image

Smartphone zakenreiziger al gehackt op landingsbaan

maandag 9 april 2012, 10:43 door Redactie, 8 reacties

Zakenreizigers en topmanagers die naar het buitenland reizen lopen het risico dat hun smartphone al is gehackt terwijl ze nog in het vliegtuig zitten. Daarvoor waarschuwt beveiligingsonderzoeker Justin Morehouse. Aanvallers gebruiken onder andere sms-berichten om de telefoons van hun slachtoffers te hacken. De berichten bevatten links naar webpagina's met een exploit, waardoor de aanvaller toegang tot de mobiele telefoon krijgt.

Volgens Morehouse immiteren de sms-berichten van de aanvallers de standaard welkomstberichten van lokale telecomaanbieders. Dit zijn de berichten die reizigers over de lokale mobiele kosten informeren. Dit soort sms-berichten zouden zeer effectief zijn, aangezien gebruikers verwachten dat ze die krijgen zodra ze hun telefoon weer inschakelen.

Met name China en Rusland zijn risicovolle landen, maar door het groeiend aantal spionageproducten moeten reizigers in elk land oppassen. Zo heeft een Israëlisch bedrijf een tool ontwikkeld die de locatie van een mobiele telefoon tot op een afstand van 30 meter kan detecteren.

Prepaid simkaart
Morehouse adviseert zakenreizigers die denken dat ze een doelwit zijn om hun telefoon thuis te laten. Verder is het verstandig om een geheel nieuwe telefoon mee te nemen en ter plekke een prepaid simkaart te kopen. In het geval internettoegang is vereist adviseert de onderzoeker geen publieke WiFi-verbindingen te gebruiken. Verder zou er alleen via een VPN moeten worden gewerkt.

Ook moeten reizigers niet hun fysieke beveiliging vergeten. Bij veel topmanagers zou er in de hotelkamer zijn ingebroken, mogelijk door ingehuurde criminelen die vertrouwelijke gegevens, laptops of mobiele apparaten zoeken. Als laatste tip adviseert Morehouse het gebruik van codetaal. Wie vraagt hoe het met de kinderen gaat in plaats van de nieuwe chips zou aanvallers op het verkeerde spoor kunnen zetten.

Reacties (8)
09-04-2012, 18:28 door Anoniem
Codetaal: hoe smaken de paprika chips? Nou,heerlijk.Of: te pikant.
09-04-2012, 20:21 door Anoniem
Ik vraag me af hoe dat dan gaat met die URLs in die SMS-berichten. Moet je daar als telefoon-eigenaar nog actief iets mee doen, of is het een soort van drive-by-achtige infectie?
Het lijkt me toch dat niet zoveel mensen actief direct iets met zo'n URL zouden doen, waardoor ze dan pas geinfecteerd zouden worden. Ikzelf heb nog nooit méér gedaan dan lezen, met dit soort sms-jes.
Iemand een idee?
10-04-2012, 08:44 door Anoniem
Tja - en dat is de reden dat gebruikers vaak onveilige dingen doen: de security community adviseert oplossingen die zo onbruikbaar zijn dat je er eigenlijk niets mee kan. Hoe kan je als zakenreiziger nou een tweede telefoon kopen alleen voor het buitenland, na het landen dan eerst op zoek moeten naar pre-paid simkaarten en dan pas bereikbaar kunnen zijn (en dan bereikbaar op een voor de rest van de wereld volslagen onbekend nummer - iets dat overigens weer phishing in de hand werkt, want de CEO kan immers van elk willekeurig nummer uit het buitenland bellen voor een password reset...)

Als we willen dat de mensen veiliger omgaan met hun spullen, dan moeten we de spullen ook aanpakken, en niet de mensen een advies geven dat 80 % van de functionaliteit van hun apparaten ongebruikt laat...
10-04-2012, 10:14 door Anoniem
Raar dat er nergens wordt gesproken over op welk besturingssysteem dit gebeurd..

"Verder zou er alleen via een VPN moeten worden gewerkt. "

Blackberry blijft de beste voor zakelijk gebruik.
10-04-2012, 10:40 door Anoniem
Door Anoniem: "Verder zou er alleen via een VPN moeten worden gewerkt. "
Blackberry blijft de beste voor zakelijk gebruik.
Indien U die quote gebruikt om onderstaande te verkondigen voel ik mij genoodzaakt te melden dat ios en android telefoons ook prima vpn's kunnen opzetten; net als trouwens symbian systemen.
10-04-2012, 12:26 door Anoniem
Door Anoniem: Tja - en dat is de reden dat gebruikers vaak onveilige dingen doen: de security community adviseert oplossingen die zo onbruikbaar zijn dat je er eigenlijk niets mee kan. Hoe kan je als zakenreiziger nou een tweede telefoon kopen alleen voor het buitenland, na het landen dan eerst op zoek moeten naar pre-paid simkaarten en dan pas bereikbaar kunnen zijn (en dan bereikbaar op een voor de rest van de wereld volslagen onbekend nummer - iets dat overigens weer phishing in de hand werkt, want de CEO kan immers van elk willekeurig nummer uit het buitenland bellen voor een password reset...)

Als we willen dat de mensen veiliger omgaan met hun spullen, dan moeten we de spullen ook aanpakken, en niet de mensen een advies geven dat 80 % van de functionaliteit van hun apparaten ongebruikt laat...

Dat is een beetje de makke van de huidige security community. Er worden allerlei zaken bedacht en (uit)gevonden maar implementeren ho maar. Dat moeten anderen maar doen. Qua gebruikers vriendelijkheid is er ook behoefte aan betere adviezen. Beveiliging mag het goede gebruik nooit in de weg staan, maar de meeste ICT'ers (veelal als beveiligers ingezet) snappen daar geen snars van. Deze denken alleen maar na over oplossingen terwijl ze de eisen niet eens kennen.
Erg goed zo'n veilige smartphone maar voor de gebruiker totaal onbruikbaar, dus wie schiet nu wiens doel voorbij?
11-04-2012, 19:19 door Anoniem
Door Anoniem:

Dat is een beetje de makke van de huidige security community. Er worden allerlei zaken bedacht en (uit)gevonden maar implementeren ho maar. Dat moeten anderen maar doen.

Beetje dom om dat bij de security community in de schoenen te schuiven. Gebruikers willen kost wat kost feature X of speeltje Y wat hun collega's bij bedrijf Z ook hebben en ICT'ers die waarschuwen over de veiligheid van het nieuwe speeltje worden genegeerd danwel direct verteld hun mond te houden en gewoon te doen wat de baas zo graag wil.

Dan zegt de beveiliger dat het het onveilig is en adviseert de feature uit te schakelen, of 't speeltje te beperken als deze veilig willen zijn, en jahoor het is opeens hun fout dat ze niet flexibel zijn.

De security community interesseert het geen reet dat gebruikers beperkt worden door hun adviezen, ze zijn er om het bedrijfskapitaal te beveiligen, niet om gebruikers blij te maken. Het is niet hun fout dat beveiliging een sluitpost is bij 99% van de ontwikkelaars, die verkopen nu eenmaal rommel. Zo is het al decennia, en zo gaat het voorlopig ook gewoon door.
12-04-2012, 08:51 door Anoniem
Dat beveiliging nooit het goede gebruik in de weg mag staan klopt niet. Afhankelijk van de gevoeligheid van gegevens kunnen er wel degelijk goede redenen zijn om bepaalde vormen van gebruik niet toe te staan.

Zo is het bij bepaalde instellingen zo dat specifieke data (R&D) alleen vanaf bepaalde systemen benaderd mag worden. Het gebruiken van een thuiswerkplek of een werkplek op een andere locatie om de data te benaderen is niet toegestaan vanuit security overwegingen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.