Ende Oktober 2026 belegte Damien den zweiten Platz beim Social Engineering CTF des Hackfest in Québec, seine siebte Teilnahme an diesem Wettbewerb. Zwanzig Teilnehmer stellten sich dort einer Übung in Informationsbeschaffung und telefonischer Manipulation mit 28 Unternehmen, wobei sie dreißig Minuten Zeit hatten, um möglichst viele Informationen von echten Mitarbeitern zu erhalten.
- Damien belegt beim Social-Engineering-CTF des Hackfest in Québec den zweiten Platz.
- Er sammelt zuerst schriftlich Informationen und gewinnt dann per Telefon, als Gewerkschafter getarnt, 39 von 67 Zielen.
- Ton, Tempo und Pausen des Gesprächspartners bleiben entscheidend, doch kein Werkzeug garantiert, menschliches Verhalten perfekt zu deuten.
- Ein Firmenname in einer Internetadresse bietet keine Sicherheit, und Mitarbeiter lassen sich leicht täuschen.
Die erste Phase fand schriftlich statt, eine Woche vor dem Hackfest. Die Teilnehmer mussten einen Erkundungsbericht mit einer langen Reihe von Fragen zu Unternehmen wie Decathlon, Ikea, Air Canada oder Home Depot ausfüllen, etwa zum Schädlingsbekämpfungsdienstleister, der Firma, die die Automaten betreibt, oder dem Vorhandensein einer Cafeteria. Jede Antwort musste durch eine offene und überprüfbare Quelle belegt werden. Damien gibt an, etwa 95 % der Antworten gefunden zu haben, ein Ergebnis, das jedoch nur die Hälfte der Bewertung ausmachte.
Die andere Hälfte spielte sich am Telefon ab, und die Uhrzeit für den Anruf wurde ausgelost. Damien traf auf die Mittagspause, einen Zeitpunkt, an dem manche Mitarbeiter nur fünfzehn Minuten Zeit haben. Dennoch gelang es ihm, den Wettbewerb fortzusetzen.
Für diese Gespräche hatte er fünf Werkzeuge vorbereitet. Er nennt unter anderem ein Verzeichnis, das es ermöglicht, Kontaktdaten, Funktionen und Abteilungen zuzuordnen, einen Synthesizer für Hintergrundgeräusche, der aus etwa fünfzig MP3-Dateien besteht, und eine selbst entwickelte künstliche Intelligenz, die er als Mittel bezeichnet, um schnell bereits gesammelte und überprüfte Kontextelemente wiederzufinden. Seiner Meinung nach bleiben « der Ton, das Tempo, die Pausen, die Zögern und die Reaktionen meines Gesprächspartners entscheidend », und keine Software kann garantieren, menschliches Verhalten perfekt zu lesen.
Die Rolle wechseln, um ins Finale zu kommen
Im Finale hatten die Teilnehmer zwanzig Minuten Zeit, um mit Hilfe des Publikums Informationen zusammenzutragen, und dann dreißig Minuten für Telefonate. Von den 67 zu erreichenden Zielen erzielte Damien 39 direkt bei seinen Gesprächspartnern. Um glaubwürdiger zu wirken, baute er die Rolle eines Gewerkschafters auf, der damit beauftragt war, eine interne Umfrage zu Lohnforderungen abzuschließen, nachdem er zehn Tage lang die Lokalpresse gelesen hatte.
Er erzählt, dass ein Vorgesetzter, der drei Wochen zuvor eine Cybersicherheitsschulung besucht hatte, eine während des Anrufs vorgeschlagene Internetadresse eingab. Seine Begründung blieb dem Autor im Gedächtnis: « Ich habe sie eingegeben, weil der Name meines Unternehmens darin vorkommt, sonst gebe ich nichts ein! » Damien betont, dass die Präsenz eines Firmennamens in einer Adresse keinerlei Garantie bietet.
Der Wettbewerb umfasste auch eine Messvorrichtung: Die Teilnehmer waren während ihrer Anrufe mit einem Lügendetektor und einem Herzmonitor verbunden. Das Herz eines von ihnen erreichte 155 Schläge pro Minute.
Zweiter Platz und eine Lektion über den Menschen
Damien erinnert an einen Satz des Hackers Kevin Mitnick, den er bei dessen Auftritt in Lille hörte: « Weißt du, Damien, das Schwierigste ist nicht, mit ihnen zu sprechen, sondern ihre Atmung zu hören! »
Während der drei Wettbewerbstage rief Damien 43 Personen an und rief sie alle zurück, um ihnen den Kontext zu erklären. Er gibt an, dass der Satz eines Teilnehmers, « Na sowas, ich bin reingefallen! », die Erfahrung zusammenfasst. Er ist der Meinung, dass Sensibilisierung die Mitarbeiter mit realistischen Situationen konfrontieren sollte, denn die eigentliche Falle kann mit einem banalen Gespräch beginnen.
« In der Cyber Intelligence ist die wertvollste Information nicht immer die, die ein Werkzeug entdeckt. Manchmal ist es die, die ein Mensch bereit ist zu teilen, ohne überhaupt zu verstehen, warum man danach fragt. »
