Un equipo de crack se reúne y rompe en una base militar de alto secreto o cuartel general corporativo - probablemente lo ha visto en una película o en la televisión una docena de veces.
Pero tales equipos existen en el mundo real y pueden ser contratados para probar la seguridad más estricta.
Muchas empresas ofrecen probar sistemas informáticos tratando de hackearlos remotamente.
Eso se llama Hacking Sombrero Blanco.
Pero las habilidades involucradas en violar la seguridad física, conocida como Red Teaming, son raras.
Las empresas que ofrecen el servicio Red Team tienen que reunir personal con habilidades muy particulares.
A menudo utilizando ex militares y personal de inteligencia, los equipos rojos se hacen una pregunta.
“¿Cómo puedes entrar en este proyecto de alto secreto?” Leonardo, la gigante compañía de defensa, ofrece tal servicio.
Dice que los estados hostiles que buscan la interrupción y el caos son una amenaza real y vende su capacidad del Equipo Rojo al gobierno, la infraestructura crítica y los clientes del sector de defensa.
Su Equipo Rojo acordó hablar con la BBC bajo seudónimos.
Greg, el líder del equipo, sirvió en los brazos de ingeniería e inteligencia del Ejército Británico, estudiando las capacidades digitales de los enemigos potenciales.
“He pasado una década aprendiendo a explotar las comunicaciones enemigas”, dice sobre sus antecedentes.
Ahora coordina el equipo de cinco hombres.
El ataque se trata de obtener acceso.
El objetivo podría ser impedir que un proceso funcione, como el núcleo de una central nuclear.
El primer paso para Greg y su equipo se llama reconocimiento pasivo.
Usando un dispositivo anónimo, tal vez un teléfono inteligente sólo identificable por su tarjeta SIM, el equipo construir una imagen del objetivo.
“Debemos evitar levantar sospechas, para que el objetivo no sepa que los estamos mirando”, dice Greg.
Cualquier tecnología que emplean no está vinculada a un negocio por su dirección de Internet y se compra con dinero en efectivo.
Charlie pasó 12 años en inteligencia militar, sus técnicas incluyen estudiar imágenes satelitales comerciales de un sitio, y escanear anuncios de trabajo para averiguar qué tipo de personas trabajan allí.
“Comenzamos desde los bordes del objetivo, manteniéndonos alejados.
Luego empezamos a movernos hacia la zona objetivo, incluso mirando cómo se visten las personas que trabajan allí”. Esto se conoce como reconocimiento hostil.
Se están acercando al sitio, pero manteniendo su exposición baja, usando ropas diferentes cada vez que aparecen, e intercambiando miembros del equipo, para que la gente de seguridad no vea a la misma persona caminando por las puertas.
La tecnología es ideada por la gente y el factor humano es el punto más débil en cualquier sistema de seguridad.
Aquí es donde entra Emma, que sirvió en la RAF.
Con una formación en psicología Emma felizmente se llama a sí misma “un poco de un observador de la gente entrometida”.
“La gente toma atajos más allá de los protocolos de seguridad.
Por lo tanto, buscamos a personas disgustadas en el sitio.” Ella escucha las conversaciones en los cafés y pubs adyacentes para escuchar donde la insatisfacción con las superficies de un empleador.
“Cada organización tiene sus peculiaridades.
Vemos cuál es la probabilidad de que las personas caigan en un correo electrónico sospechoso debido a la carga de trabajo y la fatiga”. Un infeliz guardia de seguridad puede ponerse perezoso en el trabajo.
“Estamos viendo el acceso, cayendo con una entrega, por ejemplo”. Una alta tasa de rotación evidenciada por las vacantes que se anuncian con frecuencia también indica insatisfacción y falta de compromiso con las responsabilidades de seguridad.
Atajar, detectar a las personas que son propensos a sostener una puerta de acceso abierta para un seguidor, es otra técnica.
Usando esa inteligencia, además de un poco de subterfugio, se pueden copiar pases de seguridad, y el Equipo Rojo puede entrar en el local haciéndose pasar por un empleado.
Una vez dentro del sitio Dan sabe cómo abrir puertas, archivadores y cajones de escritorio.
Está armado con llaves de candado conocidas como jigglers, con múltiples contornos que pueden abrir una cerradura.
Está buscando contraseñas escritas, o usará un adaptador USB inteligente enchufable para simular un teclado de computadora, rompiendo en una red.
El paso final en la llamada cadena asesina, está en manos de Stanley.
Un experto en seguridad cibernética, Stanley sabe cómo penetrar en los sistemas informáticos más seguros, trabajando en el informe de reconocimiento de sus colegas.
“En las películas se necesita un hacker segundos para entrar en un sistema, pero la realidad es diferente”. Prefiere su propio “enfoque escalatorio”, trabajando a través de un sistema a través del acceso de un administrador y buscando una “confluencia”, una colección de información compartida en un lugar, como una intranet de trabajo.
Puede vagar a través de archivos y datos utilizando el acceso del administrador.
Una manera en que una cadena asesina concluye es cuando Stanley envía un correo electrónico haciéndose pasar por el jefe ejecutivo del negocio a través de la red interna, por lo tanto confiable.
A pesar de que operan con la aprobación del cliente objetivo que están entrando en un sitio como completos extraños.
¿Cómo se siente esto?
“Si usted ha ganado acceso a una sala de servidores que es bastante nervioso,” dice Dan, “pero se hace más fácil más veces que lo hace.” Hay alguien en el sitio objetivo que sabe lo que está pasando.
“Nos mantenemos en contacto con ellos, para que puedan emitir una instrucción ‘no disparen a estas personas’”, añade Charlie.