Wat is een mystery guest pentest

Technische beveiliging is maar één kant van het verhaal. Een goede firewall, een intrusion detection systeem en sterke versleuteling stellen weinig voor als een aanvaller gewoon via de voordeur naar binnen loopt. De fysieke beveiliging en de oplettendheid van uw medewerkers zijn vaak de zwakste schakel, en een beveiliging is zo sterk als de zwakste schakel.

Een mystery guest pentest (kort voor mystery guest penetratietest, ook wel physical penetration test of social engineering assessment genoemd) test die fysieke kant. Onze pentesters bezoeken uw locatie onopvallend en proberen, zonder dat uw medewerkers het weten, binnen te komen in het gebouw, in gevoelige ruimtes en bij uw systemen. Precies zoals een echte aanvaller dat zou doen.

Of het nu gaat om tailgating, badge cloning, social engineering of een usb-drop: een mystery guest pentest laat zien hoe goed uw organisatie beschermd is tegen fysieke en menselijke dreigingen. Het draait hier niet om techniek, maar om mensen, procedures en fysieke controles.

Waarom en wanneer is een mystery guest pentest belangrijk?

Een aanvaller die fysiek bij uw locatie binnenkomt, kan malware installeren, gegevens stelen, een badgesysteem klonen of rechtstreeks bij uw netwerk. Uw technische beveiliging merkt daar vaak niets van.

Een mystery guest pentest is verstandig in onder meer deze situaties:

• Bij een nieuwe kantoorlocatie, om de fysieke beveiliging te controleren voordat uw medewerkers verhuizen
• Om aan te tonen dat u voldoet aan ISO 27001, NIS2 of branche-eisen rond fysieke beveiliging
• Om te zien of uw security-trainingen het gewenste effect hebben
• Na een wijziging in uw toegangssystemen, zoals nieuwe badgelezers, biometrie of nieuwe procedures
• Na een inbraak of social engineering-aanval, om te controleren of uw verbeteringen werken

Test niet alleen uw techniek, maar ook de fysieke en menselijke kant. Voor een aanvaller is een medewerker vaak het makkelijkste doelwit.

Welke technieken worden gebruikt?

Welke technieken onze pentesters inzetten, hangt af van het scenario en van de branche waarin u werkt. Elke omgeving is anders, en dat bepaalt welke aanpak het beste past.

Fysieke toegangstechnieken

• Tailgating: meelopen met iemand die wél een geldige badge heeft
• Badge cloning: het kopiëren van toegangspassen
• Lock picking: een fysiek slot openen zonder sleutel
• Piggybacking: meelopen door een deur die een medewerker net opent
• Zoeken naar deuren, ramen of andere ingangen die niet beveiligd zijn

Social engineering-technieken

• Pretexting: een valse identiteit aannemen, bijvoorbeeld die van een leverancier of sollicitant
• Vishing: telefonisch informatie ontfutselen over de organisatie en haar procedures
• Face-to-face contact om gevoelige informatie los te krijgen
• Inspelen op autoriteit of urgentie om een medewerker te overtuigen

Technieken na binnenkomst

• Usb-drops: geprepareerde usb-sticks achterlaten (rubber ducky-aanvallen)
• Aansluiten op een ethernetpoort in een openbare ruimte
• Gevoelige documenten en informatie verzamelen
• Inloggen op een onbeheerde werkplek of computer

Waarom kiezen voor Hackify?

• Onze ethische hackers hebben minimaal 5 jaar ervaring en 3 certificaten, met de juiste expertise per testonderdeel. Dat ligt boven het branchegebruik van 1 jaar en 1 certificaat.
  • Onze pentesters deden responsible disclosures bij onder meer Philips, Zoom, Oracle en de Politie.
  • Ze wonnen prijzen bij hackcompetities als Hack010, PVIB CTF, Hackerhotel en HackTheHague.
• Wij hebben ervaring met fysieke pentesten, social engineering en red teaming.
• U heeft direct contact met de pentester die uw test uitvoert, zonder accountmanager ertussen.
• Een mystery guest pentest kunnen wij meestal binnen 2 tot 3 weken inplannen.

Meer over onze aanpak en expertise leest u op de pagina over ons.

Plan uw mystery guest pentest

Wilt u weten hoe kwetsbaar uw fysieke beveiliging is? Neem dan vrijblijvend contact met ons op. We vertellen u graag meer over ons bedrijf en onze aanpak, en horen graag wat de scope van uw locatie is.

Elke locatie en elk scenario is anders, dus stellen wij voor elke opdracht een voorstel op maat op. Een pentest kan binnen 3 weken van start. De uitvoering duurt, afhankelijk van het type test en de complexiteit, tussen 1 dag en 2 weken.