Округ выплатил 600 000 долларов пентестерам, которых арестовали за оценку безопасности здания суда

Два специалиста по безопасности, арестованные в 2019 году после проведения санкционированной оценки безопасности здания окружного суда в Айове, получат 600 000 долларов для урегулирования иска, который они подали по обвинению в неправомерном аресте и клевете.

Дело было возбуждено Гэри ДеМеркурио и Джастином Винном, двумя тестировщиками на проникновение, которые в то время работали в охранной фирме Coalfire Labs из Колорадо. У мужчин было письменное разрешение судебной власти Айовы на проведение учений «красной команды», то есть попыток взлома безопасности, имитирующих методы, используемые преступными хакерами или грабителями.

Целью таких учений является проверка устойчивости существующей защиты с использованием типов реальных атак, для отражения которых предназначена защита. Правила участия в этом упражнении прямо допускают «физические нападения», включая «взлом замков», на здания судебных учреждений при условии, что они не причиняют значительного ущерба.

Пугающее сообщение

Мероприятие воодушевило специалистов по безопасности и правоохранительным органам. Несмотря на легитимность работы и юридический контракт, разрешающий ее, ДеМеркурио и Винн были арестованы по обвинению в краже со взломом третьей степени и провели 20 часов в тюрьме, пока не были освобождены под залог в 100 000 долларов (50 000 долларов за каждого). Позднее обвинения были сведены к обвинениям в мелком правонарушении, но даже тогда Чад Леонард, шериф округа Даллас, где располагалось здание суда, продолжал публично заявлять, что эти люди действовали незаконно и должны быть привлечены к ответственности.

Репутационные удары в результате подобных мероприятий могут оказаться фатальными для карьеры специалиста по безопасности. И, конечно же, перспективы попасть в тюрьму за проведение авторизованной оценки безопасности достаточно, чтобы привлечь внимание любого тестера на проникновение, не говоря уже о клиентах, которые их нанимают.

«Этот инцидент не сделал никого более безопасным», — сказал Винн в своем заявлении. «Это стало пугающим сигналом для специалистов по безопасности по всей стране, что помощь [a] выявление реальных уязвимостей может привести к аресту, судебному преследованию и публичному позору. Это подрывает общественную безопасность, а не повышает ее».

Встреча ДеМеркурио и Винн в здании суда округа Даллас 11 сентября 2019 года была обычной. Вскоре после полуночи, обнаружив боковую дверь здания суда незапертой, мужчины закрыли ее и оставили запираться. Затем они просунули импровизированный инструмент в щель в двери и активировали запорный механизм. Проникнув внутрь, пентестеры включили сигнал тревоги, оповещающий власти.