Eind oktober 2026 behaalde Damien de tweede plaats in de Social Engineering CTF van het Hackfest in Québec, zijn zevende deelname aan deze competitie. Twintig deelnemers namen het daar op tegen een oefening in informatievergaring en telefonische manipulatie gericht op 28 bedrijven, met dertig minuten om een maximum aan informatie te verkrijgen van echte werknemers.
De eerste stap vond een week voor het Hackfest schriftelijk plaats. De deelnemers moesten een verkenningsrapport invullen met een lange reeks vragen over bedrijven zoals Decathlon, Ikea, Air Canada of Home Depot, bijvoorbeeld over de leverancier voor ongediertebestrijding, het bedrijf dat de automaten beheert of de aanwezigheid van een cafetaria. Elk antwoord moest worden onderbouwd met een open en verifieerbare bron. Damien geeft aan ongeveer 95% van de antwoorden te hebben gevonden, een resultaat dat echter slechts de helft van de beoordeling uitmaakte.
De andere helft werd telefonisch beslist, en het tijdstip van de ronde werd door loting bepaald. Damien kreeg de lunchpauze toegewezen, een moment waarop sommige werknemers slechts vijftien minuten hebben. Desondanks slaagde hij erin de competitie voort te zetten.
Voor deze gesprekken had hij vijf tools voorbereid. Hij noemt onder meer een telefoongids waarmee coördinaten, functies en diensten kunnen worden gekoppeld, een synthesizer van geluidsomgevingen samengesteld uit een vijftigtal MP3-bestanden, en een zelfgebouwde kunstmatige intelligentie, die hij presenteert als een manier om snel reeds verzamelde en geverifieerde contextuele elementen terug te vinden. Volgens hem zijn « de toon, het ritme, de stiltes, de aarzelingen en de reacties van mijn gesprekspartner essentieel », en geen enkele software kan een perfecte lezing van menselijk gedrag garanderen.
Van personage wisselen om de finale te halen
In de finale hadden de deelnemers twintig minuten om informatie te verzamelen met hulp van het publiek, en vervolgens dertig minuten om te bellen. Van de 67 doelstellingen behaalde Damien er 39 rechtstreeks bij zijn gesprekspartners. Om geloofwaardiger over te komen, bouwde hij het personage op van een vakbondsmandataris belast met het afronden van een interne enquête over looneisen, nadat hij tien dagen lang de lokale pers had gelezen.
Hij vertelt dat een supervisor, die drie weken eerder een cybersecuritytraining had gevolgd, een internetadres dat tijdens het gesprek werd voorgesteld, intikte. Zijn rechtvaardiging maakte indruk op de auteur: « Ik heb het getypt omdat de naam van mijn bedrijf erin staat, anders typ ik niets! » Damien benadrukt dat de aanwezigheid van een bedrijfsnaam in een adres niets garandeert.
De wedstrijd omvatte ook een meetmechanisme: de deelnemers waren tijdens hun gesprekken aangesloten op een leugendetector en een hartmonitor. Het hart van een van hen bereikte 155 slagen per minuut.
Tweede plaats en een les over de mens
Damien herinnert zich een uitspraak van de hacker Kevin Mitnick, gehoord tijdens diens bezoek aan Lille: « Weet je, Damien, het moeilijkste is niet om tegen hen te praten, het is om hun ademhaling te horen! »
Tijdens de drie dagen van de competitie belde Damien 43 personen en belde hij ze allemaal terug om de context uit te leggen. Hij geeft aan dat de zin van een deelnemer, « Nou ja, ik ben gepakt! », de ervaring samenvat. Hij vindt dat bewustmaking werknemers met realistische situaties zou moeten confronteren, omdat de echte val kan beginnen met een banale conversatie.
« In cyber intelligence is de meest waardevolle informatie niet altijd degene die een tool ontdekt. Het is soms degene die een mens bereid is te delen, zonder zelfs maar te begrijpen waarom ernaar wordt gevraagd. »
