ho maar. Dat moeten anderen maar doen.
Beetje dom om dat bij de security community in de schoenen te schuiven. Gebruikers willen kost wat kost feature X of speeltje Y wat hun collega's bij bedrijf Z ook hebben en ICT'ers die waarschuwen over de veiligheid van het nieuwe speeltje worden genegeerd danwel direct verteld hun mond te houden en gewoon te doen wat de baas zo graag wil.
Dan zegt de beveiliger dat het het onveilig is en adviseert de feature uit te schakelen, of 't speeltje te beperken als deze veilig willen zijn, en jahoor het is opeens hun fout dat ze niet flexibel zijn.
De security community interesseert het geen reet dat gebruikers beperkt worden door hun adviezen, ze zijn er om het bedrijfskapitaal te beveiligen, niet om gebruikers blij te maken. Het is niet hun fout dat beveiliging een sluitpost is bij 99% van de ontwikkelaars, die verkopen nu eenmaal rommel. Zo is het al decennia, en zo gaat het voorlopig ook gewoon door.
Zo is het bij bepaalde instellingen zo dat specifieke data (R&D) alleen vanaf bepaalde systemen benaderd mag worden. Het gebruiken van een thuiswerkplek of een werkplek op een andere locatie om de data te benaderen is niet toegestaan vanuit security overwegingen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
