Czasy się zmieniły i Pan DarkSide musiał się dostosować do nowych reguł gry. Stwierdził, że najłatwiej można zarobić jako haker. W tym celu stworzył grupę hakerską Gang DarkSide i w 2021 r. zablokował rurociąg Colonial Pipeline w USA. Ropa przestała płynąć. Paraliż wschodniego wybrzeża stał się faktem.
Jak to się stało? Przyczyną tego był szyfrujący dane ransomware wprowadzony do systemu. Operator rurociągu zapłacił 4 mln USD za odblokowanie systemu.
Co do tego doprowadziło? Przyczyn nie znamy dokładnie, ale są pewne mity, z którymi powinniśmy walczyć regularnie.
Mit nr 1. Wirusy i inne szkodliwe oprogramowanie (malware) atakują tylko komputery i laptopy
Wirusy i inne szkodliwe oprogramowanie atakuje nie tylko komputery i laptopy. Atakują również telefony komórkowe oraz inne urządzenia. Należy też zwrócić uwagę, że wirusy i inne szkodliwe oprogramowanie nie atakują wyłącznie komputerów z systemem Windows. Atakują również sprzęt Apple czy sprzęt z systemem Linux.
Oczywiście statystyka jest nieubłagana i hakerzy częściej i chętniej atakują komputery z systemem Windows oraz telefony z systemem Android. Atakują, bo mają oni najwięcej użytkowników. Wirusy atakują także sprzęt IoT (urządzenia podłączone i porozumiewające się przez Internet). IoT jest często praktycznie niezabezpieczony.
Mit nr 2. Mam system cyberbezpieczeństwa! Jestem bezpieczny!
Prawidłowo to hasło powinno brzmieć: „Jestem bezpieczniejszy!” Nigdy nie jesteśmy bezpieczni na 100 proc., nawet mając wsparcie super komandosów IT. Każdy system da się obejść i każdy system ma luki. To kwestia środków. Nawet najlepiej ustawiony i skonstruowany system IT nie jest odporny na wszystkie ataki. Oczywiście korzystając ze sprawdzonych narzędzi, wsparcia ekspertów istotnie ograniczamy ryzyko incydentu. Niemniej nigdy nie możemy wyłączać myślenia. Bo człowiek to najsłabsze ogniowo systemu podatne na ataki socjotechniczne.
Mit nr 3. Darmowy antywirus to wszystko, czego nam potrzeba!
Darmowy antywirus to zawsze „coś”. Zwłaszcza że Windows Defender dostarczany w ramach Windows 10 i 11 nie ustępuje rozwiązaniom komercyjnym. Poza tym przydałoby się włączyć firewall (zaporę sieciową). Włączyć szyfrowanie dysku.
A może pokusić się o Mobile Device Management? MDM to oprogramowanie, które służy do zdalnego zarządzania urządzeniami mobilnymi. Do namierzania komputera możesz zastosować m.in. takie programy jak Prey (bezpłatny) oraz LoJack (płatny). No i manager haseł, bo ułatwia zarządzanie różnymi hasłami w każdym serwisie.
Mit nr 4. Nikt mnie nie zauważy, bo oni atakują tylko dużych
Hakerzy atakują wszystkich. Nikt nie jest dla nich zbyt mały. Sieć przeczesują automaty tzw. robaki, które szukają dziur w każdym waszym systemie podłączonym do Internetu. Co najgorsze wasze systemy są zwykle tak zaprogramowane, by przedstawiać się i wejść w dyskusję. Dobry robak po takiej rozmowie będzie wiedział, gdzie w systemie znajduje się luka. Jeśli jej nie ma, poszuka nowej ofiary.
Można porównać to do zwykłej rozmowy z nieznajomym. Zwykle nasze dzieci uczymy, aby nie rozmawiały z nieznajomymi. My rozmawiamy, bo wydaje się nam, że umiemy ocenić zagrożenie. Czy jednak nasz program jest dostatecznie sprytny, by dokonać podobnej oceny? My czasem się mylimy. Programy też mogą źle ocenić rozmówcę.
Mit nr 5. Podglądają mnie przez kamerę
To ulubiony mit Mikołaja. Po co ktoś miałby podglądać was przez wbudowaną kamerkę w komputerze, jeśli w tym samym czasie może poznać wasze hasła i kody do bankowości, treści wiadomości i wszystko co robicie na komputerze. Wyobrażasz sobie, jaka to jest moc, gdy ma się pełny dostęp do twojego komputera. Komu by się chciało w takiej sytuacji podglądać Cię przez kamerkę?
Mit nr 6. Trzeba mieć super umiejętności, by hakować
Obecnie hakowanie to usługa. De facto to nowa gałąź przemysłu. Za kilka złotych możesz kupić usługę i wskazać obiekt swojego zainteresowania. Wskazujesz cel, a oprogramowanie przeprowadzi atak np. zwiększający ruch na stronie (DDoS) lub blokujący stronę. W ramach usługi ktoś przeprowadzi atak na wybraną przez ciebie osobę lub firmę. Wymagana jest tylko umiejętność zakupu bitcoin, by zapłacić za taką usługę.
Jednocześnie w Internecie można znaleźć poradniki i oprogramowanie (darmowe lub płatne) jak samemu dokonać jakiegoś ataku hakerskiego.
Mit nr 7. Bezpieczeństwo to bardzo wysokie koszty, na które stać tylko największych
Bezpieczeństwo to przede wszystkim szkolenia z wiedzy i ćwiczenia z zachowań. Oczywiście można i trzeba zabezpieczać dane. Ważne, by nie chodzić na skróty. W Internecie znajdziemy dużo darmowego oprogramowania. Warto sprawdzić. Niemniej trzeba zainwestować czas. A czas to pieniądz, czyli koszt. Darmowe programy wymagają często więcej konfiguracji. Jednocześnie płatne oprogramowanie można już kupić za stosunkowo nieduże pieniądze.
Mit nr 8. Uwierzytelnianie wieloskładnikowe uniemożliwia wykorzystywaniu skradzionych danych
Uwierzytelnianie wieloskładnikowe bardzo pomaga zabezpieczyć dane i bardzo zachęcamy do włączenia dodatkowego potwierdzenia tożsamości osoby logującej. Jeśli w danej chwili nie logujesz się, to oczywiście nie potwierdzasz kodu. Nic się nie dzieje. Niemniej znane są przypadki przełamania identyfikującego nas kodu. Bezpieczne w tym wypadku wydają się aplikacje typu Microsoft lub Google Authenticator. A jeszcze lepszy pod kątem zabezpieczenia informacji jest klucz 2FA.
Mit nr 9. Cyberbezpieczeństwo musi być uciążliwe
Bezpieczeństwo nie jest łatwe. Bezpieczeństwo jest wymagające. To jednak kwestia przyzwyczajenia i wyrobienia odpowiednich nawyków. Trzeba dokonać wyboru: czy bezpiecznie, czy łatwo. Kwestia doświadczenia zespołu lub konsultantów.
Mit nr 10. U nas nic się nie stanie
To ulubiony mit Pawła. Każdy przedsiębiorca był, jest i będzie celem ataków hakerskich. Pytanie nie brzmi czy dojdzie do naruszenia cyberbepieczeństwa, tylko kiedy i jakie poniesiemy straty. Dobrze wdrożony system cyberbezpieczeństwa pozwoli opóźnić ten moment, a przede wszystkim zminimalizować straty i koszty.
Ciekawe, którą drogę Pan DarkSide wybrał, by dostać się do systemu Colonial. Nie ma to większego znaczenia – wybrał drogę skuteczną. Dzięki tej akcji pan DarkSide otrzymał to, czego potrzebował, by przedostać się przez Styks, czyli 4 mln USD. Starczy, by kupić jednego obola dla Charona?
Jeśli masz pytania, zapraszamy do kontaktu. W następnych artykułach będziemy kontynuować temat cyberbezpieczeństwa w małych i średnich przedsiębiorstwach.
r. pr. Mikołaj Otmianowski – Wiceprezes Zarządu DAPR sp. z o.o.
r. pr. Paweł Bronisław Ludwiczak – Kancelaria Radcy Prawnego Paweł Ludwiczak
