Så let er det at finde frem til din firma-email adresse ?

Forleden skrev jeg et indlæg om QR-kode hacking, hvor hackerne fx. får dig til at oprette en konto på en falsk hjemmeside, hvor du indtaster dit fulde navn, din private mailadresse og naturligvis et password.

Disse oplysninger kan hackerne bruge til bl.a. at få adgang ind i din virksomhed, påstod jeg. Et par læsere har været skeptiske og spurgt hvordan hackerne kunne gøre dette.

Det er faktisk ikke svært.

Lad mig gøre det let for hackerne i dette eksempel og bruge mit eget navn. Det er ret specielt og derfor let at finde på LinkedIn.
Nu ved hackerne hvor jeg arbejder. Lad os sige her at jeg arbejder for firmaet ACME A/S.

En Google søgning på mit navn og virksomhedens navn viser måske min email adresse.

Men hvis nu min arbejds-emailadresse ikke kan findes ude på internettet, så ville hackeren finde andre folk, som arbejder i samme firma og ville så se om en søgning på disse, gav nogle email adresser.

Det hackeren vil finde ud af er, hvilken syntaks benytter firmaet til at sammensætte min emailadresse ?

Blot for at være sikker, så googler hackeren lige firmaets hjemmeside, som i dette eksempel viser sig at være er ACME.it. Nu skal hackeren blot finde ud af det, der skal stå foran @’et.

Hackeren ved allerede, at det er ganske normalt for et firma at benytte de klassiske syntakser, der: 1) består at mit fornavn og efternavn inden @’et. (Der er nok et punktum imellem fornavn og efternavn.) eller 2) består at de 2 første bogstaver i mit fornavn og 2 første i mit efternavn, altså: sama@acme.it

Skønt min IT-afdeling har sagt, at jeg ikke må bruge samme password flere steder, så er jeg doven. Der er så mange password, som jeg skal huske, så jeg bruger sammen password til min firma konto, som jeg oplyste på den falske hjemmeside.

Er det professionelle hackere, så har de små programmer, som tager de 5000 mest benyttede passwords, og prøver lige med dem, hvis ikke passwordet, angivet på den falske hjemmeside, virker!

Og nu de er i gang, så checker hackerne lige om min mailadresse og det oplyste password giver adgang til min Facebook konto, min Gmail og/eller Hotmail-konto, Instagram, TikTok, osv.

Mange virksomheder har endnu ikke implementeret 2-faktor godkendelse!

Hvis din organisation ikke har indført 2-/multi faktor godkendelse, fx. en kode sendt via en sms, som du skal indtaste, jamen så er hackerne let inde i din mailboks og får måske også adgang til fællesdrev eller følsomme oplysninger.

Det offentlige, banker, pensionskasser har allerede implementeret denne ekstra faktor i form af NemId. Dette forhindrer hackerne at få adgang til disse steder.

Jeg forundres stadigvæk, når jeg hører om virksomheder, der endnu ikke har fået implementeret denne ekstra godkendelsesfaktor. Læs mere her i dette blog indlæg.