Pentesting van een non-profit bedrijf
De Verloving
Het scenario
Een non-profitorganisatie gespecialiseerd in het leveren van educatieve middelen aan kansarme gemeenschappen om hun interne en externe cyberbeveiligingsmaatregelen te versterken. De organisatie had onlangs nieuwe IT-beveiligingsprotocollen geïmplementeerd om de digitale infrastructuur te beschermen en wilde de effectiviteit ervan testen. Daarom schakelden ze NextdoorSEC in om externe en interne penetratietests uit te voeren en te evalueren of hun investeringen in IT-beveiliging de gewenste resultaten hadden opgeleverd.
Het doel
De doelstellingen van de penetratietests die door NextdoorSEC werden uitgevoerd, waren onder andere:
Externe penetratietest:
- Het doorbreken van de digitale verdediging van de organisatie vanuit het perspectief van een buitenstaander is vergelijkbaar met een kwaadwillende hacker zonder voorkennis van de organisatie.
- Ontdekken en extraheren van gevoelige informatie, zoals inloggegevens van medewerkers, donorgegevens en strategische plannen.
- De beveiliging van het draadloze netwerk van de organisatie beoordelen en nagaan of het van buitenaf kan worden misbruikt.
Interne penetratietest:
- Gevoelige servers aanvallen, zoals de servers met donorgegevens, educatieve inhoud en personeelsgegevens.
- Gevoelige informatie ophalen zonder argwaan te wekken bij de werknemers van de organisatie.
- Een“insider threat” scenario nabootsen om de potentiële impact te begrijpen.
De aanpak
NextdoorSEC maakte gebruik van verschillende strategieën met behulp van op maat gemaakte en industriestandaard tools, waaronder handmatige en geautomatiseerde testtechnieken. De penetratietests werden uitgevoerd vanuit een‘blackbox‘-perspectief, een afspiegeling van echte scenario’s waarbij aanvallers het doelwit niet kennen.
Ondanks de verbeterde IT-beveiligingsmaatregelen van de organisatie bracht de interne penetratietest een gebrek aan robuuste interne beveiliging aan het licht. De externe penetratietest richtte zich op publieke domeinen en services zoals de website van de organisatie, e-mailservices en externe toegangssystemen, wat inzichtelijke resultaten opleverde.
Na voltooiing voorzag NextdoorSEC de organisatie van een uitgebreid rapport met een samenvatting, technische bevindingen en aanbevelingen voor herstel.
Resultaten
Kwetsbaarheid betalingsgateway
De betalingsgateway van de organisatie was vatbaar voor een kritieke exploit waardoor de testers transactiegegevens konden onderscheppen en manipuleren.
Overmatig lekken van informatie
Verschillende elementen van het e-commerce platform onthulden onbedoeld te veel informatie over de IT-infrastructuur van de organisatie, wat gerichte aanvallen kon ondersteunen.
Onbeveiligde klantgegevens
Testers van NextdoorSEC kregen onbeperkte toegang tot de klantendatabase, waardoor een groot beveiligingslek aan het licht kwam waarmee een kwaadwillende aanvaller gevoelige klantgegevens zou kunnen stelen.
Beheerderstoegang tot webservers
Er werd volledige beheerderstoegang verkregen op de webservers van de organisatie. Een echte aanvaller kan de website overnemen of kwaadaardige code injecteren.
✅ Beheerderstoegang op systemen van werknemers
Er werd volledige beheerderstoegang verkregen op de systemen die de medewerkers gebruikten die het e-commerce platform beheerden. Hierdoor kan een aanvaller productlijsten en prijzen manipuleren en zelfs geld overhevelen.
Kwetsbaarheden in gebruikersaccountsystemen
Het systeem voor het beheren van gebruikersaccounts was gebrekkig, waardoor een aanvaller mogelijk accounts kon kapen of spookaccounts kon aanmaken.
Word on the street
We're not like average security penetration testing companies. We've earned a reputation for delivering tailored solutions to businesses of all sizes. From mom-and-pop shops to tech startups, our expertise keeps your data safe and sound. Our clients appreciate our customized approach and commitment to transparency. Join the Nextdoorsec fam, one of the reliable vulnerability assessment companies and rest easy knowing your security is in good hands.
Nextdoorsec is an exceptional security company that provides thorough and detailed reports that are easy to understand. Their team is highly knowledgeable and responsive, always willing to answer any questions and provide guidance on how to properly address security vulnerabilities according to industry best practices. With Nextdoorsec's help, we were able to identify and address previously undetected security gaps in our systems, giving us greater confidence in our overall security posture. We highly recommend Nextdoorsec for any organization looking to improve their security posture and protect their valuable assets.
Pieter van der Meer
Cloud Architect
Nextdoorsec provided our organization with top-notch security services. Their team was incredibly thorough and professional, and their level of communication was outstanding. They kept us informed at every step of the process and were always available to answer any questions we had. We were particularly impressed with their commitment to transparency and their ability to provide actionable recommendations for improving our security posture. We would highly recommend Nextdoorsec to any organization looking to enhance their security and protect their valuable assets.
Lars Jansen
CTO
Get Started
Are you prepared to beef up your cyber defenses and soar to new heights in the digital world?