Ki­ber­ne­ti­nių nu­si­kal­tė­lių nuo­la­tos ren­gia­mus iš­puo­lius kon­tro­liuo­ti da­ro­si itin su­dė­tin­ga. Ši in­du­stri­ja ple­čia­si tie­siog žai­biš­kai, to­dėl kom­piu­te­ri­nės sis­te­mos ir jų pri­žiū­rė­to­jai į to­kius po­ky­čius taip pat pri­va­lo rea­guo­ti ne­dels­da­mi. Sau­gu­mo ty­ri­mus at­lie­kan­čios la­bo­ra­to­ri­jos „PandaLabs“ duo­me­ni­mis, vien per 2015 me­tus jiems pa­vy­ko ap­tik­ti ir ne­utra­li­zuo­ti dau­giau nei 84 mi­li­jo­nus įvai­raus ti­po ken­kė­jiš­kų pro­gra­mų. Tai yra, kas­dien po dau­giau nei 230 tūkst. skir­tin­gų at­ve­jų! Tuo tar­pu ki­ber­ne­ti­nių ata­kų skai­čiai dar įspū­din­ges­ni – per tuos pa­čius 2015 me­tus – 304 mi­li­jo­nai atakų.
Sunku tuo patikėti?

Apsilankykite „Norse Attack Map“ tinklalapyje ir savo akimis įsitikinsite, kad kibernetiniame pasaulyje kiekvieną sekundę verda nuožmi kova. O kad ateityje saugumo ekspertų laukia kur kas didesni iššūkiai, puikiai įrodė spalio mėnesį suorganizuota masinė kibernetinė ataka. Jos metu buvo „įdarbinti“ ne tik kompiuteriai, bet ir daiktų internetas (Internet of Things – IoT), skaitmeninės vaizdo stebėjimo IP kameros, tinklinės duomenų saugyklos NAS ir pan. Pasekmės taip pat ne pačios maloniausios – pasauliniu mastu sutrikusi „Twitter“, „Amazon“, „Tumblr“, „Reddit“, „Spotify“ ir „Netflix“ veikla.

Šiuo atveju saugumo specialistus guodžia tik tai, kad kibernetinio saugumo užtikrinimo išlaidos ir didėja. Pavyzdžiui, dabar per metus tam išleidžiama kiek daugiau nei 100 mlrd. JAV dolerių. Tačiau vis aiškėja supratimas, kad pinigai nėra galingiausias kibernetinių nusikaltimų užkardymo įrankis. Kitaip sakant, pinigai gali padėti užlopyti programinės ar aparatinės įrangos saugumo spragas, tačiau reikia nepamiršti, kad skaitmeninėje erdvėje taip pat nuolatos dalyvauja ir psichologiškai pažeidžiama visuomenė.

Kibernetiniai nusikaltimai ir socialinė inžinerija. Kas bendro?

Gali kilti natūralūs klausimas. O kas gi sieja mus, žmones, ir kibernetinius nusikaltimus? nusikaltimai yra susiję? Čia tenka pradėti nuo Federalinio tyrimų biuro (FBI) sudaryto 26 labiausiai ieškomų kibernetinių nusikaltėlių ar jų grupuočių sąrašo. Jame atsiduria tik tie kibernetiniai nusikaltėliai, kurių žala visuomenei viršija 350 tūkst. JAV dolerių. Viršutinė žalos riba viršija ir 100 mln. JAV dolerių. Įdomu, kad dar vasaros pradžioje į šį FBI sąrašą buvo įtraukta tik 19 asmenų ir grupuočių. Dabar jame 26 asmenys. Tai gi per ketvirtį sąrašas gerokai pasipildė. Tad, kibernetinių nusikaltimų augimo tendencijas patvirtina žygiai,o ne žodžiai.

Į kibernetinių nusikaltėlių darbo motyvus žvelgiant iš socialinės inžinerijos perspektyvos, pažymėtina, kad pirmosios akivaizdžios prieš žmogaus psichologiją nukreiptos socialinės inžinerijos atakos buvo pradėtos vykdyti dar 2004 metais. Tuo tarpu dabar, kibernetinio saugumo kompanijos „Proofpoint“ duomenis, žmogiškasis faktorius piktavalius jau domina kur kas labiau nei automatizuotas kenkėjiško kodo platinimas. Tokios tendencijos, pasak „Proofpoint“, buvo užfiksuotos jau 2015 metais, tęsiasi ir šiuo metu.

Tai puikiai paaiškina, kodėl socialinės inžinerijos keliamus pavojus saugumo ekspertai vis dažniau iškelia į pirmą planą, įvardydami jas kaip vienas iš didžiausių grėsmių. Kaip jau buvo galima suprasti, statistiškai yra daugiau nei akivaizdu, kad dauguma kibernetinių nusikaltėlių vis dažniau stengiasi įveikti ne kompiuterines sistemas, bet žmogaus psichologiją. Užuot tiesiogiai atakavus nuolat atnaujinimą ir tobulinamą programinę ar apartinę įrangą, ją įveikti socialinės inžinerijos priemonėmis dažniausiai būna kur kas lengviau ir paprasčiau. Tuo tarpu tokių atakų pasekmės dažniausiai būna daug skaudesnės, nes socialinė inžinerija gali puikiai pasitarnauti tiek kenkėjiškų programų platinimui, tiek siekiant pasisavinti konfidencialią informaciją, tiek planuojant įsilaužimus į sunkiai pažeidžiamas bei gerai apsaugotas kompiuterines sistemas.

Kodėl ir kaip socialinė inžinerija sukelia pavojus skaitmeninėje erdvėje?

Kibernetiniai nusikaltėliai puikiai supranta, kad tinkamai manipuliuojant socialinės inžinerijos priemonėmis, žmogų galima priversti daryti/nedaryti viską ar bent jau suklysti. Kompiuterinės sistemos šios problemos neturi. Vis dėlto, visiškai autonomiškai, be žmogaus įsikišimo, jos kol kas veikti tikrai negali. Pavyzdžiui, tyrimų bendrovės „Statista“ duomenimis, šiuo metu pasaulyje socialiniais tinklais naudojasi daugiau nei 1,6 mlrd. žmonių, o tai reiškia, kad daugiau nei 64% visų interneto vartotojų yra pasiekiami internetinėje socialinėje erdvėje. Kiekvienas iš jų naudojasi ir kompiuterinėmis sistemomis, kurių net 99% vienu ar kitu būdu gali būti pažeistos dėl programinėje įrangoje kūrėjų paliktų klaidų.

Prie šių faktų kibernetinio saugumo kompanija „Proofpoint“ prideda dar ir tai, kad net 40% „Facebook“ ir 20% „Twitter“ socialiniuose tinkluose registruotų populiarių prekinių ženklų neturi oficialiai patvirtintų paskyrų. Tuo tarpu kiti tyrimai tvirtina, kad kiekvieną dieną daugiau nei 600 tūkst. „Facebook“ paskyrų patiria potencialią kibernetinių atakų riziką. Visa tai akivaizdžiai įrodo, kad internetinę socialinę mediją kibernetiniai nusikaltėliai šiuo metu stebi itin akylai. Ir tikrai ne tam, kad pirmi išvystų dar vieno vaizdelį su kačiukais.

Socialiniuose tinkluose žmonės yra linkę labiau pasitikėti vieni kitais, o tai piktavaliams, be jokios abejonės, leidžia dar lengviau manipuliuoti žmogiškąja psichologija. Be to, socialiniuose tinkluose informacija sklinda kur kas greičiau nei, pavyzdžiui, elektroniniu paštu. Nepaisant to, naudodami elektroninį paštą ir fišingą (angl. phishing – password fishing, slaptažodžių žvejyba), kibernetiniai nusikaltėliai taip pat yra pridarę nemažai žalos. Vienas naujausių to pavyzdžių – Rytų Europoje veikusi tarptautinė kibernetinių nusikaltėlių grupuotė, kuri per dvejus metus iš daugiau nei 100 bankų, įsikūrusių 30 skirtingų šalių, pasitelkusi darbuotojų patiklumą, sugebėjo išvilioti daugiau nei 1 mlrd. JAV dolerių.

Socialinė inžinerija tampa svarbiu kenkėjiško kodo platinimo įrankiu

Kibernetiniai nusikaltėliai skaitmeninėje erdvėje atakas organizuoja jau ne vieną dešimtmetį. Vis dėlto nuolatos didėjančios investicijos į programinės ir aparatinės įrangos apsaugą ,jų galimybes laisvai veikti skaitmeninėje erdvėje tikrai suavržė. Tačiau praktika patvirtina, kad užsivėrus vienoms durimis, labai greitai atsiveria langas. Pavyzdžiui, socialinė inžinerija kibernetiniams nusikaltėliams suteikia dar didesnį lankstumą. O blogiausia, kad toks pusiausvyros pasikeitimas ne tik neapriboja, bet ir sukuria dar visapusiškesnę kibernetinių atakų rengimo terpę.

Kibernetiniai nusikaltėliai ilgai atakas organizuodavo naudodami botnetus. Nors tai skamba kiek paradoksaliai, bet skaitmeninėje erdvėje dalyvaujanti visuomenės dalis, paveikus ją socialine inžinerija, taip pat yra tarsi vienas didelis dinamiškas botnetas. Kibernetiniai nusikaltėliai, radę tinkamą būdą pasinaudoti 1,6 mlrd. socialinių tinklų naudotojų armija, gali pridaryti tiek žalos, kad pasekmes tiesiog baisu įsivaizduoti.

Pavyzdžiui, pravartu prisiminti 2004 metų pradžią. Kaip jau minėta, tuomet socialinės inžinerijos terminas dar tik skynėsi savo kelią į dienos šviesą. Vis dėlto, principai, kuriais remiantis tada buvo išplatintas bene daugiausiai nuostolių žmonijos istorijoje pridaręs kompiuterinis virusas „MyDoom“, verčia susimąstyti. Skaičiuojama, kad kompiuterinis virusas „MyDoom“, plisdamas elektroniniais laiškais padarė žalos už 38,5 mlrd. JAV dolerių!

Kompiuterinio viruso „MyDoom“ istorija puikiai įrodo, kad net ir gūdžiais 2004 metais kibernetiniai nusikaltėliai, net patys to gerai nesuvokdami, naudojosi socialinės inžinerijos principais. Šis kenkėjiškas programinis kodas į kompiuterį būdavo įdiegiamas tik tuomet, jeigu potenciali auka, patikėjusi elektroniniame laiške pateikta informacija išdrįsdavo parsiųsti ir atsidaryti prie laiško prisegtą rinkmeną. Būtent to pakakdavo, kad potencialios aukos kompiuteris pataptų DDoS atakas organizuojančio botneto dalimi, o virusas „MyDoom“ pakartotinai būtų išplatintas visiems elektroniniame pašte esantiems adresatams.

Patiklumas skaitmeninėje erdvėje gali kainuoti labai brangiai

Ar visa tai, ką pavyko sukurti kompiuterinio viruso „MyDoom“ kūrėjams, neatrodo kaip to, kas vyksta dabar, priešistorė ? Pasitelkę socialinę inžineriją, kibernetiniai nusikaltėliai sugalvojo ne tik naujų kenkėjiško kodo platinimo būdų, bet ir išmoko organizuoti atakas prieš konkrečius asmenis. Saugumo ekspertai taip pat sutinka, kad vienos pavojingiausių šiuo metu yra fišingo atakos. Piktavaliai gana ilgai jas vykdė tik elektroniniu paštu, tačiau visuomenei persikėlus į socialinius tinklus, įkandin atsekė ir kibernetiniai nusikaltėliai.

Būtent tai puikiai paaiškina, kodėl manipuliacija, psichologija ir žmogiškasis patiklumas per pastaruosius keletą metų pradėjo kelti bene didžiausią grėsmę kompiuterinių sistemų saugumui. Nepaisant įvykusių pokyčių, socialine inžinerija pagrįstas fišingas ir toliau išlieka vienu didžiausių pavojų. Tačiau čia reikia atsižvelgti ir į tai, kad piktavalių socialinės inžinerijos arsenalas vien fišingu toli gražu neapsiriboja.

Tai puikiai paaiškina, kodėl visapusiška kompiuterinių sistemų apsauga gali būti užtikrina tik taikant kompleksinius apsaugos mechanizmus. Kitaip sakant, žmogus ir jau gerus 30 000 metų be atnaujinimų naudojama jo psichologija, tapo itin svarbiu socialinę inžineriją taikančių nusikaltėlių atakų vektoriumi ir kritiškai svarbiu įvairių kompiuterinių sistemų saugos aspektu. Žinoma, programinės ir aparatinės įrangos lygmenyje realizuotos apsaugos atsisakyti taip pat negalima, tačiau svarbu įsidėmėti, kad tokią apsaugą kibernetiniam nusikaltėliui kur kas lengviau pažeisti per jungiančią sąsają, t. y. žmogaus psichologiją.

Ką visa tai reiškia? Ogi tai, kad vieno konkretaus būdo kaip apsaugoti savo ir kompiuterinių sistemų privatumą skaitmeninėje erdvėje tikrai nėra. Čia svarbu suprasti, kad kaip kompiuterinės sistemos vienos, autonomiškai, negali veikti be žmogaus įsikišimo, taip ir jų šimtaprocentinė apsauga negali būti užtikrina be visuomenės pagalbos. Su socialinės inžinerijos atakomis šiuo metu nepajėgia kovoti net ir pačios pažangiausios apsaugos sistemos, nes tokias atakas kibernetiniai nusikaltėliai gali vykdyti tiek skaitmeninėje erdvėje, tiek įprasto žmonių fizinio kontakto metu.

Taigi, skaitmeninių technologijų amžiuje posakis „atsarga gėdos nedaro“ turėtų būti įrašytas titano tapti tuo, į ką privalome atkreipti dėmesį kiekvieną dieną. Kibernetiniai nusikaltėliai taikantys socialinę inžineriją būtent tokių aukų ir ieško. Psichologinis žmonių patiklumas bei nuolatinis atsargos trūkumas šiuo metu piktavaliams leidžia vykdyti pačius įvairiausius kibernetinius nusikaltimus, todėl prieš atidarant gero draugo socialiniame tinkle netikėtai atsiųstą nuorodą visuomet vertėtų labai gerai pagalvoti.

Komentarai (1)