V prvem delu intervjuja (Kibernetsko obveščanje: pozabite na mladce v kapucah! (1.del)) je Dave Gill, vodja partnerskega kanala za regijo EMEA v p odjetju KELA, razkril osvetlil načine delovanja kriminalcev, ki delujejo v kibernetskem prostoru. Spoznali smo, da ne gre za osamljene volkove temveč dobro organizirane družbe, ki delujejo kot podjetja na zrelih trgih. V drugem delu govori o načinu ustvarjanja vrednosti z uporabo kibernetskega kriminala in zakaj morajo o tem razmišljati organizacije vseh velikosti in dejavnosti.
Je trg kibernetskega kriminala razdeljen na različne ponudnike storitev?
Gre za podoben ekosistem kot v običajnih gospodarskih panogah. Nekateri so zelo spretni pri ustvarjanju zlonamerne programske opreme, drugi so zelo spretni pri ustvarjanju izsiljevalske programske opreme, tretji imajo druge spretnosti, recimo v prodaji začetnega dostopa. Imamo še druge ljudi, tiste, ki v vaš prenosni računalnik namestijo začetno napravo za krajo informacij, da bi zaklenili vašo e-banko ali portal podjetja. Vse te poverilnice odnesejo v nadzorni center, ta pa jih nato prodaja na avtomatiziranih trgih, kot je ruska tržnica ali tržnica Genesis, ki so jo sicer pred nekaj meseci zaprli. Vsi zainteresirani kupci preprosto dostopajo do teh avtomatiziranih tržnic, tako kot vi na Amazonu. Opravijo lepo malo hitro iskanje, najdejo podjetje, ki jih zanima, vidijo, da lahko kupijo dostop SSO ali karkoli želijo, vidijo, da se prodaja za 6 ali 10 dolarjev in ga kupijo. Nato se samo še prijavijo. Ko namreč kupite te poverilnice na tržnici, ne dobite le uporabniškega imena in gesla, temveč tudi vse informacije o brskalniku in piškotkih, ki vam omogočajo, da posnemate računalnik končnega uporabnika.
Če torej na poti do velikega dogodka z odkupnino najdejo priložnost, da na hitro vdrejo v manjše podjetje s slabšo varnostjo in poberejo nekaj denarja, bodo to tudi storili.
Ko govorimo o hekerjih, si jih predstavljamo kot zelo talentirane strokovnjake, ki s svojim znanjem vdirajo v računalniške sisteme. Po tem kar ste povedali, se lahko kibernetskega kriminala loti že vsak, ki ima nekaj računalniškega znanja. Je sploh še treba biti heker, da izvajaš kibernetski kriminal?
Ko govorimo o kibernetskem kriminalu, ljudje največ govorijo o vdiranju. Trdim, da se ne dogaja veliko vdorov. Ni vam treba biti strokovnjak. Vse, kar morate storiti je, da obiščete te avtomatizirane trgovine in kupite poverilnice, ki jih potrebujete, nato pa jih uporabite za vstop v spletno pošto neke družbe, nato v njen sistem in se začnete gibati po omrežju. Za pičlih 6 dolarjev dobite določene pravice in privilegije ter dostope in z njimi ustvarite novo vrednost, saj lahko zdaj prodate dostop RDP do omrežja za 3.000 dolarjev ali izvedete izsiljevanje, ki bi vam morda prineslo odkupnino v višini 200.000 ali milijon dolarjev. Tako deluje celoten postopek.
Ko se pogovarjam s podjetji pa tudi različnimi podjetniškimi združenji v Sloveniji ugotavljam, da je ogromno žrtev med majhnimi in srednjimi podjetji. Tam pa odkupnine niso tako šokantno visoke, čeprav v resnici podjetja enako prizadenejo.
Mislim, da je ključno razumeti, da so kibernetski kriminalci oportunistični. Čeprav je lahko njihova ciljna žrtev ameriško podjetje s 60 milijoni dolarjev in je povprečni znesek odkupnine približno tri milijone in pol dolarjev, smo opazili, da so kibernetski kriminalci v resnici oportunistični. Gre namreč za posel in kot vsako podjetje, se ne morete zanašati samo na en ali dva posla na leto. Treba je ohraniti prižgane luči. Če torej na poti do velikega dogodka z odkupnino najdejo priložnost, da na hitro vdrejo v manjše podjetje s slabšo varnostjo in poberejo nekaj denarja, bodo to tudi storili. Pri napadih, povezanih s hekersko skupino CONTI, so odkupnine znašale 10.000, 15.000 dolarjev – ker so oportunistični. Podobno kot bančni ropar, ki gre po cesti, da bi oropal veliko banko. Če na poti vidi odprto okno, na katerem je na okenski polici 100 evrov, bo stegnil roko in jih vzel. Ker je to denar, ker je to enostavno in ker je tveganje majhno.
Za medije takšni primeri niso privlačni, tudi ogromno lastnikov in menedžerjev v manjših in srednjih podjetjih se ne čuti ogrožene. Enostavno je informacij o teh dogodkih premalo, da bi se poslovneži zavedali izpostavljenosti.
Vsekakor, zato je zelo pomembno, da razumemo ta proces. Ko na primer pogledam zadnje žrtve izsiljevalske programske opreme v Evropi, vidim, da se v novicah in na naslovnicah pojavljajo samo velika podjetja. Ko sem ravno včeraj pregledal svoje podatkovno jezero, sem videl šole, fakultete, dobrodelne organizacije, zdravstvo, zelo običajna podjetja: proizvajalca vodovodne opreme, izdelkov iz plastike, oddelek za trženje, preprosto zelo, zelo običajna podjetja. Če bi se z njimi pogovarjal o nevarnostih kibernetskega kriminala in o potrebi po obveščevalnih podatkih, bi rekli, saj smo majhno podjetje, to nas ne zanima, komu je sploh mar za nas. A v resnici kriminalcem je mar za njih, ker so oportunistični. Ne morem dovolj poudariti: želijo si velikih ameriških podjetij z velikim prometom, toda če obstaja organizacija v Sloveniji ali kjer koli drugje in je to najlepša priložnost, jo bodo izkoristili. Zato je edini način, da razumete, da kriminalci vaše podjetje obravnavajo kot verodostojno priložnost in da poskušate nase gledati z enako optiko kot kibernetski kriminalci.
Kibernetski kriminal deluje torej precej drugače, kot si predstavlja navaden smrtnik. Kaj je še lahko korist sodelovanja s kibernetskimi obveščevalnimi podjetji?
V Keli na primer nastopamo v istih okoljih, kjer delujejo kibernetski kriminalci, spremljamo avtomatizirane trgovine in težko dostopne forume. V bistvu sedimo kriminalcem za vratom in strankam omogočamo, da razumejo svojo vlogo v tem procesu. Recimo, ali ste vedeli, da je bilo 300 vaših korporativnih e-poštnih naslovov izpostavljenih pri vdoru v podatke tretje osebe, ko je nekdo uporabil svoj službeni e-poštni naslov ob prijavi v MyFitnessPal ali Facebook ali LinkedIn, nato pa je ta organizacija dobila na grbo vdor in je nekdo vse te poverilnice objavil v enem od njihovih forumov ali kanalov na Telegramu. To je vsekakor zelo pomembno, saj včasih te zbirke podatkov oziroma uhajanja podatkov vključujejo pare e-poštnih naslovov in gesel. Pogosto so shranjeni kar v navadni besedilni datoteki. Tako lahko nekatera od teh gesel vidite kot navadno besedilo, pogosto pa vključujejo tudi druge osebne podatke.
Ne morem dovolj poudariti: želijo si velikih ameriških podjetij z velikim prometom, toda če obstaja organizacija v Sloveniji ali kjer koli drugje in je to najlepša priložnost, jo bodo izkoristili.
Kakšne osebne podatke imajo na voljo?
Ti podatki vključujejo recimo domače naslove, datum rojstva, spol, morda celo podatke o kreditnih karticah, podatke o vaši službi, podatke o potovanjih. Vendar tudi če z razkritim e-poštnim naslovom ni povezano geslo, ga lahko kriminalci še vedno uporabijo za precej izpopolnjene napade z ribarjenjem. Lahko vam pošljejo e-poštno sporočilo z besedami: »Hej, Jakob, iz verige Marriott se vam zahvaljujemo za vaše bivanje v hotelu Sheraton v New Yorku. Ker ste prejšnji teden bivali pri nas, ste zdaj osvojili počitnice za štiri osebe. Za pridobitev nagrade kliknite tukaj v naslednjih 25 minutah.« In ker ste se pravkar vrnili iz hotela Courtyard v New Yorku, boste morda kliknili na to povezavo, ker ne prihaja od vašega nigerijskega strica, ki se želi znebiti 3 milijard dolarjev. Ta poteza je torej veliko bolj skrbno premišljena. Zato je zelo pomembno, da ljudje, ki uporabljajo službeno e-pošto, spremljajo kršitve tretjih oseb.
Izpostavili ste pravzaprav, da ni problem samo to, kaj lahko kibernetski kriminalci dobijo pri nas, v našem podjetju, ampak so problematični tudi naši podatki, shranjeni v drugih podjetjih.
Druga stvar, na katero morajo biti organizacije resnično pozorne je, ali se na avtomatiziranih trgih ponujajo v prodajo občutljivi podatki o portalih podjetij? Na primer ruska tržnica, trg Genesis, Aggressor in podobno. Če namreč nekdo lahko kupi dostop do mojega VPN ali mojega enotnega prijavnega sistema ali katerega koli portala za nekaj dolarjev, kot sem rekel, se lahko prijavi, dobi vse poverilnice iz brskalnika in informacije o seji ter lahko kupi Cosmo za dvofaktorsko avtentikacijo. In zdaj je v mojem omrežju. To je še posebej pomembno, ko govorimo o stvareh, kot je spletna pošta.
Ker še enkrat, če jim uspe nekaj najti, morda elektronsko pošto finančnega direktorja ali če lahko kupijo dostop do njegove službene elektronske pošte za šest ali sedem dolarjev, je naprej delo precej enostavno. Če sem zaposlenec in dobim elektronsko sporočilo iz finančnega oddelka, v katerem piše, spoštovani Dave, ta mesec je prišlo do napake pri izplačilu plač, prosimo, da v naslednjih dveh urah hitro potrdiš svoje bančne podatke, sicer boš zamudil izplačilo, bom morda na to reagiral – ker je to interno elektronsko sporočilo mojega finančnega oddelka in moram dobiti plačo, saj imam hipoteke in račune, ki gredo v plačilo jutri. Zato je ta stvar res pomembna, da ste pozorni nanjo. Torej morate biti zelo pozorni in dovolj ozaveščeni.
Nadaljevanje: Kibernetsko obveščanje: osnova za načrtovanje kibernetske varnosti in ukrepov (3.del)
