Shoulder surfing

Wat is Shoulder surfing?

Shoulder surfing vraagt geen malware en geen gestolen wachtwoord. Iemand gaat staan waar hij je scherm kan lezen, houdt een telefoon omhoog en loopt weg met gegevens waarvan geen log ooit laat zien dat ze vertrokken. In deze oefening staat een geplande bezoeker achter je stoel terwijl een salarisexport openstaat. Je oefent met opmerken wie je scherm kan zien, eerst vergrendelen, een bezoeker op een logische plek laten wachten en vastleggen wat zichtbaar was.

Wat je leert in Shoulder surfing

• Alles wat op je scherm staat, beschouwen als leesbaar voor iedereen die er zicht op heeft
• Het werkstation vergrendelen als eerste reactie op een onbekende achter je, nog voor enig gesprek
• Een bezoekersbadge zien als toestemming om in het gebouw te zijn, niet als toestemming om je werk te zien
• Iemand vragen op een logische plek te wachten zonder er een beschuldiging van te maken
• Melden wat er op het scherm stond, omdat een foto geen log achterlaat en jouw verslag de enige registratie is

Shoulder surfing — Trainingsstappen

1. Controleer de salarisrun

   Het is een rustige dinsdagochtend op de tweede verdieping van Merrowvale Health. De salarisexport van september is een paar minuten geleden klaar en staat in de wachtrij tot het bankbestand om vier uur de deur uitgaat. Ines Havelock, manager HR, stuurt het gebruikelijke verzoek.

2. Twaalf regels op een scherm

   De run opent precies zoals Ines hem beschreef. Elke regel is iemand die in dit gebouw werkt, naast wat die persoon netto verdient en het einde van diens rekeningnummer. Het is een gewone interne pagina, geopend door iemand die hem mag openen, en hij blijft op het scherm zolang het controleren duurt.

3. Iemand wacht op HR

   Een man komt de trap op en blijft net binnen de ingang van de verdieping staan. Badge op, telefoon in de hand, de ietwat verloren blik van iemand die hier moest wachten en niets meer heeft om naar te kijken. Zijn afspraak is met HR. Er is nog niemand naar beneden gekomen om hem op te halen.

4. Hij staat achter je

   Wachten wordt rondlopen. Hij loopt de verdieping over, blijft op de looproute achter de stoel van Alice staan en houdt zijn telefoon op ooghoogte. Hij staat dichtbij genoeg om het scherm te lezen. De telefoon is erop gericht.

5. Kijk naar hem

   Kijk eerst wie dit eigenlijk is, voordat je iets zegt. Hij verstopt zich niet, hij heeft geen haast en hij draagt de pas die de receptie vanochtend voor hem heeft afgedrukt.

6. Hij legt het uit

   Hij merkt dat hij is opgemerkt. De telefoon blijft waar hij is, en wat hij zegt is iets wat iedereen zou kunnen zeggen, zonder een spoor van haast. Het verklaart de telefoon. Het verklaart niet de twee meter.

7. Wat zeg je?

   Niets aan hem is bedreigend en het excuus kost niets, en precies daarom lost het niets op. Van hieruit is niet te zien of de telefoon omhoog was voor de klok of voor het scherm, en de salarisrun staat nog steeds voor hen beiden op dat scherm.

8. Eerst vergrendelen

   Hij stapt achteruit en begint weg te lopen, wat niets oplost. Hij staat er al een paar seconden en er is geen manier om te weten wat er op zijn telefoon staat. Het scherm is het enige waar Alice nog iets aan kan doen, en dat kost minder dan een seconde.

9. Hij wacht in het midden

   Hij gaat niet in discussie en hij vertrekt niet. Hij blijft midden op de verdieping staan, de telefoon nu omlaag langs zijn zij, en wacht op wie hem komt ophalen. Aan hem is niets veranderd. Wat veranderd is, is wat hij kan zien.

10. Wat er echt misging

    Sta even stil bij wat het echte risico hier was.