Qual è l'etica e la legalità di sviluppare e utilizzare uno strumento per acquisire dati sui dipendenti dell'azienda del cliente nei social network come Facebook, Twitter e linkedin. I dati dovrebbero quindi essere utilizzati in un pentimento in attacchi di social engineering.
I dati potrebbero essere acquisiti tramite l'API, o forse il web scraping.
La legalità dipende dalle leggi locali che cambieranno e saranno soggette a interpretazione. Meglio consultare un avvocato locale specializzato in questi argomenti. Ad esempio, la legge sulla privacy dei dati nella UE è piuttosto rigida sulla notifica alle persone prima di aggregare i dati su di loro .
Eticamente, è meglio avere il permesso esplicito da parte degli individui di aggregare le proprie informazioni prima di farlo. Nel tuo scenario, probabilmente è meglio dire che il tuo cliente ti concede il permesso di aggregare i dati specifici relativi ai suoi dipendenti ai fini del test di penalità. Affinché il tuo cliente possa autorizzarti in modo etico, avrebbe dovuto in precedenza ottenere esplicitamente il permesso dai suoi dipendenti che includeva la possibilità di consentire a terze parti (come te) di aggregare i dati per questi scopi.
Come tester di penetrazione contrattuale, hai l'obbligo morale di fornire il miglior servizio che puoi fornire entro i limiti della legge locale e del tuo accordo di pre-ingaggio (in questo ordine).
Detto questo, verifica i tuoi fatti e ottieni consulenza legale da professionisti legali e assicurati di discutere la questione con il tuo datore di lavoro . Potrebbero non sentirsi a proprio agio nel perseguire i propri dipendenti in questo modo. Le aziende non sono sempre a proprio agio con l'ingegneria sociale.
Anche se decidi di non farlo per qualsiasi motivo (bussola legale / morale), continua a discutere la questione con il tuo datore di lavoro , assicurati che sappia che stai limitando l'ambito del test per escludere l'ingegnere sociale o queste tattiche di raccolta di informazioni. È importante che restino informati.
Leggi altre domande sui tag social-engineering