In de geest van de cybercrimineel
Peter Wood denkt al ruim twintig jaar als een crimineel. Niet om een fortuin te vergaren, maar wel om als ‘ethische hacker’ bedrijven te leren te denken als de aanvaller. ZDNet sprak hem op de Engelse beurs voor veiligheidsexperts Info Security 2012 in Londen.
ZDNet: Als ik als cybercrimineel rijk wil worden, waar moet ik dan beginnen?
Peter Wood: “De digitale onderwereld is een sociale gemeenschap. Je zou hem nog het best kunnen vergelijken met een alternatieve eBay, waar iedereen verschillende diensten op maat aanbiedt. Je hebt malwareschrijvers, DdoS-bendes en money mules, die in losse verbanden met elkaar samenwerken.
"Het is belangrijk dat je jezelf eerst zichtbaar maakt binnen die gemeenschap, maar het is nog veel belangrijker om een select groepje gelijkgestemden te vinden die je kunt vertrouwen. Als je dan maar toegewijd genoeg bent en de juiste connecties hebt, kun je binnen het eerste jaar al beginnen met verdienen.”
[related_article id=”161920″]
ZDNet: Geweld is een belangrijk element van traditionele misdaad. Is dit ook het geval in de wereld van cybercriminaliteit?
“Een van de ‘goede’ dingen aan cybercriminaliteit is dat geweld vrijwel afwezig is. Intelligente criminelen zijn vooral geïnteresseerd in de meest eenvoudige manier om aan geld te komen en geweld hoort daar niet bij. Je hoeft geen beschermgeld te betalen, je hebt geen bende nodig en je kunt het geld in plaats daarvan gebruiken voor het huren van een botnet.
"De ouderwetse maffia heeft naar mijn mening net zo veel moeite om zich aan te passen aan deze nieuwe realiteit als de mensen die zichzelf tegen cyberaanvallen moeten verdedigen.”
ZDNet: Veel van de meest beruchte cybercriminelen zijn afkomstig uit de voormalige Sovjetunie en het Oostblok. Toeval?
“Na de val van de Sovjetunie bleven grote groepen mensen achter zonder inkomen, zonder keuze. Zij waren onder het communisme gewend geraakt om twee gezichten te tonen. Het ene gebruikten ze voor de allesziende partijadministratie; het ander gebruikten ze voor hun vrienden en connecties op de zwarte markt. Er is dus een grote groep mensen ontstaan met een uitstekende technische opleiding, die gewend is om elke dag hun kleerkast te doorzoeken op microfoons.
"Als je in zo’n omgeving opgroeit, ben je gewend te denken en te handelen als een hacker."
Op pagina 2: Waar komt de volgende generatie cybercrimineel vandaan?
ZDNet: Cybercriminaliteit is een bijzonder lucratieve tak van sport. Denkt u dat we binnenkort een flinke toename zullen zien van West-Europese misdadige hackers?
“We klagen hier in West-Europa veel, maar al met al zijn we in opgegroeid in een fundamenteel veilige samenleving, waarin onze regeringen afhankelijkheid hebben aangeleerd.
"Ik denk daarom dat de volgende golf cybercriminelen juist afkomstig zal zijn uit Afrikaanse landen, maar bijvoorbeeld ook uit India. Vergeet niet dat daar een miljard mensen wonen in een land met veel onrecht en fantastische technologische voorzieningen.”
ZDNet: Als ethische hacker leert u IT-ers om te denken als de aanvaller. Wat houdt dat in?
“Terwijl een verdediger alleen kijkt naar zijn eigen website of bedrijfsinfrastructuur, duikt een aanvaller meteen in de code en let daarbij vooral op welke onderaannemers zijn gebruikt om een klus te klaren.
"Een IT-project bestaat vaak uit verschillende onderdelen, waarbij vaak onderaannemers zijn gebruikt. Een hostingbedrijf zit bijvoorbeeld in Barcelona, terwijl de projectmanager aan de andere kant van de oceaan zit. En omdat salesmensen vaak beloftes doen die niet overeenkomen met de geleverde diensten, is het vaak eenvoudig om iemand te planten bij deze bedrijven om zwakke plekken te vinden en misbruiken.
"Als we dus een bedrijf doorlichten, kijken we naar drie dingen: IT, beleid, maar vooral naar het personeel. Beveiliging is allang niet meer een slot op de deur en een bewaker bij de ingang. En mensen zijn van nature niet goed in het inschatten van dreigingen in de digtale wereld, waar zintuigen je nauwelijks helpen om gevaar op te merken. Je moet dus voortdurend jezelf kritisch onder de loep houden om te zien of er geen zwakke plekken zijn ontstaan.”
