Jacek Ramotowski, Interia Biznes: Rosja atakuje nas w cyberprzestrzeni? Niedawno ukradli nam 19 mln PESEL-i?
Jakub Bojanowski, konsultant biznesowy ds. cyberbezpieczeństwa, autor książki "Zdążyć przed hakerem" i członek Stowarzyszenia Niezależnych Członków Rad Nadzorczych: - Akurat ostatni duży incydent dotyczący usługi MyDr nie był chyba powiązywany z wątkiem rosyjskim, ale rzeczywiście zagrożenia z kierunku wschodniego dominują w komunikacji na temat cyberbezpieczeństwa ze strony ministra cyfryzacji. Często też słyszymy, że jesteśmy najbardziej atakowanym krajem, ale jednocześnie nikt nie podaje źródła tej informacji. Bez twardych danych ciężko jest rzetelnie potwierdzić, że jesteśmy atakowani bardziej niż na przykład kraje bałtyckie, które od lat stanowią cel rosyjskich służb rządowych i wielokrotnie były ofiarą skutecznych cyberataków, ale nie mogę wykluczyć, że minister dysponuje danymi, które potwierdzają tę tezę. Pewne jest natomiast, że obserwujemy stały wzrost aktywności cyberprzestępców.
To cyberprzestępcy, a nie rosyjskie służby specjalne?
- Na pewno jesteśmy celem cyberataków sponsorowanych rządowo i nie należy tego zagrożenia bagatelizować. Przeciwdziałanie tym zagrożeniom to zadanie dla służb państwowych, ale ciągłe powtarzanie, że "rosyjscy hakerzy sponsorowani przez FSB atakują polską infrastrukturę krytyczną" powoduje - w mojej ocenie pewien problem w postrzeganiu cyberzagrożeń. Przeciętny Kowalski, który prowadzi małą firmę rodzinną albo np. gabinet lekarski, nie czuje się częścią infrastruktury krytycznej, więc nie postrzega siebie jako typowy cel rosyjskich hakerów destabilizujących sytuację w państwie. Tego typu narracja, zamiast podnieść czujność, osłabia ją wśród małych podmiotów, które także są ofiarami cyberprzestępczości. A statystyki światowe pokazują, np. jak podaje firma Verizon, duży operator telekomunikacyjny w raporcie "Data Breach Investigation Report", że takie ataki - nazwijmy je rządowe - rosną, jest ich więcej, ale stanowią zaledwie 13 proc. całości incydentów.
Słowem: przypisywanie wszystkiego Rosji to mitologizacja? Jaki jest tego skutek?
- Skutek jest taki, że zanim nas zaatakują rosyjscy hakerzy, to prawdopodobnie ktoś nas okradnie z pieniędzy, które mamy na rachunku bankowym albo w naszym imieniu zarejestruje jakąś fałszywą transakcję, bo statystyki pokazują, że ok. 90 proc. wszystkich cyberataków jest motywowane finansowo. W związku z tym - choć infrastruktura krytyczna też jest zagrożona - nam najczęściej może się zdarzyć, że ktoś nas po prostu okradnie. Oczywiście, mogą to także robić obce służby specjalne, bo one również się takim procederem zajmują, ale takie prezentowanie cyberzagrożeń uspokaja potencjalne ofiary zamiast podnosić ich czujność. Dla nas, jeśli jesteśmy np. zakładem fryzjerskim, małą firmą rodzinną czy po prostu zwykłym obywatelem utrata środków finansowych to jest najbardziej powszechne zagrożenie w internecie. Atak na naszą cyfrową tożsamość, na nasze konto bankowe, atak na nasz komputer, to są najbardziej podstawowe zagrożenia o których powinniśmy mówić.
Na czym one polegają?
- Oszustwo, szantaż, próba wymuszenia okupu, to najbardziej podstawowe ataki. O tym powinniśmy mówić, żeby podnosić czujność internautów. Trzeba powtarzać, że każdy może być zagrożony, a nie tylko infrastruktura krytyczna, bo wtedy myślimy - ok, to niech się służby państwowe tym zajmą.
Słyszymy też, że jesteśmy najlepiej zabezpieczonym krajem na cyberzagrożenia. Prawda?
- Skoro tak twierdzimy, to wszystko przestaje się spinać. Cyberprzestępcy atakują tam, gdzie mogą być skuteczni, bo robią to w dużej mierze dla pieniędzy. W związku z tym albo jesteśmy najbardziej atakowanym krajem, albo jesteśmy najlepiej zabezpieczonym, ale jedno i drugie razem raczej nie jest możliwe.
No tak, ale nie zaprzeczy pan, że ataków jest coraz więcej i więcej?
- Liczba incydentów kaskadowo rośnie w stosunku do tego, co było obserwowane kilka lat temu, ale też musimy mieć świadomość tego, że metody wykrywania cyberataków się znacznie poprawiają, więcej ich po prostu rejestrujemy. Od kilku lat mamy np. numer alarmowy 8080 do zgłaszania cyberataków (co jest generalnie dobrą inicjatywą) i warto pamiętać, że jego uruchomienie także spowodowało wzrost w statystykach obserwowanych incydentów.
Czy ataki, z którymi mamy do czynienia, powodują konkretne straty gospodarcze?
- Celem hakerów nie jest bankructwo ofiar cyberataków. Hakerom zależy na okradzeniu ofiary, a bankrut nie jest dobrym kandydatem do przelania środków cyberprzestępcy. Straty potrafią być jednak dotkliwe - hakerzy rozumieją kim są ich ofiary i potrafią dostosować swój "apetyt" do ich możliwości. Jako przykład - Raport FBI, oparty na analizie danych dotyczących cyberprzestępczości, szacuje, że globalne straty tylko i wyłącznie z tytułu sfałszowanych faktur wysłanych pocztą elektroniczną (tzw. Business Email Compromise) to ok. 3 mld dolarów rocznie.
Podobno coraz bardziej popularne stają się włamania do systemów, a nieco mniej ataki socjotechniczne?
- Żeby to wyjaśnić, musimy wrócić do pandemii. Wtedy nagle z Internetu z różnych powodów zaczęli korzystać ludzie, którzy wcześniej tego nie robili, choćby dlatego, że zaczęli kupować przez internet bo inaczej się nie dało. I ewidentnie skutkiem pandemii był wzrost ataków opartych na tzw. inżynierii społecznej, czyli naciąganie, phishing, takie, w których cyberprzestępcy potrzebna jest jakaś forma współpracy z (nieświadomym lub świadomym) użytkownikiem. Po pandemii to był absolutnie numer jeden. Hakerom się nie opłacało robić zaawansowanych ataków, bo patrzyli, gdzie można najwięcej zarobić. Metoda wprowadzania ludzi w błąd w sytuacji, w której mieliśmy bazę nieświadomych klientów, była na tyle skuteczna, że nie opłacało się atakować inaczej. Potem przez pewien czas numerem jeden były ataki wykorzystujące luki w aplikacjach. Zgodnie z raportem Verizona teraz numerem jeden są ataki polegające na szukaniu luki w bezpieczeństwie systemu. Natomiast ataki oparte na inżynierii społecznej trzymają się mocno i są cały czas na drugim miejscu. 60 procent udanych cyberataków w jakiejś formie wykorzystuje dane użytkowników - albo do włamania się na ich konto, albo po prostu do uwiarygodnienia informacji podczas ataku socjotechnicznego.
Luki w systemach łatwo wykryć dzięki narzędziom AI, jak to pokazały ostatnio OpenAI czy Anthropic?
- Jestem absolutnie przekonany, że jednym z powodów, dla których luki w systemach w tej chwili zyskują na znaczeniu, jest to, że narzędzia AI pozwalają łatwiej takie luki wykrywać. I liczba incydentów wykorzystujących te luki rośnie.
Skąd wiemy, że przestępcy wykorzystują sztuczną inteligencję?
- Nie ma co do tego wątpliwości, zwłaszcza jeśli widzimy, jakie są możliwości tej technologii. To widać w profilu ataków. Skoro liczba wykrywanych luk rośnie dramatycznie, więc coś się w sposobie wykrywania luk musiało wydarzyć. Najbardziej rozsądnym wytłumaczeniem jest AI.
Potrafimy się przed tym bronić?
- Tak, przed wszystkim stosując podstawowe zasady ochrony, takie jak silne hasła, silne (dwuskładnikowe) uwierzytelnienie - wszystko to, o czym specjaliści trąbią cały czas. Ma to rzeczywiście ogromne znaczenie dla bezpieczeństwa. Przełamanie naszego (zbyt prostego) hasła to najbardziej podstawowa technika ataku. W życiu prywatnym czy małym biznesie o wdrożenie tych rozwiązań musimy zadbać sami, w korporacji jest to zadanie zespołu bezpieczeństwa, który stale powinien doskonalić wdrażane zabezpieczenia, w miarę jak hakerzy stosują coraz nowsze techniki ataku.
- Ważną metodą ochrony przed incydentami jest symulowanie ataków i ustalenia choćby podstawowych zasad postępowania: kto podejmuje decyzje w trakcie kryzysu, jak się komunikujemy, jakie ramy czasowe na działania sobie ustalamy. Zakładanie, że "jakoś to będzie" i wymyślanie scenariusza postępowania dopiero w trakcie incydentu, gdy jesteśmy pod presją ze strony hakerów to recepta na katastrofę. W takich właśnie sytuacjach podejmujemy najgorsze decyzje i na tym między innymi opiera się "inżynieria społeczna"
- W nowoczesnym bezpieczeństwie informatycznym obowiązuje zasada Zero Trust, czyli nie ufam nikomu, więc jeżeli chcemy być bezpieczni, to my powinniśmy założyć, że hakerzy już się do naszego systemu włamali i powinniśmy umieć ich obecność w sieci wykryć i reagować na nią w skoordynowany sposób.
Jak ich rozpoznać?
- Po tym, że systemy zaczynają się dziwnie zachowywać. Powinniśmy przyjąć hipotezę, że to działanie hakerów. Zarządzanie cyberbezpieczeństwem polega między innymi na tym, że my mamy narzędzia, które rejestrują i analizują pracę naszej sieci, patrzą co tam się dzieje, kto naszej sieci używa, w jaki sposób. Nietypowe działania (na przykład to, że drukarka nagle wysyła dane do komputera, a nie odwrotnie) są korelowane ze sobą i po ich wykryciu systemy podnoszą alarm. Do takiego wykrywania anomalii znakomicie nadają się narzędzia AI i były one wykorzystywane, zanim wszyscy usłyszeliśmy o ChatGPT.
Zobacz również:
AI gra lepiej w ofensywie czy w defensywie?
- Mamy do dyspozycji dokładnie te same narzędzia, którymi posługują się przestępcy. Pytanie tylko, kto użyje ich pierwszy. Wykrywanie luk w systemach przy pomocy AI może być stosowane zarówno do ataku jak i do zabezpieczania firmowej sieci. Ale AI może wspierać cyberprzestępców w różnorodny sposób. Mamy techniki deep fake, pozwalające podszyć się pod głos danej osoby. Możemy wypróbować scenariusze inżynierii społecznej, gdzie AI może podpowiadać jak prowadzić rozmowy z użytkownikami i jak się uwiarygodnić wobec rozmówcy. AI jest narzędziem, które powoduje, że te ataki mogą być po prostu bardziej skuteczne. I to rzeczywiście się już dzieje, a tego typu incydenty są często bardzo spektakularne - wideorozmowa z dyrektorem finansowym, który zadysponował zapłatę faktury na 25 milionów dolarów, miała miejsce już ponad 2 lata temu w jednym z krajów azjatyckich.
Co może zrobić polska nieduża firma, mająca niewielki budżet na cyberbezpieczeństwo, żeby mimo wszystko chronić się informatycznie?
- Powinna zainwestować w wiedzę na temat cyberbezpieczeństwa wśród pracowników. Na rynku nie brakuje dobrych programów szkoleniowych, które w atrakcyjnej formie podnoszą poziom wiedzy uczestników i są skierowane do szerokiego grona odbiorców. Myślę, że zafundowanie swoim pracownikom jakiejś formy szkolenia to punkt numer jeden, ale nie należy przy tym zapominać o podobnym programie szkoleniowym skierowanym dla kadry menedżerskiej.
- W ramach Stowarzyszenia Niezależnych Członków Rad Nadzorczych pracujemy obecnie nad szkoleniem, które ma pomóc uczestnikom lepiej rozumieć procesy zarządzania wokół cyberbezpieczeństwa. Z perspektywy zarządzających bezpieczeństwo to także wiedza, co mamy zainstalowane w swojej infrastrukturze, z jakich systemów korzystamy, jakie systemy powinny być uznane za szczególnie wrażliwe (i lepiej zabezpieczone), ale także z jakich dostawców usług IT korzystamy.
- Powinniśmy rozumieć które elementy naszej infrastruktury są szczególnie zagrożone. Do niedawna uznawało się, że największym zagrożeniem dla bezpieczeństwa jest poczta elektroniczna (zarówno prywatna, jak i służbowa). Była najgorzej zabezpieczonym systemem, a jednocześnie takim, gdzie przełamanie zabezpieczenia mogło wyrządzić najwięcej szkody, bo wyciek informacji z poczty wiązał się najczęściej z poważnym incydentem. Zabezpieczenie poczty jest kluczowe, ale od niedawna pojawiła się AI i obecnie potencjalnie "numerem jeden" jest coś, co się nazywa shadow AI.
Co to?
- Pracownicy zafascynowani możliwościami AI zaczynają jej używać do celów służbowych ze swoich prywatnych kont. Na platformach AI 90 proc. stanowią konta prywatne. Na to zjawisko pracodawcy nie mają żadnego wpływu, często działy IT o nich nic nie wiedzą. Ludzie korzystają z tej technologii, często niezbyt świadomie: ktoś raport ze sprzedaży wrzuci do AI, AI to ładnie zaprezentuje, zarząd będzie pod wrażeniem, ale ryzyko polega na tym, że konto prywatne jest słabo zabezpieczone. Dawniej zmorą w firmach były różnego typu Excele albo bazy danych, które ludzie tworzyli na boku, żeby sobie usprawnić pracę. Często bardzo wartościowe, ale poza wszelką kontrolą. Teraz rolę Excela przejęło AI. Firma powinna ustalić z jakich narzędzi i od jakich dostawców pozwala pracownikom korzystać. Przyjąć w obszarze AI przyjąć jakąś politykę, prowadzić otwartą komunikację z pracownikami i udostępnić służbowe narzędzia do zastosowań służbowych. Pozornie proste rozwiązanie, czyli zakazywanie stosowania AI nie będzie działało.
A zabezpieczenia techniczne?
- W małej firmie, jeżeli nie stać na profesjonalne systemy ochrony warto wdrożyć podstawowe zabezpieczenia (hasła, silne uwierzytelnienie, itp.). Chodzi o to, żeby nie być pierwszym, najłatwiejszym celem hakerów. Gdy w sieci pojawi się nowy typ ataku, który nam potencjalnie może zagrażać jakieś ostrzeżenie dostaniemy, czy to z CERT-u, czy z mObywatela, czy od naszego dostawcy internetu i będziemy mogli podjąć jakieś szybkie środki zaradcze. Ale jeżeli to my będziemy ofiarą-zero hakerów, to inni internauci dowiedzą się o incydencie na podstawie naszej historii.
- W dużej firmie warto zainwestować w dobre zabezpieczenia, ale pamiętajmy, że one też nigdy nie będą w pełni skuteczne. Jeśli ktoś się na nas zaweźmie, to i tak się do nas włamie i dlatego (zgodnie z Zero Trust) niezależnie od jakości zabezpieczeń powinniśmy być przygotowani na incydenty i czarne scenariusze.
- Nawet jeśli mamy specjalistów od cyberbezpieczeństwa z najwyższej półki, powinniśmy robić okresowo audyty, żeby ktoś ze świeżym spojrzeniem poszukał niezauważonych luk. Ale cyberbezpieczeństwo (czy jak to teraz zaczynamy nazywać - "odporność cyfrowa") to ciągły proces, nie od audytu do audytu, tylko bieżące monitorowanie, śledzenie, analizowanie stanu naszych systemów. Standardem dobrej praktyki jest raportowanie na temat cyberzagrożeń i incydentów do zarządu, rad nadzorczych - zaczynamy to obserwować na rynku choć jeszcze nie we wszystkich firmach. Ale warto podkreślić, że w sektorze finansowym mamy rozporządzenie DORA, które nakłada na podmioty finansowe takie obowiązki nadzoru ze strony zarządu i rady.
Dlaczego u nas to nie jest jeszcze powszechnym standardem?
- Specjaliści nie potrafią zagadnień cyberbezpieczeństwa w adekwatnej formie zaprezentować i pojawia się luka informacyjna. Gdy zaczynają opowiadać o bezpieczeństwie, wpadają w żargon, w niezrozumiałe terminy. Natomiast rady i zarządy boją się problematykę podjąć, bo boją się obnażyć swoją niewiedzę techniczną i nie potrafią zadawać dobrych pytań ekspertom.
- Dlatego w Stowarzyszeniu Niezależnych Członków Rad Nadzorczych podjęliśmy temat cyberbezpieczeństwa. Uważamy, że czas na profesjonalizację tego obszaru jest właśnie teraz. O roli zarządzających w zapewnieniu odporności cyfrowej należy mówić dużo i otwarcie, i nie przez pryzmat spektakularnych incydentów i "rosyjskich hakerów" tylko konsekwentnie budować know-how wokół dobrych praktyk i standardów.
Rozmawiał: Jacek Ramotowski
