Category: Uncategorized

  • Penetracijsko testiranje za podjetja – kako zaščititi svoje poslovanje pred kibernetskimi grožnjami

    Penetracijsko testiranje za podjetja – kako zaščititi svoje poslovanje pred kibernetskimi grožnjami

    Uvod

    V današnjem digitalnem svetu so podjetja izpostavljena vedno bolj naprednim kibernetskim grožnjam. Penetracijsko testiranje (ang. penetration testing) je ena izmed najučinkovitejših metod za preverjanje varnosti informacijskih sistemov. Pri CYBER-SEC d.o.o. pomagamo podjetjem prepoznati ranljivosti, preden jih izkoristijo napadalci.

    Kaj je penetracijsko testiranje?

    Penetracijsko testiranje je simulacija kibernetskega napada na informacijske sisteme podjetja, s ciljem:

    • Odkriti varnostne pomanjkljivosti.
    • Preveriti odpornost na zunanje in notranje napade.
    • Testirati odzivnost varnostnih mehanizmov.

    Obstajajo različne vrste penetracijskih testov:

    Vrste testiranja

    1. Zunanje penetracijsko testiranje – testiranje iz perspektive zunanjega napadalca.
    2. Notranje penetracijsko testiranje – testiranje z dostopom do notranjih informacij.
    3. Grey-box testiranje – kombinacija obeh pristopov.
    4. Testiranje aplikacij – preverjanje spletnih in mobilnih aplikacij.
    5. Social engineering test – simulacija phishing in drugih manipulativnih napadov na zaposlene.

    Zakaj je pomembno za podjetja?

    Kibernetski napadi so vse pogostejši in vse dražji. Po raziskavah lahko posamezen incident podjetje stane več deset tisoč evrov, poleg tega pa povzroči izgubo zaupanja strank.

    Prednosti penetracijskega testiranja za podjetja:

    • ✅ Preprečevanje poslovne škode.
    • ✅ Izpolnjevanje zakonodajnih zahtev (ZInfV-1, NIS2).
    • ✅ Zaščita občutljivih podatkov (GDPR).
    • ✅ Izboljšanje varnostne kulture zaposlenih.

    Postopek penetracijskega testiranja pri nas

    Pri CYBER-SEC d.o.o. sledimo preverjenemu metodološkemu pristopu:

    1. Analiza in načrtovanje – skupaj z naročnikom določimo obseg in cilje testiranja.
    2. Zbiranje informacij – pasivno in aktivno zbiranje podatkov o cilju.
    3. Iskanje ranljivosti – uporaba orodij in tehnik za odkrivanje šibkih točk.
    4. Eksploatacija – preverjanje možnosti izkoriščanja ranljivosti.
    5. Poročilo in priporočila – podrobno poročilo z rešitvami in prioritetami.
    6. Ponovno testiranje – preverimo, ali so bile ranljivosti uspešno odpravljene.

    Pogoste napake podjetij glede kibernetske varnosti

    • Podcenjevanje notranjih groženj.
    • Uporaba zastarele programske opreme.
    • Pomanjkanje izobraževanja zaposlenih.
    • Neizvajanje rednih varnostnih pregledov.

    Zakonodajne zahteve

    V Sloveniji zakon ZInfV-1 in evropska direktiva NIS2 določata obveznosti podjetij na področju kibernetske varnosti. Penetracijsko testiranje je ključni korak pri doseganju skladnosti s temi predpisi.

    Zaključek in poziv k dejanju

    Če želite zaščititi svoje podjetje in se izogniti finančnim ter uglednim izgubam, je penetracijsko testiranje nujen korak.

    📞 Kontaktirajte nas še danes in preverite, kako lahko pri CYBER-SEC d.o.o. skupaj izboljšamo varnost vašega podjetja.

  • Zero-click napad na Android prek USB kabla – Ko se zlonamerna aplikacija namesti sama

    Zero-click napad na Android prek USB kabla – Ko se zlonamerna aplikacija namesti sama

    Zero-click napad na Android prek USB kabla – Ko se zlonamerna aplikacija namesti sama

    “Samo napolnil sem telefon.”

    V resnici pa si nehote dovolil, da se samodejno namesti vohunska aplikacija, ki lahko bere tvoja sporočila, brez da bi sploh karkoli pritisnil.

    V varnostnem preizkusu smo pokazali, kako je mogoče Android telefon kompromitirati zgolj s priklopom na USB kabel.
    ✅ Brez ADB
    ✅ Brez root dostopa
    ✅ Brez klika ali potrditve uporabnika
    ✅ Brez zaznave Play Protect

    Kako deluje napad?

    1. Napadalec pripravi zlonameren USB kabel (ali USB polnilno točko).
    2. Ko uporabnik priključi svoj Android telefon, se v ozadju sproži samodejna povezava s strežnikom, iz katerega prenese zlonamerno programsko opremo.
    3. Po prenosu se zgodi sledeče:
      • aplikacija se samodejno namesti,
      • zaobide Play Protect,
      • Napadalci pridobijo dostop kjer lahko prebirajo sporočila, klice, lokacijo, itd …

    Uporabnik v tem procesu ne klikne ničesar. Napad je popolnoma avtomatiziran.

    Kaj smo pridobili?

    Popoln dostop do:

    • dohodnih in odhodnih SMS sporočil,
    • kontaktov in klicev,
    • lokacije uporabnika,
    • drugih podatkov.

    S tem napadom lahko napadalec:

    • prestreže 2FA kode,
    • dostopa do e-bančništva in družbenih omrežij,
    • vodi tiho nadzorovanje žrtve brez da bi ta karkoli opazila.

    Demonstracija v živo

    Oglej si dejanski posnetek napada:

    Zakaj je ta napad tako nevaren?

    • Zero-click: Uporabnik ne naredi popolnoma nič – zgolj poveže napravo.
    • Zaobide Play Protect: Google varnostne zaščite so neučinkovite.
    • Usmerjeno proti vsakemu, ki uporablja Android telefon – doma, v službi ali na poti.
    • Možnost širitve v poslovna okolja – ogrožena sta posameznik in podjetje.

    Kako se zaščititi?

    • Nikoli ne uporabljajte tujega ali javnega USB kabla.
    • Uporabljajte izključno “charge-only” USB kable, ki blokirajo podatkovni prenos.
    • V nastavitvah Androida onemogočite samodejne prenose in “namestitev iz neznanih virov”.
    • Izogibajte se javnim polnilnim postajam – uporabljajte svoj powerbank.
    • Uporabljajte dodatno varnostno programsko opremo, ki zazna nenavadno vedenje aplikacij.

    Zaključek

    Ta napad dokazuje, da niti fizična povezava ni več varna.
    Sodobni napadi ne zahtevajo več klikanja na zlonamerne povezave – dovolj je, da priključiš napravo, in napad se izvede samodejno.

    Zaupaj svojemu telefonu – ne pa vsakemu kablu.

    Za varnostne preglede, testiranje mobilne odpornosti in ozaveščevalne delavnice nas kontaktirajte na info@cyber-sec.si