W poprzednim wpisie serii poznaliśmy dwa wydarzenia, które ukształtowały branżę cyberbezpieczeństwa: wirusa Brain i robaka Morris. Tym razem przyjrzymy się kolejnym przełomowym incydentom oraz uporządkujemy najważniejszą terminologię, którą powinna znać każda osoba odpowiedzialna za bezpieczeństwo w organizacji — także w NGO.
ILOVEYOU — atak, który narodził socjotechnikę na masową skalę
W maju 2000 roku Onel de Guzman, wówczas student informatyki na Filipinach, rozesłał złośliwe oprogramowanie znane jako ILOVEYOU (lub Love Letter). Wiadomość e-mail z tematem „ILOVEYOU" zawierała załącznik podszywający się pod zwykły plik tekstowy. W rzeczywistości był to skrypt, który po otwarciu nadpisywał pliki na dysku, a następnie automatycznie rozsyłał się do wszystkich kontaktów z książki adresowej ofiary.
Skuteczność ataku wynikała z prostego mechanizmu: odbiorca widział, że wiadomość przyszła od znajomej osoby, więc nie miał powodu jej nie ufać. To właśnie dlatego ILOVEYOU uznaje się za jeden z pierwszych ataków, który na taką skalę wykorzystał socjotechnikę, czyli manipulację ludzkim zaufaniem, a nie tylko lukę techniczną.
Skala zniszczeń była ogromna. W ciągu kilku dni robak zainfekował dziesiątki milionów komputerów na całym świecie — szacunki mówią o 45–50 milionach zainfekowanych maszyn, co odpowiadało około 10% wszystkich komputerów podłączonych wtedy do internetu. Straty finansowe szacuje się na kilka do kilkunastu miliardów dolarów, licząc koszty przestojów i usuwania złośliwego kodu. Systemy pocztowe musiały wyłączyć m.in. Pentagon, CIA i brytyjski parlament. Co ciekawe, twórca ataku nie został skazany — w tamtym czasie Filipiny nie miały przepisów penalizujących tworzenie złośliwego oprogramowania.
Equifax — kiedy zaniedbanie kosztuje setki milionów dolarów
Drugi przełomowy incydent to wyciek danych z amerykańskiej agencji ratingowej Equifax w 2017 roku. Napastnicy wykorzystali znaną, niezałataną lukę w jednym z systemów firmy i uzyskali dostęp do danych około 147 milionów klientów — czyli mniej więcej 40% dorosłych mieszkańców USA. Skradzione informacje obejmowały numery ubezpieczenia społecznego, daty urodzenia, adresy zamieszkania, a w części przypadków także numery kart płatniczych.
Najważniejsza lekcja z tego incydentu nie dotyczy samego ataku, tylko tego, co go poprzedziło. Luka była znana firmie z wyprzedzeniem, ale nie została załatana w wymaganym czasie — mimo że wewnętrzne procedury bezpieczeństwa Equifax wymagały naprawy krytycznych podatności w ciągu 48 godzin od zgłoszenia. W efekcie napastnicy mieli dostęp do sieci firmy przez kilka miesięcy. Konsekwencje finansowe były dotkliwe: w ramach ugody z amerykańskimi regulatorami (FTC, CFPB) oraz stanami Equifax zobowiązał się zapłacić co najmniej 575 milionów dolarów, z możliwością zwiększenia tej kwoty do 700 milionów, a osobno firma zgodziła się na ugodę klasową z konsumentami na kwotę 1,4 miliarda dolarów.
Ten przypadek pokazuje coś, co dotyczy każdej organizacji, niezależnie od jej wielkości: znana, ale niezałatana luka to nie tylko ryzyko techniczne, lecz też realne ryzyko finansowe i reputacyjne.
Phishing — najczęstsza brama ataku
Phishing to wykorzystanie komunikacji cyfrowej do nakłonienia użytkownika, by ujawnił poufne dane albo zainstalował złośliwe oprogramowanie. To dziś jeden z najczęstszych wektorów ataku, ponieważ nie wymaga łamania zabezpieczeń technicznych — wystarczy, że jedna osoba w organizacji da się oszukać.
Wyróżnia się kilka głównych odmian phishingu:
- Spear phishing — atak wymierzony w konkretną osobę lub grupę osób, skonstruowany tak, by wyglądał na wiadomość od zaufanego źródła.
- Whaling — odmiana spear phishingu wymierzona w kadrę zarządzającą organizacją, mająca na celu uzyskanie dostępu do szczególnie wrażliwych danych.
- Business email compromise (BEC) — atak, w którym sprawca podszywa się pod znane źródło (np. przełożonego lub kontrahenta), by uzyskać korzyść finansową.
- Vishing — wykorzystanie komunikacji głosowej do wyłudzenia informacji lub podszycia się pod zaufane źródło.
- Smishing — ten sam mechanizm, ale realizowany przez wiadomości SMS.
Malware — rodzaje złośliwego oprogramowania
Malware to oprogramowanie zaprojektowane w celu uszkodzenia urządzeń lub sieci. Najczęściej spotykane kategorie to:
- Wirus — kod, który modyfikuje inne programy, wstawiając w nie własny kod, co prowadzi do uszkodzenia lub zniszczenia danych. Wirus wymaga działania użytkownika (np. otwarcia załącznika), żeby się aktywować.
- Robak (worm) — złośliwe oprogramowanie zdolne do samodzielnego powielania się i rozprzestrzeniania w sieci, bez potrzeby ingerencji użytkownika.
- Ransomware — atak, w którym sprawca szyfruje dane organizacji i żąda okupu za przywrócenie do nich dostępu.
- Spyware (oprogramowanie szpiegujące) — instalowane bez zgody użytkownika, służy do zbierania i sprzedawania jego danych, np. prywatnej korespondencji czy lokalizacji.
Socjotechnika — dlaczego działa tak skutecznie
Socjotechnika (social engineering) to technika manipulacji wykorzystująca ludzki błąd w celu uzyskania nieautoryzowanego dostępu do danych, systemów lub wartościowych zasobów. W przeciwieństwie do ataków czysto technicznych, nie wymaga łamania zabezpieczeń — wystarczy skłonić człowieka, by sam otworzył drzwi.
Najczęstsze formy socjotechniki to:
- Phishing w mediach społecznościowych — sprawca zbiera szczegółowe informacje o celu na podstawie jego aktywności w social media, a następnie wykorzystuje je do przeprowadzenia ataku.
- Atak typu watering hole — sprawca infekuje stronę internetową, którą regularnie odwiedza określona grupa osób, licząc na to, że to właśnie tam padną ofiarą.
- USB baiting — sprawca celowo pozostawia zainfekowany nośnik USB w miejscu, gdzie może go znaleźć pracownik, licząc na to, że ten podłączy go do firmowego komputera.
- Fizyczna socjotechnika — sprawca podszywa się pod pracownika, klienta lub dostawcę, by uzyskać nieautoryzowany dostęp do fizycznej lokalizacji.
Skuteczność socjotechniki opiera się na kilku mechanizmach psychologicznych, które sprawiają, że ludzie działają szybciej i mniej krytycznie, niż powinni: powoływanie się na autorytet, wywoływanie poczucia pilności, sugerowanie ograniczonej dostępności czegoś (niedobór), budowanie fałszywej więzi lub zaufania oraz odwoływanie się do tego, co „inni już zrobili" (społeczny dowód słuszności).
Dlaczego to ważne dla organizacji pozarządowych
Fundacje i stowarzyszenia często przetwarzają dane wrażliwe — dane podopiecznych, wolontariuszy, darczyńców — a jednocześnie rzadko dysponują dedykowanym działem bezpieczeństwa. To sprawia, że są równie atrakcyjnym celem dla phishingu i socjotechniki jak duże firmy, przy mniejszych zasobach obronnych. Regularne szkolenia zespołu z rozpoznawania podejrzanych wiadomości e-mail, weryfikacja próśb o dane czy przelewy oraz aktualizowanie oprogramowania to najprostsze, a zarazem najskuteczniejsze działania, jakie może wdrożyć każda organizacja.
Słowniczek pojęć
Na koniec zestawienie najważniejszych terminów z tego wpisu, w formie do zapisania na przyszłość.
- Malware — oprogramowanie zaprojektowane w celu uszkodzenia urządzeń lub sieci.
- Wirus — złośliwy program, który modyfikuje inne programy komputerowe, wstawiając w nie własny kod, aby uszkodzić lub zniszczyć dane. Przykład malware.
- Robak (worm) — złośliwe oprogramowanie, które samodzielnie się powiela i rozprzestrzenia w sieci, infekując kolejne komputery. Przykład malware.
- Ransomware — złośliwy atak, w którym sprawcy szyfrują dane organizacji i żądają zapłaty za przywrócenie do nich dostępu. Przykład malware.
- Spyware (oprogramowanie szpiegujące) — złośliwe oprogramowanie zainstalowane na komputerze użytkownika bez jego zgody, wykorzystywane do szpiegowania i wykradania danych. Przykład malware.
- Phishing — wykorzystanie komunikacji cyfrowej w celu nakłonienia ludzi do ujawnienia poufnych danych lub zainstalowania złośliwego oprogramowania.
- Spear phishing — złośliwy atak e-mailowy wymierzony w konkretnego użytkownika lub grupę użytkowników, sprawiający wrażenie, że pochodzi z zaufanego źródła. Przykład phishingu.
- Whaling — odmiana spear phishingu, w której sprawcy atakują kadrę kierowniczą organizacji, by uzyskać dostęp do danych wrażliwych. Przykład phishingu.
- Business email compromise (BEC) — atak, w którym sprawca podszywa się pod znane źródło, by uzyskać korzyść finansową. Przykład phishingu.
- Vishing — wykorzystanie elektronicznej komunikacji głosowej do uzyskania poufnych informacji lub podszycia się pod znane źródło. Przykład phishingu.
- Socjotechnika (social engineering) — technika manipulacji wykorzystująca ludzki błąd w celu uzyskania nieautoryzowanego accessu do poufnych, prywatnych lub wartościowych danych.
- Phishing w mediach społecznościowych — atak, w którym sprawca zbiera szczegółowe informacje o celu na podstawie jego aktywności w serwisach społecznościowych przed przeprowadzeniem ataku. Przykład socjotechniki.
- Atak typu watering hole — atak, w którym sprawca infekuje stronę internetową regularnie odwiedzaną przez określoną grupę użytkowników. Przykład socjotechniki.
- USB baiting — atak, w którym sprawca strategicznie pozostawia zainfekowany nośnik USB, licząc, że pracownik go znajdzie i nieświadomie zainfekuje sieć organizacji. Przykład socjotechniki.
- Fizyczna socjotechnika — atak, w którym sprawca podszywa się pod pracownika, klienta lub dostawcę, by uzyskać nieautoryzowany dostęp do fizycznej lokalizacji. Przykład socjotechniki.