¡Mi banco por una barra de búsqueda! Así es, si echamos un vistazo a las fases de una Advanced Persistent Threat la primera de todas es la recopilación de información publica de la entidad a la que se va ha atacar para una posterior campaña de phishing contra la empresa.
Esta recopilación de información se hace mediante técnicas OSINT (Open Source Intelligence) aunque el mal uso de algunas "redes sociales" por parte de algunos de los trabajadores, ayuda mucho.
Hace bastante os hablé de que buscando por Google Groups se podrían [encontrar información confidencial de varios bancos] y os puse un ejemplo con el de BBVA. Pero, si no solo buscamos el nombre del, como en este caso, del banco en cuestión y pensamos en como serian su cuentas de correo podremos hacer búsquedas mas divertidas y encontrar información tan suculenta como las firmas de sus correos. Así es, algunos de los trabajadores nos facilitan el Phising perfecto.
Ademas, al estar esta información pública debido a la mala configuración de los grupos de Google Groups es fácil poder hacerse con ella:
Creo que hay empresas que tendrías que contratar a gente que supiera hacer frente a la fuga de este tipo de información o limitar el uso a los trabajadores desde la misma institución.
Sed Buenos con esto 0;)
Sed Buenos con esto 0;)
No hay comentarios:
Publicar un comentario