架空の新人「女性」職員を使った侵入テスト、成功率100％

10月末にアムステルダムで行われた「RSA Conference Europe 2013」で、セキュリティの研究家Aamir Lakhani氏らが、
ある米国の政府機関に対して正規の依頼に基づいて2012年末に行なった侵入テストの結果を報告しました。

これは架空の女性新人職員を装い、FacebookやLinkedInを介して対象機関の職員らに接触、当該機関内のネットワークに侵入できるかなどを試したものです。

ソーシャルメディア上に作り上げた架空の女性を使った実験と言えば、3年以上前に報道された「ロビン・セージ実験（Robin Sage Experiment）」を記憶されている方もいると思います。
Lakhani氏もこの実験がヒントになって、今回のテストを実施したのだそうです。

テストで用いられた架空の女性の名前は「Emily Williams」。当該機関の近くにあり、職員の多くが利用しているレストラン「フーターズ」のウエイトレスの写真を、
本人の同意を得た上で「Emily Williams」の写真として使っていたそうですが、誰も気付かなかったそうです。

今回のテストでは、単にFacebookやLinkedInに架空のアカウントを用意しただけでなく、インターネット上で検索しても矛盾がないように、周到に「彼女」のプロフィールを用意しています。
例えばMITの卒業生であるなど、当該機関の職員として相応しい経歴を設定し、他のウェブサイトやMIT関連の掲示板などにも情報を掲載しました。
その一方で「大卒の28歳で10年の経験がある」という不自然さを残していたにもかかわらず、その点から今回の「嘘」がバレることはなかったようです。

こうして周到に準備して作り上げた「彼女」をソーシャルメディア上に「誕生」させてから、わずか15時間で、対象機関の職員および下請け業者60名のFacebookアカウント、
55名のLinkedInアカウントとつながりを持つことができ、また最初の24時間で仕事をオファーしてきた企業が3つもあったのだそうです。

今回のテストは90日間に渡って行われましたが、Lakhani氏らの目的は、最初の1週間で達成できてしまい、残りの期間は「いつまで続けられるか」だけだったようです。

http://internet.watch.impress.co.jp/docs/column/security/20131206_626563.html?ref=rss
つづく

つながりが出来た
仕事を依頼しました


で何の問題があるの？

>>1 つづき

こうして「彼女」は、技術的な手法は全く使わずに、対象機関のVPNアカウントを手に入れるなどして内部ネットワークに入れるアクセス権限を得ただけでなく、
ノートパソコンまで手に入れることができたのです。しかし、Lakhani氏らは別の方法で侵入を試みました。

今回のテスト期間中には感謝祭、クリスマス、大晦日といった大きなイベントがあったため、それに便乗して「彼女」から送られたソーシャルメディア上のメッセージを介したマルウェア感染により、
ソーシャルメディアで繋がっている職員らの業務用PCに侵入しました。罠にかかった中には下請け業者もあり、しかもアンチウイルスベンダーの社員もいたそうです。

さらにLakhani氏らは、Facebook上での他の職員らのやり取りで情報セキュリティ担当者の誕生日を知ることができました。
しかし、その担当者はソーシャルメディアにアカウントを全く持っていなかったため、誕生日を知っていた職員らを装って、
その担当者にバースデーメッセージを送りつけることでマルウェアに感染させ、機密情報へのアクセス権限を手に入れることができたのです。

Lakhani氏らは今回と同様のテストを銀行やクレジットカード会社などの大手金融機関や医療機関などにも実施したそうですが、結果は完全に同じで、
侵入テストにソーシャルメディアを組み合わせれば成功率は100％だとしています。しかも、高度な技術は全く必要としていません。

今回のようなケースでは、初めの段階で人事部に確認すれば、すぐに偽者だと分かるにもかかわらず、誰もそれをしなかったという問題点をLakhani氏らは指摘しています。
人は基本的に他人を信じて助けてしまう生き物であること、また「彼女」が最初の段階で接触したのは、対象機関の関係者の中でも機密情報を扱うような部署ではなく、
その周辺の部署の人々であり、そのような人々が自分が狙われる可能性を全く意識していないことが問題だとしています。

つづく

日本だとmixiで仕事依頼するみたいなもんか！
やるなアメリカ

おーこえー

>>2
問題ありまくりんぐ

>>6
すまん。
そのあとネットワークのアカウント教えたりとかアフォな事やってるのね

こえーこえー

>>3　つづき

こうした周辺の人々を信じさせることを皮切りに、ソーシャルネットワークを徐々に大きくしていくことで、経営層はもとより、セキュリティ意識が高い職員ですら騙すことができてしまうのです。
実際、今回のテストの対象機関ではすでにセキュリティに関する訓練を実施しており、職員の意識は低くなかった（と断言できるかは微妙ですが）にもかかわらず、それでもこのような「残念な結果」になったのです。

Lakhani氏らは、今回のテスト結果を踏まえ、いくつかのアドバイスもしています。

職員を名乗る不審人物を見つけたらすぐに人事部に連絡する
業務に関するものはソーシャルメディア上に載せない
職場で使用するPCをソーシャルメディアなどの個人的な目的で使用しない
パスワードを使い回ししない
ネットワークの1つが侵入されても他のネットワークが守られるようにネットワークを分離する

いずれも当たり前のことですが、こういった当たり前のことがいかに実践できていないかを示す結果だったとも言えるでしょう。

ちなみに、Lakhani氏らは、架空の「男性」新人職員を使って同様のテストを行なったそうですが、ソーシャルメディアで繋がった職員は誰もおらず、何の成果も得られなかったそうです。

おわり

どれだけ技術が発展しようと使うのは所詮人間ってことだね

よく履歴書は古いとか
海外はネットで済ませるとか
そういうのを声高に日本批判に使うけど
ネットオンリーってのは相当セキュリティ脆弱だよな

＞ちなみに、Lakhani氏らは、架空の「男性」新人職員を使って同様のテストを行なったそうですが、ソーシャルメディアで繋がった職員は誰もおらず、何の成果も得られなかったそうです。

>>1
＞レストラン「フーターズ」のウエイトレスの写真を、

きたないぞ！

熊殺しがなんだって？

騙されているうちが華

>>8
男は美女に弱い
これは不変の真理

フーターズ最強やな
日本では流行らんかったが

>>8
＞ちなみに、Lakhani氏らは、架空の「男性」新人職員を使って同様のテストを行なったそうですが、ソーシャルメディアで繋がった職員は誰もおらず、何の成果も得られなかったそうです。

やっぱ精子脳か

で、その情報をFacebookが抜くの？

女は顔がすべて

美人に騙されるのもいいじゃない

>>1
やっぱりスパイは女に限るね。ボンドも言ってた。

>>17
やっぱり男はチンポで物を考えるのか

・・・モノで物を考えるのか

>>17
女性職員もかからなかったのか

>>17
オチにワラタw

来たよーーーーーーヽ(´ー｀)ノ

アスカ！ホモ祭り
http://askanagino.blog. fc2.com/
(不要なスペースは、削除してね♪)

危険過ぎるミッション！
読まないと人生の楽しみの115％を損するよヽ(´ー｀)ノ

他の人にも、教えてあげてね！♪

>>17
何この男性差別

> その一方で「大卒の28歳で10年の経験がある」という不自然さを残していたにもかかわらず、その点から今回の「嘘」がバレることはなかったようです。

お前ら飛び級とか盛んにやってんじゃん

>>8
＞ちなみに、Lakhani氏らは、架空の「男性」新人職員を使って同様のテストを行なったそうですが、ソーシャルメディアで繋がった職員は誰もおらず、何の成果も得られなかったそうです。

糞ワロタ
でも既にスパイはこういうことやってんだろうな

仕事もらえるのか・・・

しょせんノンケちんぽは「まんこには勝てなかったよ・・・」ってことかｗ
そら優秀なゲイが企業でも持て囃されるはずだわｗ

新手のハニートラップか
わりに合わないな

しょせん男は猿ってことだね
理性がきかなくてすぐにレイプするのが韓国人

>>17
やっぱりピンク色した脳みそって万国共有だね

官僚は宦官にしといたほうがいいな

しょうがないにゃあ…


からまるで進歩していないな。お前ら何回ネカマに騙されんのよwwww

評価基準について絶対的な答えが出ないのと同じく
システムに1人でも人間が関わると絶対的な防衛方法はないと思う。
ウンコしたくなるだけで性状な判断出来なくなるし（´・ω・｀）

>>35
えっそれってネカマだったのか！？

> ちなみに、Lakhani氏らは、架空の「男性」新人職員を使って同様のテストを行なったそうですが、ソーシャルメディアで繋がった職員は誰もおらず、何の成果も得られなかったそうです。

草不可避

>>8
2chで女叩きをしてる連中が女の人生はイージーモードって言ってるけど本当だったのか。

架空の人物ブームくるな

>>17
これだからネカマはやめられん

何年か前に出会い系でネカマやったけど、100万だすってやつが何人も釣れたからな。

>>8
やっぱ美女は才能なんだな

男だと失敗したのかｗｗ

対照実験の男の方に誰も引っかからないということは
女のキャリアなんかはどうでも良くてただ「女」って部分にしか価値が無い証明でもあるな
これ女にとってはディスアドバンテージでもあるから
頭のいい女にとっては悩みどころだけどアホな女はちんこ脳を笑うだけなんだろうな

>>45
そりゃあ女に生まれたら努力はやめて男に寄生するよな…

ここまでソーシャルハックな方法じゃないけど、偽の新入社員仕立てあげて
自社の内情を従業員から取得する、というのを人事部時代にやったけど釣れまくりだったわ
業務でネカマスキルが生きるとは思いませんでした

男には女に騙されてもいいと決断する時がある

男のロマンだねぇ

>>37
何を今更

>>8
やっぱ男は損だな
けっきょく女は、風俗で稼ぐとかもそうだがいろいろ抜け道が用意されてる立場ってことだ

>>49
ただの下心なんだけどな

>>8
ネカマ最強伝説

なるほど、ネカマが良く成功するわけだ

ネカマ最強か
昔、モバゲーで遊んでた時にシャレでロン毛のアバターにしてたら
それだけでおっさん共からいっぱい友達申請とか来てビビったわ
その後モヒカンにしたらササーっと引いていったw

直結厨かよ

これ女の容貌や若さでさらに細かく実験したら世界の鬼女がぶちギレそうだな

>>8
かわいいは正義

外国だとSNSで人雇ったりするのか
どんだけザルセキュリティなんだよ

これに引っかかった奴ってクビになるんだろうか

>>16
いや、もっと上がいる

チルティッドキルトが攻守最強

>>当該機関の近くにあり、職員の多くが利用しているレストラン「フーターズ」のウエイトレスの写真を、
>>本人の同意を得た上で「Emily Williams」の写真として使っていたそうですが、誰も気付かなかったそうです。

色々残念だな

いわゆるハニトラ最強伝説
支那が美人輸出して相当食い込んでるんだっけな
こわやこわや

女の人生はイージーモードが実証された

ソーシャルエンジニアリングってやつ

組織はゲイだけで構成すればいいんだな

>>65
昔はそういう部隊があったらしいな

こんな感じの実験で会社の駐車場にマルウェア入りUSBメモリをバラまいたら
7割くらいが拾って社内PCに接続したってのをどこかでみた

チンコチョロすぎwww
女の子つれーわーあーマジつれーわーwww

また男の無能さが証明されてしまったな

　　　　　　　　　　　　　 　 　 　 　 　 　 ________＿
　　　　　　　　　　　　　　　　　 _..-‐''"´　　　　　 ￣ﾞﾞ'''ー ..,,、
　　　　　　　　　　　　　　　,／´_,,　ｰ'''''ﾞﾞﾞ￣￣ﾞﾞﾞﾞﾞ'''''―　,,,、 .｀ﾞ'ｰ ..、
　　　　　　　 　 　 　 　 ／. ‐'´ .＿_,,,,,,,,,,,,,,,,,＿__　　　　　　｀ﾞ''ｰ ..,、.｀''-､、
　　　　　　　　　　 ,..-'"　　　 ｀~ｰ､　　　　　　　 ￣´ﾞﾞ'''''―- ..,,_　　｀''- ,,, ｀'‐､_..―- ､
　 　 　 　 　 　 ／　　　　　　　　　 ﾞ'-、　　　　　　 　 　 　 　 　 ｀ﾞ'''ｰ　,,, ﾞ''‐ r‐'''ｰ 、. ｌ
　　　　　　　／,,,、 　 　 　 　 　 , --、｀'､　　　　　　　　　　 　 　 　 　 　 ｀'ト .　　　　ｌ .|
　　　　　　./ .lﾞ::::.,!　　　　　　　 |、::_ﾉ .,...ヽ　　　　　　　　　　 　 　 　 　 　 ｌ;　　　　　,!′
　　　　　 /ﾞ/ . l´　　　 　 　 　 　 ´｝　'|;::::| ｌ　　　　　　　　　　　　　　　　　 ﾞ'-,,____,,./
　　　　　.|'''ヽ,r'',.ヽ　　　　　　　 ,r'',.ヽ,ﾉ'"゛　!
　　　　　:!　 !:li,_,li.!　　　　　　　lﾞ,il,_,,i;:|　　 　|
　　　　　 !　.!:llllllllﾉ　　　　　　　|llllllll!.ﾉ　 　 /
　　　　　 .ヽ ヽ｀-′　､_＿_,　　 .ﾞ'--'' 　 　,i′
　　　　　　 .｀ｰ..,,_　　　　　　　　　 　 _,..-"
　　　　　　　　　　 ´ﾞ/ﾞ/ﾞﾞ'i 　ﾞﾞ!￣￣´
　　　　　　　 　_.. ‐´/ l;;;;;/ .､　　｀''ｰ..,,_
.,i'"ﾞﾞﾞﾞﾞﾞﾞﾞﾞﾞﾞﾞﾞﾞﾞ´　　 . !　 ○　 .ヽ、　　　 . ｀ﾞ"'''―- ..,,
..ｌ,　 　 　 　 　 　 ,r|l　 　　 　 . ＼ 　　　　　　　　　 ﾞl
　`-,,,　　　　 _／│.゛　 ,,　　 　 　 ｀'''y..,,、　　　 ._..‐゛
　　　 ｀ﾞﾞ''''"´　　 .ﾞ'ｰ''''''"￣￣'''ｰ---′　 ￣⌒