Gaat alarmcentrale in de fout?

[ejabberd]

Ik heb vandaag op het werk iets meegemaakt en vroeg me nadien af of het bedrijf van de alarmcentrale wel juist handelde; of wat ze gedaan hebben een risico is voor social engineering. Dit is de situatie:

- Bedrijf X is klant bij Alarmcentrale.
- Bedrijf X verhuurt beveiligde gebouw aan bedrijf Y.
- Bedrijf Y betaalt alle mobiele nummers, inclusief het nummer van de Simkaart in de alarmcentrale.
- Ik werk voor bedrijf Y en Alarmcentrale kent mij, noch bedrijf Y.
- Het identificatienummer van de simkaart in de alarmcentrale ken ik niet en kan ik ook niet zien omdat de simkaart enkel door Alarmcentrale uit het systeem gehaald kan worden.
- Ik wil veranderen van provider en vraag daarom via e-mail mijn e-mailadres van Bedrijf Y aan Alarmcentrale het identificatienummer van de simkaart.
- Alarmcentrale mailt mij dit gewoon door zonder verdere controle!

Wat zou er gebeuren als iemand met slechte bedoelingen (1) via een onderschepte factuur het telefoonnummer van de alarmcentrale zou achterhalen, (2) vervolgens via social engineering het identificatienummer van de simkaart in de alarmcentrale kan krijgen, (3) met een valse identiteitskaart een nieuwe simkaart aanvraagt met nummerbehoud en (4) die activeert?

Zal dat lukken waardoor het alarm geen contact meer zal opnemen met Alarmcentrale of zal de activatie falen omdat de oude simkaart nog online is?

[skelleniels]

Als het alarm geen verbinding meer heeft met de alarmcentrale, dan zal men dit heus ook wel gaan onderzoeken dan.

Mogelijks heeft Bedrijf X ook aan de alarmcentrale doorgegeven dat jullie huren bij hen? Zeker als jullie het nummer van de simkaart van de alarmcentrale betalen. Dus ze zullen jullie wel kennen als je via een emailadres van bedrijf Y mailt.

[Onbekend]

Het gaat al fout dat bedrijf X een deel van de alarmcentrale door bedrijf Y laat beheren (simkaart alarmcentrale), terwijl bedrijf X zelf eigenlijk de klant is.

Bedrijf Y is verantwoordelijk als er iets mis gaat met het alarmsysteem, aangezien bedrijf Y opdracht aan de alarmcentrale heeft gegeven om veranderingen door te voeren.

ejabberd schreef op woensdag 5 juli 2017 @ 19:26:
- Ik wil veranderen van provider en vraag daarom via e-mail mijn e-mailadres van Bedrijf Y aan Alarmcentrale het identificatienummer van de simkaart.

Hoe weet de alarmcentrale welke simkaart je in gebruik hebt? Welke informatie heb je allemaal aan hun doorgegeven?

[ejabberd]

skelleniels schreef op woensdag 5 juli 2017 @ 19:31:
Als het alarm geen verbinding meer heeft met de alarmcentrale, dan zal men dit heus ook wel gaan onderzoeken dan.

In het verleden was er een vaste telefoonlijn. Toen we overschakelden naar VoIP heeft dat zeker een half jaar geduurd voor iemand door had dat er geen connectie meer was met Alarmcentrale...

Mogelijks heeft Bedrijf X ook aan de alarmcentrale doorgegeven dat jullie huren bij hen? Zeker als jullie het nummer van de simkaart van de alarmcentrale betalen. Dus ze zullen jullie wel kennen als je via een emailadres van bedrijf Y mailt.

Zou kunnen maar ik denk het niet. Zelfs als dat zo zou zijn, is het de eerste keer dat ik Alarmcentrale mail. Men zou dus ook een gelijkaardig domein kunnen registreren...

[MAX3400]

Wisselen van alarmcentrale? Dat gezegd; blijkbaar is er niks te halen bij jullie als jullie zelf ook rustig 6 maanden zonder alarm zitten omdat niemand het ene klap interesseert?

Vind het minstens zo raar/slecht dat jij mag mailen met een alarmcentrale-bedrijf; normaliter gaat dat via degene die of de rekening betaalt en/of de contracten beheert en/of aanspreekpunt is bij escalatie. Dus ook hier snijdt het mes aan twee kanten; zowel X als Y hebben procedures niet op orde?

[ejabberd]

Onbekend schreef op woensdag 5 juli 2017 @ 19:37:
Het gaat al fout dat bedrijf X een deel van de alarmcentrale door bedrijf Y laat beheren (simkaart alarmcentrale), terwijl bedrijf X zelf eigenlijk de klant is.

Bedrijf Y is verantwoordelijk als er iets mis gaat met het alarmsysteem, aangezien bedrijf Y opdracht aan de alarmcentrale heeft gegeven om veranderingen door te voeren.

In mijn geval is er 100% vertrouwen tussen beide bedrijven aangezien beide familiebedrijven zijn.

Hoe weet de alarmcentrale welke simkaart je in gebruik hebt? Welke informatie heb je allemaal aan hun doorgegeven?

Zij hebben de simkaart in de alarmcentrale gestoken aangezien dat met een sleutel ofzo zal afgesloten zijn. Waarschijnlijk kunnen ze ook vanop afstand zien wat de identificatiecode is.

[F_J_K]

ejabberd schreef op woensdag 5 juli 2017 @ 19:54:
In het verleden was er een vaste telefoonlijn. Toen we overschakelden naar VoIP heeft dat zeker een half jaar geduurd voor iemand door had dat er geen connectie meer was met Alarmcentrale...

Zorg dat X de datacommunicatie gaat regelen. Zonder afhankelijkheid van Y (anders dan de betaling van Y aan X).

En inderdaad, zowel X en Y (procedure klopt niet) als alarmcentrale (social engineering) zitten fout. Alarmcentrale overigens alleen fout als niet ooit is aangegeven dat jij contactpersoon bent. Als X dat ooit zo heeft aangegeven dan zijn alleen X en Y fout

ejabberd schreef op woensdag 5 juli 2017 @ 20:00:
In mijn geval is er 100% vertrouwen tussen beide bedrijven aangezien beide familiebedrijven zijn.

offtopic:
Kim Jong-Il heeft ook een familiebedrijf. Dat betekent niet alles

Ik heb overigens de topictitel aangepast: bij 'securitybedrijf' denkt men op GoT eerder aan een AV, pentester, oid

[ Voor 6% gewijzigd door F_J_K op 05-07-2017 20:04 ]

[Onbekend]

ejabberd schreef op woensdag 5 juli 2017 @ 20:00:
Zij hebben de simkaart in de alarmcentrale gestoken aangezien dat met een sleutel ofzo zal afgesloten zijn. Waarschijnlijk kunnen ze ook vanop afstand zien wat de identificatiecode is.

Ik bedoelde eigenlijk hoe de alarmcentrale wist van welke simkaart ze de gegevens door moesten geven. Er zijn meerdere simkaarten in omloop, dus op een of andere manier wisten precies de juiste er uit te vissen.

[Oekiejoekie]

Bij elk contact met de alarmcentrale moet ik een nummer van een pasje opdreunen (maar die ken ik inmiddels uit mijn hoofd), en een pincode. Die staat niet op dat pasje (dus als ik bedreigd zou worden en ik noem een foutieve pincode, komt er ook opvolging)

Bij onderhoud, zoals het vervangen van die simkaart, wil de monteur ook dat pasje zien...

[MicGlou]

Onbekend schreef op woensdag 5 juli 2017 @ 20:11:
[...]

Ik bedoelde eigenlijk hoe de alarmcentrale wist van welke simkaart ze de gegevens door moesten geven. Er zijn meerdere simkaarten in omloop, dus op een of andere manier wisten precies de juiste er uit te vissen.

Dat is niet heel erg lastig als ze de administratie een beetje op orde hebben... sowieso weten ze uiteraard welk nummer gekoppeld is aan de sim in de centrale en dan kan je bij de betreffende provider zo de gegevens opvragen zonder fysiek bij de SIM te hoeven zijn.

Onbekend schreef op woensdag 5 juli 2017 @ 19:37:
Het gaat al fout dat bedrijf X een deel van de alarmcentrale door bedrijf Y laat beheren (simkaart alarmcentrale), terwijl bedrijf X zelf eigenlijk de klant is.

Hoezo gaat het dan al fout? Dat is simpelweg afhankelijk van hoe dat in het huurcontract is geregeld... 'wij' als bedrijf X verhuren ook een pand aan bedrijf Y, ondanks dat we eigenaar zijn is in het huurcontract (bedongen door de huurder) het onderhoud/beheer bij bedrijf Y ondergebracht. Ik zou zelfs zeggen dat het in dergelijke gevallen geheel gewenst is want zeker mbt een alarmcentrale wil je zo kort mogelijke lijntjes, als er wat is en communicatie gaat eerst naar X en dan naar Y dan ontstaat er al vrij snel ruis op de lijn.

Edit: Om toch nog even geheel ontopic te reageren op de TS... de manier van handelen valt wel in de categorie fout, sowieso als jij niet als een bekend contactpersoon bent aangemeld bij de centrale. Daarnaast is het vanuit het oogpunt van security best wel 'not done' om aan dergelijke verzoeken te voldoen over de email zonder enige echte controle.

Bij ons is het overigens zo geregeld dat de sim in de centrale wordt geleverd door het betreffende bedrijf dat de beveiliging regelt en valt dus niet onder het servicecontract van de provider waar we als bedrijf de diensten afnemen... maar dat kan uiteraard verschillen, ik ben alleen op de hoogte van hoe het bij ons is geregeld.

Overigens zal een beetje moderne centrale met regelmaat contact leggen om te controleren of de boel nog online is, al is het dmv een ping van het systeem. Wanneer dus iemand met verkeerde bedoelingen het nummer zou activeren op een andere simkaart dan hoort dit normaal gesproken vrij snel te worden opgemerkt. Maar de ene centrale is uiteraard de andere niet... een alarmsysteem dat blijkbaar al maanden niet actief is geweest lijkt mij overigens sterk, want er gaat sowieso altijd een signaal naar de centrale bij in- en uitschakeling... maar mocht dit echt zijn gebeurd dan wordt het echt hoog tijd om dergelijke zaken eens goed onder de loep te nemen en sowieso het beveiligingsbedrijf een schop onder de kont te verkopen.

[ Voor 42% gewijzigd door MicGlou op 05-07-2017 20:53 ]

[ejabberd]

Bedankt allemaal voor de reacties! Ik zal het doorgeven aan de bevoegde persoon!