Pentesting van een non-profit bedrijf
De Verloving
Het scenario
Een non-profitorganisatie gespecialiseerd in het leveren van educatieve middelen aan kansarme gemeenschappen om hun interne en externe cyberbeveiligingsmaatregelen te versterken. De organisatie had onlangs nieuwe IT-beveiligingsprotocollen geïmplementeerd om de digitale infrastructuur te beschermen en wilde de effectiviteit ervan testen. Daarom schakelden ze NextdoorSEC in om externe en interne penetratietests uit te voeren en te evalueren of hun investeringen in IT-beveiliging de gewenste resultaten hadden opgeleverd.
Het doel
De doelstellingen van de penetratietests die door NextdoorSEC werden uitgevoerd, waren onder andere:
Externe penetratietest:
- Het doorbreken van de digitale verdediging van de organisatie vanuit het perspectief van een buitenstaander is vergelijkbaar met een kwaadwillende hacker zonder voorkennis van de organisatie.
- Ontdekken en extraheren van gevoelige informatie, zoals inloggegevens van medewerkers, donorgegevens en strategische plannen.
- De beveiliging van het draadloze netwerk van de organisatie beoordelen en nagaan of het van buitenaf kan worden misbruikt.
Interne penetratietest:
- Gevoelige servers aanvallen, zoals de servers met donorgegevens, educatieve inhoud en personeelsgegevens.
- Gevoelige informatie ophalen zonder argwaan te wekken bij de werknemers van de organisatie.
- Een“insider threat” scenario nabootsen om de potentiële impact te begrijpen.
De aanpak
NextdoorSEC maakte gebruik van verschillende strategieën met behulp van op maat gemaakte en industriestandaard tools, waaronder handmatige en geautomatiseerde testtechnieken. De penetratietests werden uitgevoerd vanuit een‘blackbox‘-perspectief, een afspiegeling van echte scenario’s waarbij aanvallers het doelwit niet kennen.
Ondanks de verbeterde IT-beveiligingsmaatregelen van de organisatie bracht de interne penetratietest een gebrek aan robuuste interne beveiliging aan het licht. De externe penetratietest richtte zich op publieke domeinen en services zoals de website van de organisatie, e-mailservices en externe toegangssystemen, wat inzichtelijke resultaten opleverde.
Na voltooiing voorzag NextdoorSEC de organisatie van een uitgebreid rapport met een samenvatting, technische bevindingen en aanbevelingen voor herstel.
Resultaten
Kwetsbaarheid betalingsgateway
De betalingsgateway van de organisatie was vatbaar voor een kritieke exploit waardoor de testers transactiegegevens konden onderscheppen en manipuleren.
Overmatig lekken van informatie
Verschillende elementen van het e-commerce platform onthulden onbedoeld te veel informatie over de IT-infrastructuur van de organisatie, wat gerichte aanvallen kon ondersteunen.
Onbeveiligde klantgegevens
Testers van NextdoorSEC kregen onbeperkte toegang tot de klantendatabase, waardoor een groot beveiligingslek aan het licht kwam waarmee een kwaadwillende aanvaller gevoelige klantgegevens zou kunnen stelen.
Beheerderstoegang tot webservers
Er werd volledige beheerderstoegang verkregen op de webservers van de organisatie. Een echte aanvaller kan de website overnemen of kwaadaardige code injecteren.
✅ Beheerderstoegang op systemen van werknemers
Er werd volledige beheerderstoegang verkregen op de systemen die de medewerkers gebruikten die het e-commerce platform beheerden. Hierdoor kan een aanvaller productlijsten en prijzen manipuleren en zelfs geld overhevelen.
Kwetsbaarheden in gebruikersaccountsystemen
Het systeem voor het beheren van gebruikersaccounts was gebrekkig, waardoor een aanvaller mogelijk accounts kon kapen of spookaccounts kon aanmaken.
Woord op straat
Wij zijn geen doorsnee beveiligingsbedrijf. Wij hebben een reputatie opgebouwd voor het leveren van oplossingen op maat voor bedrijven van elke omvang. Van kleine winkels tot startende technologiebedrijven, onze expertise houdt uw gegevens veilig en gezond. Onze cliënten waarderen onze aanpak op maat en ons streven naar transparantie. Sluit u aan bij de Nextdoorsec fam. en weet dat uw veiligheid in goede handen is.
Nextdoorsec is een uitzonderlijk beveiligingsbedrijf dat grondige en gedetailleerde rapporten levert die gemakkelijk te begrijpen zijn. Hun team is zeer deskundig en responsief, altijd bereid om vragen te beantwoorden en advies te geven over de juiste aanpak van beveiligingsproblemen volgens de beste praktijken in de sector. Met de hulp van Nextdoorsec konden we voorheen onopgemerkte beveiligingslekken in onze systemen identificeren en aanpakken, waardoor we meer vertrouwen kregen in onze algehele beveiliging. Wij bevelen Nextdoorsec ten zeerste aan voor elke organisatie die zijn beveiligingspositie wil verbeteren en zijn waardevolle activa wil beschermen.
Pieter van der Meer
Cloud Architect
Nextdoorsec heeft onze organisatie voorzien van eersteklas beveiligingsdiensten. Hun team was ongelooflijk grondig en professioneel, en hun niveau van communicatie was uitstekend. Ze hielden ons bij elke stap van het proces op de hoogte en waren altijd beschikbaar om onze vragen te beantwoorden. We waren vooral onder de indruk van hun inzet voor transparantie en hun vermogen om bruikbare aanbevelingen te doen voor het verbeteren van onze beveiliging. Wij zouden Nextdoorsec ten zeerste aanbevelen aan elke organisatie die zijn beveiliging wil verbeteren en zijn waardevolle activa wil beschermen.
Lars Jansen
CTO
Aan de slag
Bent u bereid uw cyberdefensie te versterken en nieuwe hoogten te bereiken in de digitale wereld?
