"Aanval" op Democratische Partij blijkt phishingtest
Een aanval op de Democratische Partij van de Verenigde Staten blijkt een ongeautoriseerde phishingtest te zijn geweest. Dat laat de Democratic National Committee (DNC), het hoogste bestuursorgaan van de Democratische Partij, tegenover CNN weten. De DNC had eerder laten weten dat het een aanval had afgeslagen waarbij werd geprobeerd om toegang tot een database met gegevens van kiezers te krijgen.
De phishingsite waar de test gebruik van maakte werd door securitybedrijf Lookout ontdekt, dat dacht dat het om een echte aanval ging. De website deed zich voor als de inlogpagina van VoteBuilder, een database die informatie over kiezers bevat en wordt gebruikt door functionarissen en campagnes van de Democratische Partij. Na ontdekking van de phishingsite werd de FBI ingelicht en een onderzoek gestart.
"We hebben de gisteren gerapporteerde phishingsite onderzocht. Samen met de partners die de website ontdekten denken we nu dat die door een derde partij was gemaakt als onderdeel van een gesimuleerde phishingtest op VoteBuilder", zegt Bob Lord, CSO van de DNC, tegenover CNN. Volgens Lord maakte de test gebruik van verschillende eigenschappen die ook bij eerdere aanvallen tegen de Democratische Partij zijn ingezet. Daarnaast was de test niet geautoriseerd door de DNC of leveranciers waarmee wordt samengewerkt. Verdere details zijn echter niet gegeven.
Wat bedoelen ze hier nu weer mee? Dit is echt een on-zin.
Overigens, de security officer bij de DNC, als ze hem goed gequote hebben klinkt als iemand die moeite heeft met logisch redeneren. De conclusies die hij trekt worden niet ondersteund door de feiten (ik zeg het nu netjes).
https://edition.cnn.com/2018/08/23/politics/dnc-hack-false-alarm/index.html
Neuh. Niet geauthoriseerd door de nationale partij - maar blijkbaar wel geregeld door afdeling Michigan.
(" In an abundance of caution, our digital partners ran tests that followed extensive training. " , quote van "Brandon Dillon, the chair of the Michigan Democratic Party," ).
Het scenario lijkt me:
1 - partij Michigan bestelt een uitgebreide phishing training .
2 - daarbij zit ook een live test . (Amerika kennende zal dat _absoluut_ in het contract gestaan hebben. Alleen de informatie dat er een test volgde is duidelijk niet op alle lagen bekend geworden )
3 - de test wordt ontdekt - en de mensen die 't ontdekken weten niet dat dit onderdeel is van een training van Michigan .
4 - de paniek/aanval wordt publiek gecommuniceerd voordat de melding uit Michigan "dat is voor ons" doordringt .
En dan een heleboel fuzz om intern gekwetste tenen te verkomen .
Het uitvoerende bedrijf zal gegarandeerd een solide contract met toestemming (van hun klant - democraten Michigan) hebben.
(niet hun taak of probleem om de hele partij organisatie te kennen )
De nationale security verantwoordelijke heeft een melding uit Michigan gemist - of niet gekregen , maar kan noch partij Michigan publiek voor paal zetten, noch zichzelf .
En partij Michigan heeft of niet gedacht om het nationale security team in te lichten, of heeft dat wel gedaan maar de melding werd niet gekoppeld toen de test-phish ontdekt werd . Ook zij kunnen hun straatje alleen schoonvegen door het vuil naar de nationale partij te vegen - of het blijft bij henzelf liggen .
En dan krijg je van die bijzonder vage uitspraken .
Mensen met wat ervaring in grotere enterprises (her)kennen het soort probleem - relatief zeldstandige landorganisaties, of business units met keuzes of projecten die soms botsen met zaken vanuit 'het hoofdkantoor' (of 'de CIO office') .
De "" suggereren dat je er een samenzwering in ziet .
Wil je die wat expliciter maken ?
De statements van de partij en FBI zijn dus dat dit inderdaad een test was besteld door democraten Michigan. (alleen dat hadden ze niet door bij de respons).
Het is zelfs een zinvolle voorbereiding om een phishing awareness te runnen voordat 'het grote werk' van een kwaadwillende er mogelijk aan komt - wat dat betreft verdient de test geen aanhalingstekens - het _is_ gewoon een test, horend bij een training waarvan de noodzaak welbekend is.
Of wou je suggereren dat de Democraten van plan zijn phishing in te zetten tegen tegenstanders, en zichzelf voorbereiden om niet in hun eigen aanval te trappen ?
Of wou je suggereren dat het _toch_ een externe aanval was maar dat het slachtoffer en FBI om de één of andere reden bereid was te liegen dat het dat niet was ?
Zucht- zoveel manieren om een wink-wink knipoog te duiden. Say what you mean.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
