Kodėl hakeriui eilinis žmogus įdomesnis nei garsenybė: etinio hakerio paaiškinimas

Kiekvieną kartą, kai kalbame apie kibernetinį saugumą, nuskamba tas pats sakinys: kam aš įdomus, aš juk niekas. Paklausiau to paties etinio hakerio Deivido Ambrazevičiaus, kuris už tokias atakas įmonėms gauna pinigus. Jo atsakymas buvo tikslus priešingumas.

„Hakeriam tu esi įdomiausias. Neįdomūs tie didieji žmonės, tie populiariausi, nes jų ir taip informacijos daug."

14:11 laidoje

Logika verslo, ne dramos. Kuo žmogus žinomesnis, tuo greičiau jo vardu atidaryta paskyra bus pastebėta ir užblokuota. Nežinomo žmogaus tapatybe galima naudotis ilgai ir ramiai, nes niekas jos netikrina ir niekam ji nerūpi.

Tai reiškia, kad populiarumas veikia kaip apsauga, o anonimiškumas, kurį laikome saugumu, iš tikrųjų yra patogumas užpuolikui.

Kiek kainuoja jūsų duomenys

Antras dalykas, kuris pokalbyje mane sustabdė, buvo kaina. Ambrazevičius sako, kad tikslinė vieno žmogaus informacija juodojoje rinkoje kainuoja nuo 50 iki 500 dolerių. Bet didmena atrodo visai kitaip.

„Nuo 5 eurų už visą duomenų bazę. 5 eurai už visą duomenų bazę už milijono žmonių duomenų."

42:32 laidoje

Penki eurai už milijoną žmonių. Tai maždaug kavos kaina, ir būtent ši aritmetika paaiškina, kodėl skambučiai iš netikrų bankų ir laiškai apie neapmokėtą siuntą ateina kasdien. Siuntėjui jie nieko nekainuoja, todėl jam nereikia, kad pavyktų dažnai. Užtenka, kad pavyktų kartais.

Ambrazevičius priduria, kad dalis įmonių duomenų, įskaitant buhalteriją ir sąskaitas, dalijama net nemokamai. Šviežiausi nutekinimai kainuoja daugiau, o metų senumo bazės keliauja beveik dovanai.

Skaičius, kuris rodo, kad žmogus yra silpniausia grandis

Įdomiausias laidos epizodas buvo apie tikrą simuliaciją įmonėje, kurios vadovai iš anksto sakė, kad pas juos darbuotojai viską žino ir nuorodų neatidarinėja.

„Rezultatas toks, kad atidarė 85 procentai žmonių nuorodą, o suvedė slaptažodį iš tų 85 dar 75 procentai."

22:19 laidoje

Kad būtų aišku, kiek tai daug, verta žinoti Ambrazevičiaus ribą. Jo vertinimu, jeigu nuorodą atidaro daugiau nei 10 procentų darbuotojų, situacija jau kritiška. Čia atidarė aštuonis kartus daugiau.

Ir tai buvo įmonė, kuri savimi pasitikėjo. Tas pasitikėjimas man ir yra įdomiausia dalis: klaidos ne mažėja nuo to, kad žmonės apie ją girdėjo. Skemo laiškas veikia ne per neišmanymą, o per tris paprastus dalykus, kuriuos hakeris vardija be dvejonių: skubinimą, baimę ir smalsumą.

Kur dingsta dviejų veiksnių apsauga

Vieną dalyką pokalbyje išgirdau pirmą kartą ir jis mane rimtai nustebino. Įprastai raminame save tuo, kad turime dviejų veiksnių patvirtinimą, tad net pavogtas slaptažodis nieko neduos.

Ambrazevičius paaiškina, kad tai apeinama per pavogtą sesiją. Užpuolikui nereikia nei slaptažodžio, nei kodo, jeigu jis gauna jau prisijungusios naršyklės sesiją. Sistemai atrodo, kad tai tu, nes prisijungimas jau įvyko.

Iš tos pačios dalies yra ir detalė apie įrenginius. Ambrazevičius parodė iš pažiūros visiškai įprastą USB-C laidą, kurio viename galiuke įtaisytas mini kompiuteris su belaidžiu ryšiu. Toks laidas atrodo lygiai kaip tas, kurį pameta kolega prie stalo.

Kaip renkama informacija apie eilinį žmogų

Kad pirmas teiginys neliktų abstraktus, verta žinoti, kaip praktiškai atrodo pasiruošimas atakai. Ambrazevičius tai vadina OSINT, tai yra informacijos rinkimu iš viešų šaltinių. Jokio laužimo: paieškos sistema, socialiniai tinklai ir net kažkada įkelti PDF failai, kuriuose lieka autoriaus vardas ir įstaigos pavadinimas.

Iš tų nuotrupų sudėliojamas žmogus, kuriuo paskui galima manipuliuoti, nes laiškas, kuriame minimas tavo darbdavys ir vardu vadinamas kolega, atrodo tikras.

Prie to prisideda dirbtinis intelektas, kurį jis vadina didžiausia šių metų grėsme. Kaip pavyzdį rodė, kaip įrankiai per maždaug 30 sekundžių sukuria netikras nuogas nuotraukas, tinkamas šantažui. Ten pat jis mini, kad socialinio tinklo paskyros užblokavimą galima tiesiog užsakyti nuo 120 dolerių. Nė vienam iš šių dalykų nereikia, kad būtum žinomas.

Ką man tai pakeitė

Iš laidos išėjau su viena mintimi, kuri nėra techninė. Visą laiką galvojame apie apsaugą kaip apie tvirtovę: stiprus slaptažodis, antivirusinė, dviejų veiksnių patvirtinimas. O visos šios istorijos yra apie tai, kad į vidų įeinama ne per sieną, o per duris, kurias atidaro pats žmogus.

Ir dar viena vieta, kur pagavau save. Kalbėdami apie viešą informaciją supratau, kiek daug apie mane galima surinkti vien iš to, ką pats paskelbiau. Ne iš nulaužtų sistemų, o iš įrašų, nuotraukų ir dokumentų, kuriuos kažkada įkėliau.

Ką su tuo daryti

Praktiškai iš pokalbio lieka trys dalykai, ir nė vienas nekainuoja. Pakeisti gamyklinį maršrutizatoriaus slaptažodį. Atskirti svečių tinklą nuo darbo tinklo. Ir nejungti į kompiuterį laidų bei atmintukų, kurių kilmės nežinote.

O svarbiausias filtras yra ne techninis. Jeigu laiškas ar žinutė skubina, gąsdina arba žada kažką smalsaus, tai jau yra požymis. Ne todėl, kad tai visada apgaulė, o todėl, kad būtent šiuos tris jausmus renkasi tas, kuris rašo apgaulę.

Visas pokalbis su Deividu Ambrazevičiumi: https://tapkgeresniu.lt/laida/fASbs7FyDFQ