Wij hebben toch multifactor en logging?

Ja. Daar heb ik gebruik van gemaakt.

Ik heb geen wachtwoord gestolen en geen nepportaal gebouwd. Ik heb haar niet eens een mail gestuurd. Ik heb haar LinkedIn bekeken met één van mijn burner accounts. Ze had een bericht gepost over een sales-webinar die ze mee organiseerde: precies het soort openheid waar we onze mensen juist in aanmoedigen. Ze wilde deelnemers. Dus werd ik er een.

Daarna draaide alles om. Niet ík wilde iets van haar: zíj wilde iets van mij. Een aanmelding, een geïnteresseerde, een lead. In dat contact was het de gewoonste zaak van de wereld om haar een kleine stap te laten zetten: hier is een code, voer 'm even in om mijn agenda te delen. Ze deed het zonder aarzelen. Op Microsoft’s eigen inlogpagina. Ze bevestigde keurig op haar telefoon dat zij het was.

Dat was ze ook. Met andere bedoelingen dan ze verwachtte.

Elke stap liep over de infrastructuur van Microsoft. Geen valse pagina, geen bijlage die je EDR had kunnen tegenhouden, geen domeinnaam die net iets anders spelt. En precies daarom bleef het overal stil. Je meldingen zijn gebouwd om een mislukte login te zien, een vreemde locatie of een verdacht bestand. Maar er ging niets mis. De aanmelding slaagde. De multifactor klopte. Microsoft zag exact wat het hoort te zien: je medewerker die inlogt. Daarnaast, de conditional access policy was zo zwak; meerdere aanvalsvectoren waren mogelijk naast het stelen van tokens. Het had geen verschil gemaakt.

Vertrouwen, geen wachtwoord

Vertrouwen is wat ik kwam halen, niet het wachtwoord. Wachtwoorden zijn vergankelijk; die reset je. Wat ik meeneem, is het bewijs dát er is ingelogd, en dat opent deuren nog lang nadat je dacht dat het probleem was opgelost. Dat is meestal het tweede moment van stilte in de zaal.

Wat me aan dit voorbeeld het meest stoort: ik hoefde de financieel manager nergens toe te verleiden. Ik maakte mezelf tot iets wat ze al wilde. De moderne hacker breekt niets. Hij wórdt jou, jouw gebruiker, jouw contact, jouw goedgekeurde koppeling en vanaf dat moment werkt elk signaal dat je vertrouwt in zijn voordeel.

Dat leer je niet uit een product en niet uit een vinkje in beleid. Een verdediger die het pad nooit zelf heeft bewandeld, gokt naar waar de deuren zitten. Meestal gokt hij verkeerd. Altijd te laat. Mijn advies is daarom onbescheiden en simpel: word zelf een beetje hacker. Bouw een omgeving die je mag slopen, en sloop hem, net zo lang tot je de route blindelings kent.

Het grootste deel van een aanval is niet de uitvoering; dat is een kwestie van minuten. Het grootste deel is de voorbereiding. Wie leert hoe die eruitziet, ziet de uitvoering aankomen. Wie dat nooit leerde, ziet alleen het gevolg.

Kevin Zwaan is een ethische hacker en Red Teamer.

Blader hier door ons Dutch IT Leaders-magazine.