Заказчик - частная организация, созданная на базе существовавшей в СССР государственной структуры и участвующая в конкурсах на выполнение госзаказа. Перед экспертом был поставлен вопрос о том, может ли враг получить доступ к материалам конкурсной заявки при бюджете в $10000. Исследование показало, что здание, в котором расположена структура, по старой памяти охраняется вооруженными часовыми и войти в него непросто. Подкупить рядового сотрудника можно, но доступ к материалам заявки есть лишь у высокопоставленных должностных лиц, причем точный их список выяснить не удалось. Оказалось, что здание имеет два выхода в Интернет, но используются они не как основной и резервный, а параллельно (некоторые отделы пользуются одним провайдером, остальные - другим). Роутинг был настроен так, что с пятого этажа на седьмой письма шли не по внутренней сети, а через провайдеров (и, более того, через США - но это уже проблема провайдеров). Один из провайдеров был небольшой организацией. Атака была произведена следующим образом: Преснякова, сисадмина мелкого провайдера, переманили на другую работу (представитель дружественной организации написал ему письмо с хвалебным комментарием статьи последнего в журнале "Connect", завязалась переписка, в результате которой Преснякову предложили такую зарплату, от которой невозможно отказаться). Руководство провайдерской компании срочно стало искать нового сисадмина, в частности, дав об этом объявление на job.ru. К ним пришел на беседу человек, которого было невозможно не взять, особенно с учетом его склонности получать удовольствие от решения проблем, а не от большой зарплаты. Спустя сутки "засланный казачок" наладил копирование всей внутренней почты, идущей, как вы помните, через провайдера. Полного текста искомой заявки в e-mail’ах не оказалось, но нашлись ее существенные куски. Попутно обнаружились: - два факта воровства; - шантаж одного сотрудника другим; не известный руководству факт болезни ребенка одного из важных сотрудников (ребенку была нужна операция, которую делают в Израиле за $60000, а сотрудник имел право подписывать финансовые документы); - фотография сотрудницы, использующей рабочее место для осуществления неподобающего поведения по отношению к неустановленному мужчине. Демонстрация уязвимости была осуществлена за восемнадцать суток. Прямые расходы по осуществленному пути составили $4800.
