Fysisk hackerangreb: Smil åbner døre som adgangskort

Det er både ubehageligt og instruktivt at høre fra nogen, der har brugt to årtier på at narre virksomheders sikkerhedssystemer. Brian Harris er penetrationstest-specialist – eller simpelt sagt en autoriseret hacker, der hjælper organisationer med at afdække sårbarhed. Ifølge Ingeniøren er hans vigtigste erkendelse både banal og skræmmende: mennesker er sikkerhedens svageste punkt.

Harris fortæller, at han ofte kommer til at passere fysiske sikkerhedsbarrierer alene ved at være høflig og sympatisk. Tit nodder sikkerhedsvagter ham blot igennem. Et smil og en overbevisende historie slår adgangskort og fingeraftrykslæsere hver gang. Det eksemplificerer et grundlæggende problem i moderne sikkerhed – teknologien er ofte bedre end de mennesker, der skal implementere og vedligeholde den.

Mennesker er sikkerhedens akilleshæl

Penetrationstests som Harris' arbejde består ikke af at hacke servere eller knække koder. I stedet handler det om at udnytte sociale mønstre, autoritet og blind tillid. En person i en kittel ser ud til at arbejde på stedet. En sms med korrekt dattidspunkt virker pålidelig. En personlig henvendelse til en medarbejder kan få ham til at dele adgangsoplysninger, som han aldrig ville give til en ukendt e-mailadresse.

Det afslører en alvorlig ubalance: virksomheder investerer millioner i elektronisk sikkerhed, mens de oftest negligerer det sociale aspekt. En kode eller en port kan opdateres på sekunder. En menneskets dømmekraft kræver konstant træning, opmærksomhed og vedligeholdelse – og det er noget, de færreste organisationer gør konsekvent.

Hvor er løsningen?

Harris' to årtier i branchen peger på en uomgængelig sandhed: ingen sikkerhedssystem er stærkere end den person, der skal administrere det. Organisationer må derfor ikke alene investere i stærkere låse og mere avanceret overvågning – de må træne deres medarbejdere til at være kritiske og skeptiske over for ukendte personer og anmodninger.

Samtidig understreger hans erfaringer, at penetrationstests ikke bør være et engangstilfælde, men en løbende proces, hvor både mennesker og systemer bliver udfordret og forbedret.