Így dolgozik egy etikus hacker: penetrációs tesztek, Észak-Korea és választások a Facebookon
A hacker szó sokakban ma is a kapucnis tinédzsert idézi fel, aki egy pincében jelszavakat tör. A valóság ennél jóval érdekesebb – és sokkal szakszerűbb. Ez a cikk egy podcastbeszélgetésből indul ki, amelynek vendége Andrej Šebeň etikus hacker volt, és a következőket járja körül:
- hogyan néz ki egy etikus hacker munkája a gyakorlatban,
- milyen provokatív hasonlat írja le a legpontosabban az etikus hackelést,
- hogyan vizsgálják a bankok, a nagyvállalatok és a felhőkörnyezetek biztonságát,
- miért lop kriptovalutát Észak-Korea, és mi köze ehhez a Cambridge Analyticának,
- és mindenekelőtt: hogyan verik át észrevétlenül Önt is – akkor is, ha a szakmában dolgozik.
A felvétel szlovák nyelvű. Az alábbi cikk nem átirat: a beszélgetés minden lényeges pontját magyarul írtuk le, így a szöveg a videó lejátszása nélkül is teljes.
Mit csinál valójában egy etikus hacker?
Az etikus hacker nagyjából ugyanazt teszi, amit a „klasszikus” támadó: megpróbál eljutni oda, ahová egy átlagos felhasználónak semmi keresnivalója. Egyetlen döntő különbség van, és ez a különbség nem technikai: a megbízó írásos engedélyével dolgozik, előre rögzített szabályok szerint.
Egy tipikus munkanapon egy új webalkalmazás, egy bank belső hálózata vagy egy nagyvállalat felhőkörnyezete van soron. A cél az, hogy a sérülékenységek és a gyenge pontok előkerüljenek, mielőtt rájuk bukkan valaki, akinek kevésbé tiszták a szándékai.
Ha kíváncsi rá, hogyan néz ki egy ilyen projekt a gyakorlatban, nézze meg a Haxoris penetrációs tesztjeit.
A határ a teszt és a bűncselekmény között
A beszélgetés újra és újra visszatér ugyanahhoz a gondolathoz: az etikus hackert nem a technika különbözteti meg a támadótól, hanem az engedély. Az eszközök ugyanazok. A jogosultság nem.
Hozzájárulás nélkül a rendszerbe való behatolás, a védelmi mechanizmusok megkerülése vagy a jogosultságok megszerzése egyszerűen bűncselekmény. A megbízó írásos engedélyével viszont ugyanez a tevékenység szolgáltatássá válik: a cég ilyenkor lényegében ezt mondja:
„Inkább egy etikus hacker mutasson rá ma a biztonsági résre,
mint hogy három hónap múlva egy névtelen támadó használja ki váltságdíjért.”
A penetrációs teszt tehát kontrollált határátlépés – a végén jelentéssel és konkrét javaslatokkal arról, mit és hogyan kell kijavítani.
Hogyan vizsgálják a bankok, a cégek és a felhő biztonságát?
A penetrációs tesztek lényegében az informatikai rendszerek töréstesztjei. A gyakorlatban a projektek nagyjából fele webalkalmazás: netbank, ügyfélportál, SaaS-megoldás vagy belső rendszer.
A Haxoris végponttól végpontig tartó penetrációs tesztelésre szakosodott – webalkalmazásoktól és infrastruktúrától az IoT-eszközökig, valamint az AI- és LLM-integrációkig.
A penetrációs tesztek típusai
A black box teszt külső támadót szimulál:
- a tesztelő szinte semmit nem tud a rendszerről,
- nincsenek belépési adatai és belső dokumentációja,
- csak azt látja, ami az interneten nyilvánosan elérhető.
Valódi projektekben gyakran a grey box megközelítés a hasznosabb: a megbízó ad egy tesztkörnyezetet, különböző szerepkörű fiókokat és egy alapszintű rendszerleírást. Így nem csak a hitelesítés (bejelentkezés) vizsgálható, hanem mindenekelőtt a jogosultságkezelés:
- lát-e a felhasználó olyan adatot, amelyet nem szabadna látnia?
- végre tud-e hajtani egy átlagos fiók olyan műveletet, amely csak a rendszergazdáé?
- megkerülhető-e a jogosultság-ellenőrzés az API-n vagy közvetlen URL-hívással?
Mit vizsgálnak konkrétan?
Bankoknál, fintechcégeknél és nagyvállalatoknál jellemzően ezek a területek kerülnek terítékre:
- Webalkalmazások és API-k – a klasszikus hibák: SQL-injektálás, XSS, gyenge munkamenet-kezelés, hibás jogosultság-ellenőrzés és üzleti logikai hibák.
- Belső infrastruktúra – Windows-tartomány, VPN, szerverek, munkaállomások; a kérdés az, hogy egyetlen megszerzett gépről eljut-e a támadó a legértékesebb rendszerekig.
- Felhőkörnyezetek (AWS, Azure, GCP) – itt jön képbe a felhőkörnyezetek penetrációs tesztelése: az IAM-szerepkörök, a tűzfalszabályok, a kifelé nyitott szolgáltatások, a tárolók és a hálózati szegmentáció átnézése.
- Wi-Fi és hálózatok – gyenge jelszavak, rossz szegmentálás, elavult firmware, hamis hozzáférési pontok és a többi.
Amikor évről évre ugyanazok a hibák jönnek elő
Egy kellemetlenül őszinte megjegyzés a beszélgetésből: egyes cégek minden évben megrendelik a penetrációs tesztet – és minden évben ugyanazok a hibák jönnek elő.
Miért? Mert a piac egy részének a vizsgálat elsősorban „egy pipa az auditjelentésben”. Ha nincs valódi szándék a megállapítások kijavítására, a tesztből formaság lesz.
Észak-Korea, APT-csoportok és a kriptovaluták
A kibertérben már régóta nem csak magányos szereplők mozognak. Léteznek APT-csoportok (Advanced Persistent Threat) – hackercsapatok, amelyeket államok finanszíroznak vagy közvetlenül irányítanak.
A leggyakrabban emlegetett országok:
- Észak-Korea,
- Oroszország,
- Kína,
- időnként Irán és további szereplők.
Šebeň megfogalmazásában Észak-Korea „szegény ország nagyon gazdag hackerekkel”. A hozzá köthető csoportok kriptovaluta-lopásra szakosodtak: tőzsdékről, DeFi-projektekből vagy rosszul védett szolgáltatásokból szereznek pénzt.
A kriptovaluta ideális erre a célra: könnyen mozgatható, viszonylag anonim, és alkalmas a szankciók megkerülésére. Az elmúlt évek legnagyobb kriptorablásai közül többet észak-koreai csoportoknak tulajdonítanak.
Ha látni szeretné, hogyan néz ki egy összetett támadás szimulációja biztonságos keretek között, nézze meg a Haxoris Red Teaming szolgáltatását – ez lényegében egy teljes körű kibergyakorlat, amely megmutatja, meddig jutna el egy valódi APT-csoport.
Cambridge Analytica és a választások a Facebookon
A hackelés nem csak szerverekről és jelszavakról szól. Ennél is veszélyesebb az emberi psziché hackelése.
A Cambridge Analytica-botrány megmutatta, mire használhatók a Facebook adatai:
- a választók profilozására érzelmek, félelmek és frusztrációk alapján,
- olyan célzott kampányokra, amelyek „a megfelelő gombokat nyomják meg”,
- a közvélemény alakítására konkrét jelöltek vagy pártok javára.
A nyilvánosságra került beszámolók szerint hasonló modellek nem csak az Egyesült Államokban és az Egyesült Királyságban működtek, hanem több tucat további országban is – gyakran olyan „banánköztársaságokban”, ahol egy párt gyakorlatilag megvásárolta a választási győzelmet a Facebookon keresztül.
Technikailag egyetlen szervert sem törtek fel. Hírfolyamok milliárdjait hackelték meg – és emberek millióinak a fejét.
Hogyan verhetik át észrevétlenül Önt is?
Használhat Macet, Windowsot vagy Linuxot, lehet víruskeresője, tűzfala és VPN-je – és mégis bedőlhet. Elég hozzá egy rossz pillanat, egy rosszkor érkező telefonhívás vagy egyetlen, sietve megnyitott SMS.
Adathalászat a gyakorlatban
A beszélgetésben elhangzik egy történet, amely a szakmabelieknek is figyelmeztetés. Egy etikus hacker SMS-t kap arról, hogy lejár a doménje:
- a doménnév helyes,
- a lejárati dátum helyes,
- a regisztrátor neve helyes.
Az ok: a szolgáltatónál korábban adatszivárgás történt. A támadóknak valódi adataik voltak – csak egy hihető SMS-be kellett csomagolniuk őket. A hacker stresszben volt, sietett, majdnem rákattintott… Csak a fizetésnél kezdett gyanús lenni neki valami, és megállította a folyamatot.
Ez a mai adathalászat: pontos, személyre szabott, jól időzített. Magyarországon a hamis SMS jellemzően a NAV, a Magyar Posta vagy egy futárszolgálat nevében érkezik – olyan feladók nevében, akiknél az ember nem áll meg gondolkodni. Ha biztonságos körülmények között szeretné kipróbálni, hogyan reagálnak a munkatársai az adathalászatra és az SMS-es csalásra, nézze meg a Haxoris social engineering vizsgálatát.
Social engineering: az ember ellen, nem a tűzfal ellen
A támadónak nem mindig kell hibát találnia a kódban. Gyakran elég egy hiba az emberi viselkedésben: a félelem, a rutin, a bizalom, a tekintélytisztelet vagy az időnyomás.
Tipikus forgatókönyvek:
- sürgető telefonhívás „a bank ügyfélszolgálatától”,
- futárszolgálat SMS-e, amely „kis összegű pótdíj” befizetését kéri,
- állítólag az adóhatóságtól vagy a rendőrségtől érkező e-mail,
- csalárd befektetési tanácsok a népszerű közösségi oldalakon.
A social engineering (pszichológiai manipuláció) az egyik legeredményesebb támadási technika – ezért is szerves része minden komoly Red Teaming megbízásnak és adathalász kampánynak.
Gyakorlati tanácsok a védekezéshez
- Ne döntsön stresszben. Ha valaki azt állítja, hogy „tíz percen belül” lépnie kell, az önmagában gyanús.
- Ne kattintson a „banktól” vagy „hivataltól” érkező SMS-ek és e-mailek linkjeire. Írja be a címet kézzel a böngészőbe, vagy használja a hivatalos alkalmazást.
- Ellenőrizze a megkeresést egy másik csatornán. Ha „a bank” hívja, tegye le, és hívja vissza a hivatalos honlapon szereplő számot.
- Kapcsolja be a kétfaktoros hitelesítést. A többfaktoros hitelesítés (MFA) az egyik legegyszerűbb és leghatékonyabb védelem.
- Tartsa naprakészen a rendszereit. A frissítés nem bosszantó felugró ablak, hanem folt az ismert réseken, amelyeket a támadók célzottan keresnek.
- Képezze a munkatársait. Az ember a leggyengébb láncszem – az oktatás és az adathalász szimuláció érdemben csökkenti a kockázatot.
A legfontosabb tanulságok Önnek és a cégének
Végül néhány gondolat, amely a beszélgetésből egyértelműen kirajzolódik:
- Az etikus hacker partner, nem ellenség. Ugyanazt csinálja, amit egy valódi támadó – csak időben, biztonságosan és jelentéssel a végén.
- A penetrációs tesztnek csak akkor van értelme, ha lépnek is utána. Különben marad egy PDF a mappában.
- A legnagyobb sérülékenység nem a technológia, hanem az ember. A folyamatok, a szervezeti kultúra és az oktatás legalább annyit számítanak, mint a tűzfalak.
- Az államok és a cégek régóta tudják, hogy az adat hatalom. Az észak-koreai kriptolopásoktól a Cambridge Analyticáig: a kibertér valódi harctérré vált.
- A szakember is bedőlhet. A különbség csak az, tanul-e belőle – és úgy alakítja-e át a folyamatait, hogy ugyanaz a hiba ne fordulhasson elő újra.
És egy mondat, amely megérdemelné a helyét minden szerverszoba falán:
A biztonság nem állapot, hanem folyamat.
Nincs olyan, hogy „kész, biztonságban vagyunk”. Csak olyan van, hogy „ma valamivel kevésbé vagyunk sebezhetők, mint tegnap”.
