Gehackt door inlog op openbaar WiFi-netwerk

maandag 27 mei 2019

Inloggen op een openbaar WiFi netwerk is niet veilig. We schreven hier eerder al eens een artikel over op onze site. Recent is een klant met de neus op de feiten gedrukt. Waar hij dacht gebruik te maken van een veilig WiFi-netwerk, maakte hij zonder het te weten gebruik van een WiFi-netwerk van een hacker.

Het begint bij een verblijf in een hotel in het buitenland. Aldaar logt een medewerker in de lobby in op zijn laptop om te werken en zijn mail te chekken. Hiervoor maakt de medewerker verbinding met een WiFi-netwerk met de naam van het hotel (ten minste, dat dacht hij). Dit netwerk kiest hij uit zijn lijst met voorgestelde WiFi/netwerken.

Eerder had de medewerker al met wachtwoord ingelogd op het echte WiFi-netwerk van het hotel. Dat hier deze keer geen wachtwoord voor werd gevraagd leek de medewerker logisch, en het feit dat de netwerknaam één letter miste in de hotelnaam, werd over het hoofd gezien.

Ikzegmaarwat Ikzeimaarwat

Het vermoeden is dat een fraudeur binnen de directe omgeving van het hotel, dat kan zijn in een auto voor de deur, of met een laptop in dezelfde lobby, een WiFi-netwerk heeft aangemaakt, met de naam van het hotel, maar daarin dus 1 letter verandert. Denk bijvoorbeeld aan WiFi-netwerk Hotel Ikzeimaarwat, terwijl het hotel eigenlijk Hotel Ikzegmaarwat heet. Als je snel kijkt zie je het verschil niet, precies waar de hacker op gokt/hoopt.

Terwijl de medewerker denkt te zijn ingelogd op een beveiligd hotel netwerk, zit hij in werkelijkheid op het netwerk van de fraudeur. De medewerker logt in op zijn online mail, met wachtwoord en gebruikersnaam. De hacker kijkt op zijn gemak mee, en heeft op dat moment dus de inloggegevens van de medewerker, terwijl de medewerker geen idee heeft dat hij is gehackt.

Misbruik

Vervolgens hebben de hackers meegekeken met de communicatie in zijn mail en misbruik gemaakt van de opgedane kennis. Het bleek zelfs zo ver georganiseerd dat offertegesprekken uit zijn mail zijn overgenomen door de hackers. Dit bleek bij elkaar 2 weken zo door te gaan. Door automatische regels in outlook werd gezorgd dat mails van klanten werden verwijderd uit de inbox van de medewerker en werden doorgestuurd naar de hacker/criminele organisatie. Zo kon de communicatie worden overgenomen, en werd vervolgens zelfs “de deal” rond gemaakt.

Betaling

Daarna zijn keurig nette facturen verstuurd, opgemaakt in huisstijl van het bedrijf, met in de mailconversatie het vriendelijke verzoek of deze keer vooraf betaald kon worden. In 2 trajecten heeft betaling plaats gevonden. Uiteraard naar een rekeningnummer van de hackers, en nog steeds zonder dat iemand op dat moment in de gaten heeft dat het niet klopt.

Pas door een toevalligheid werd ontdekt dat iets niet klopte, waarna na direct contact tussen klant en medewerker bleek dat ‘de deal’ dus al rond was volgens de klant, maar de medewerker eigenlijk nog belde met de vraag of ze de offerte inmiddels al hadden besproken. Alle alarmbellen gingen af!

Georganiseerd netwerk

Samen met de klant is VTM hier ingedoken. We kwamen achter de professioneel opgezette hack, waar een zeer georganiseerd netwerk achter zit. De route die wij hebben kunnen herleiden ging van Hongarije tot Nigeria, van Roemenië tot Noorwegen. Een geavanceerd netwerk, verspreid over verschillende landen, waardoor daadwerkelijke opsporing moeilijk tot onmogelijk is.

Schade

Naast directe financiële gevolgen heeft de criminele organisatie geruime tijd toegang gehad tot bedrijfsgegevens, communicatie stromen en vertrouwelijke informatie. De directe schade is aantoonbaar, maar de indirecte schade is mogelijk nog veel groter.

Natuurlijk kun je dit lezen en denken dat zou mij niet gebeuren. Of denken dat jouw organisatie niet interessant genoeg is om te hacken. Maar dit voorbeeld en vooral ook de professionaliteit van de organisatie erachter, maken voor ons 1 ding meer dan duidelijk, dat het echt iedereen kan overkomen. Door deze case te delen willen we iedereen bewust maken. En niet dat het alleen in het buitenland gebeurt, wees ook in Nederland altijd op je hoede!

Een 2^de casevoorbeeld betreft ook een gehackt e-mail account. In dit geval geen frauduleus WiFi netwerk, maar een te makkelijk wachtwoord van de medewerker. Lees hier het voorbeeld verder

Two Factor Authentication

Hoe dit voorkomen had kunnen worden is bijvoorbeeld Two Factor Authentication of conditional access op de mail van de medewerker. Door een 2^de inlogstap zou de fraudeur in deze case nog steeds de inloggegevens van de mail hebben, maar omdat two factor authentication staat geactiveerd kan hij er alsnog niet in. De hacker kan de 2^de inlogstap niet afronden zonder smartphone van de medewerker. Lees hier meer over Two Factor Authentication

Transport Layer Security (TLS)

Naast Two Factor Authentication is het belangrijk bij het browsen altijd te letten op de beveiliging van de website. TLS is hier een belangrijk element in. TLS staat voor Transport Layer Security. TLS zorgt ervoor dat data die verstuurd wordt tussen gebruiker en website, of tussen systemen, wordt versleuteld en onleesbaar wordt gemaakt. Dit kun je eenvoudig controleren middels het "slotje" voor de URL in je browser. Lees hier meer over Transport Layer Security