Kibernetinio saugumo ekspertas: programišiams nebereikia nusitaikyti į konkrečią įmonę – pakanka rasti jos silpną vietą
Kibernetinė ataka vis dar dažnai siejama su šnipinėjimu – tikslingai pasirinkta organizacija, ilgai planuotu įsilaužimu ir konkrečios informacijos paieška. Tačiau didžioji dalis šiuolaikinio kibernetinio nusikalstamumo veikia gerokai pragmatiškiau. Pavogti prisijungimai, aktyvios sesijos, asmens duomenys ar prieiga prie bendrovės sistemų turi savo kainą, o aplink jų prekybą jau susiformavo atskira nusikalstama rinka.
Tai keičia ir pačios atakos logiką. Tam, kas gauna prieigą prie svetimos sistemos, nebūtinai reikia ją išnaudoti pačiam. Jis gali nežinoti, ar vėliau bus perimtas elektroninis paštas, nukreiptas mokėjimas, pavogta klientų duomenų bazė ar pareikalauta išpirkos. Jeigu gautą prieigą galima parduoti, finansinis tikslas jau pasiektas.
Šią kryptį rodo ir „Microsoft“ saugumo specialistų duomenys. Praėjusiais metais duomenų rinkimas fiksuotas beveik 80 proc. jų tirtų kibernetinių incidentų, o tarp atakų, kurių motyvą pavyko nustatyti, vien šnipinėjimas sudarė vos 4 procentus. Įsilaužti vis dažniau verta ne todėl, kad domina konkreti paslaptis, o todėl, kad tai, ką pavyks gauti, gali turėti finansinę vertę.
Pavogti prisijungimai jau turi savo kainą
Ši prekyba vyksta ne tik uždaruose kibernetinių nusikaltėlių forumuose. Nutekintais prisijungimais ir aktyviomis sesijomis dalijamasi „Telegram“, „Discord“ kanaluose, veikia ir specializuotos prekyvietės, kuriose pavogta prieiga parduodama kaip prekė.
Jos vertė gali skirtis labai smarkiai. Paprasti nutekinti prisijungimai ar aktyvios sesijos kartais platinami nemokamai arba kainuoja vos kelis eurus. Tuo metu prieiga prie didelės bendrovės sistemų, ypač suteikianti plačias teises, gali kainuoti nuo kelių iki keliasdešimties tūkstančių eurų.
Ypač vertinga administratoriaus prieiga, leidžianti sistemoje veikti su aukščiausiomis teisėmis. Ir jai gauti ne visada prireikia sudėtingo įsilaužimo. Savo praktikoje vis dar susiduriame su atvejais, kai administratoriaus paskyrose veikia numatytieji prisijungimo duomenys, pavyzdžiui, „admin“, nes įdiegus sistemą jie taip ir nebuvo pakeisti.
Techninis gebėjimas patekti į sistemą ir gebėjimas iš to uždirbti taip pat nebeturi būti vienose rankose. Veikia vadinamasis „Ransomware as a Service“ (RaaS) modelis, kai išpirkos reikalaujančių atakų grupuotės suteikia infrastruktūrą ir įrankius, o kitas nusikaltėlis gali ateiti jau turėdamas prieigą prie konkrečios organizacijos. Taip įsilaužimo rezultatu gali pasinaudoti ir tas, kuris pats visos atakos nuo pradžios iki pabaigos atlikti nesugebėtų.
Nusikaltėliui nebūtina iš anksto pasirinkti jūsų
Yra ir kita verslui svarbi šio pokyčio pusė. Vis dar tenka girdėti: „Kodėl kas nors turėtų pulti būtent mus?“ Už šio klausimo slypi įsitikinimas, kad nusikaltėlis pirmiausia išsirenka konkrečią bendrovę ir tada pradeda ieškoti jos silpnų vietų.
Tačiau šiandien nemaža dalis paieškos vyksta priešinga kryptimi. Automatizuotai tikrinamos neatsinaujinusios sistemos, viešai pasiekiamos paslaugos, bandomi anksčiau nutekėję prisijungimai. „Microsoft“ duomenimis, 28 proc. analizuotų pažeidimų prasidėjo nuo fišingo ar kitų bandymų apgauti žmones, 18 proc. – per neatnaujintus interneto išteklius, dar 12 proc. – per viešai prieinamas nuotolines paslaugas.
Tokiu atveju pirmiausia randama galimybė, o ne auka. Tik tada paaiškėja, kam aptikta silpna vieta priklauso ir ką iš jos galima gauti. Bendrovei nebūtina būti garsiai, didelei ar iš anksto kažkam įdomiai, kad ji atsidurtų akiratyje.
Dirbdami su duomenų nutekėjimais tą matome ir Lietuvoje. Iš viešai prieinamos ir anksčiau nutekėjusios informacijos galima susidėlioti gana išsamų bendrovės vaizdą – kas joje dirba, kokias pareigas užima, kokias sistemas naudoja, kokie elektroninio pašto adresai ar prisijungimo duomenys jau buvo patekę į viešumą.
Pavojinga ne viena tokia detalė, o jų kombinacija. Darbuotojo vardas ir pareigos savaime mažai ką reiškia. Tačiau pridėjus informaciją apie jo naudojamą sistemą ar anksčiau nutekėjusius duomenis jau galima sukurti gerokai įtikinamesnę ir konkrečiam gavėjui pritaikytą sukčiavimo schemą.
Įmonės dydis nuo atakos neapsaugo
Manau, būtent čia verslui reikia keisti požiūrį į savo riziką. Ji neprasideda nuo klausimo, ar bendrovė pakankamai didelė, turtinga arba žinoma, kad ją kas nors sąmoningai pasirinktų. Daug svarbiau, ar yra kažkas, kuo galima pasinaudoti.
Su fiziniu saugumu tai suprantame labai gerai. Vagis neprivalo iš anksto domėtis konkretaus biuro istorija, kad pasinaudotų neužrakintomis durimis. Kibernetinėje erdvėje principas panašus, tik potencialių „durų“ galima ieškoti automatizuotai ir milžinišku mastu.
Todėl „mes niekam neįdomūs“ yra pavojingas komfortas. Kibernetiniam nusikaltėliui bendrovė neprivalo būti įdomi pati savaime. Kartais pakanka, kad vertinga būtų tai, ką joje pavyko rasti.
