Kybernetický zločin je jeden z nejméně fotogenických a zároveň nejtajemnějších projevů kriminality. Zatímco pod vraždou si dokážeme představit konkrétní aktéry, v případě počítačů naše fantazie selhává. Potom může přijít pouze překvapení: jak může někdo ukrást čísla čtyřiceti milionů platebních karet? Na to je zkušenost lidí krátká.
Přitom to začalo tak nevinně. Lidé, které dnes označujeme za hackery, byli dříve uznávaní odborníci s tak hlubokými znalostmi o počítačích a technice, že dokázali provádět nepředstavitelné věci. Zkrátit počítačový program o třetinu, zrychlit jádro systému nebo si zavolat zdarma.
Ale pak se to rozjelo: počítače a technika se začaly využívat k méně legálním věcem. Například v 70. letech byly v Americe populární modré krabičky, takzvané blue boxy. Šlo o zařízení, pomocí něhož jste mohli uskutečňovat meziměstské hovory zdarma. Jednoduše jste zvedli sluchátko a nechali do něj krabičku vypípat tóny. Podle toho ústředna poznala, že jste telefonní technik, který uskutečňuje služební hovor.
Takto začínaly i ikony současného počítačového průmyslu. Zakladatelé firmy Apple Steve Jobs a Steve Wozniak takové krabičky dokonce prodávali a jednu ukázali Billu Gatesovi z Microsoftu. Samozřejmě, že dnes se k takovým zkušenostem raději nehlásí, ale hranice hackingu byla kdysi tenká a lidé stáli hlavně na té počestné straně.
Hacker, co už není hodný
Už je to však pár let, co se celá podzemní scéna proměnila, a od té doby je zbytečné rozlišovat na hodné hackery a zlé crackery. Vytvořit virus, který se automaticky nainstaloval vašim známým ze zapůjčené diskety a jednou za rok jim pak počítač zahrál hymnu, bylo kdysi dávno znakem hrdinství. V dnešní době je to těžký zločin.
I dnes se svět počítačových odborníků rozlišuje na hodné a zlé. Ale ti dobří již nesedí na pomezí zákona, nýbrž na straně bezpečnostních firem a policie.
"Nikdy bychom nezaměstnali nikoho, kdo někdy vyráběl viry," říká Karel Obluk z firmy AVG Technologies, ale stejně mluví i zástupci ostatních bezpečnostních firem. Všimněte si, že tyto společnosti již dávno nejsou antivirové, ale bezpečnostní. Už totiž nezáleží jenom na kontrolování souborů na přítomnost virů, je třeba se starat o kompletní bezpečnost.
Tak je třeba možné, že velké podniky nebo banky předají řešení své počítačové bezpečnosti někomu jinému. "Firmy mají zaručené, že jejich bezpečnostní řešení je stále kvalitní, a my naopak máme aktuální data z různých částí světa," říká šéf bezpečnosti společnosti Symantec Kevin Hogan.
Za poslední rok zaznamenali v Symantecu 200 000 bezpečnostních hrozeb. Podobný počet podezřelých souborů posílají zabezpečené počítače do centrály k prozkoumání - ovšem denně. Miliardy počítačových útoků denně, které se z uživatelů snaží dostat citlivé údaje. A jejich počet stále roste.
Zkusme se podívat do trochu netradičního obchodu. Prodávají se v něm zbraně nové doby, nástroje, které vás mají připravit o peníze. Na první pohled vypadají naprosto nenápadně. Například tady máme jednu dosud neodhalenou "díru" v počítačovém programu. Je čerstvá, takže ji pořídíte za deset tisíc dolarů. Dále stovku ovládaných cizích počítačů po jednom dolaru.
Stačí zaplatit a můžete se stát úspěšným podnikatelem v počítačovém podzemí. Vlastně chybí ještě maličkost: byznysplán. Ale ani tady nemusíme moc přemýšlet, protože všechno už bylo vymyšleno. Například můžeme rozjet server na hromadné rozesílání nevyžádané pošty, získat hesla k bankovním účtům nebo za úplatu útočit na nějaký významný počítač, například servery litevských úřadů nebo americké CIA.
Nebezpeční zloději na sítiMůže se to stát i u nás: USA dopadly gang, který ukradl čísla kreditních karet desítek milionů lidí. Byla to zřejmě největší krádež svého druhu v dějinách. Skupina počítačových pirátů z USA, Běloruska, Ukrajiny, Estonska a Číny se dostala ke 40 milionům čísel bankovních karet a způsobila škodu za desítky milionů dolarů. Jak se vůbec svět počítačového zločinu proměnil? Zlí a hodní piráti hackeři, tak se dříve označovali počítačoví specialisté či programátoři s detailními znalostmi fungování systému. V počítačové hantýrce se za "ty zlé" označovali crackeři. Od jisté doby se však rozdíl setřel, takže i hackeři jsou dnes ti špatní. Protože jaký je rozdíl mezi člověkem, který z ústředí CIA ukradne tajný materiál a nechá si jej pro sebe, a tím, který jej prodá? Místo původního slova se tak dnes pro hackery používá geek, guru nebo nerd. |
Kupujeme hotové řešení
Jako správní podnikatelé byste měli alespoň částečně pochopit, jak to celé funguje. Proto přichází expert Elia Florio z bezpečnostní firmy Symantec. "Na začátku jsou lidé, kteří objeví díru v nějakém programu, operačním systému, webovém serveru nebo v něčem podobném. Ve chvíli, kdy o této díře neví nikdo jiný než vy, jde o cennou informaci.
Technika za to nemůže, selhávají lidé
Ale počítačová bezpečnost míní a lidská lenost mění. Jinak by těžko bylo možné ukrást 41 milionů údajů k platebním kartám, jako se to stalo v USA. V tomto případě Albert Gonzales využil popularity bezdrátových sítí a slabosti lidského faktoru. V Česku jsou pokladny v obchodech většinou propojeny s centrálním počítačem dráty. Naopak některé obchodní řetězce v USA, zřejmě z důvodů úspory a snadnosti používání, propojily obojí bezdrátově. Bohužel přitom "zapomněly" takové spojení patřičně zabezpečit. Mezi pokladnou a serverem běhaly všechny údaje v naprosto jednoduché formě. Potom opravdu stačilo provést to, co dělali hackeři. Totiž přijet blízko k obchodu a na notebooku sledovat komunikaci mezi pokladnami a serverem. Může nám připadat zvláštní, že zrovna v USA došlo k tak neuvěřitelnému porušení bezpečnostních zásad, ale nic divného na tom není. Zatímco u nás se počítačové systémy budovaly od základů a velké firmy často dbaly na bezpečnost, v Americe se naopak záplatuje. Počítače se ve firmách používají poměrně dlouho, takže staré části systému se narychlo přelepují něčím novým. Dokazuje to i jiný téměř utajený případ z USA, kdy se hackerům podařilo získat přístup k bankomatům Citibank od října 2007 do března 2008. Zloději získali kódy PIN a ukradli minimálně dva miliony dolarů. "Samotný bankomat je zabezpečený velmi dobře. Avšak síťový kabel, který z něj vede, už tak bezpečný není," říká Klaus Gheri, ředitel společnosti phion, která dodává bezpečnostní řešení bankám. "Z bezpečnostních důvodů je nutné, aby veškerá komunikace byla šifrována," dodává Gheri. A kupodivu tato elementární zásada byla v tomto případě porušena. Případ z USA byl medializován až v souvislosti se soudním řízením se třemi útočníky a podvodné metody, které použili, jsou stále neznámé. Ví se pouze to, že útoky uskutečňovali na dálku, aniž se k bankomatům přiblížili. Napadené bankomaty byly pro Citibank provozovány externími společnostmi. Krádeže a následný prodej čísel platebních karet patří v podzemní ekonomice mezi nejpopulárnější zboží, tvoří asi 13 procent trhu. Podle výzkumů firmy Symantec se za ně platí až dvacet dolarů podle "kvality" zboží. Popularitou je letos předstihly pouze přihlašovací údaje k bankovním účtům. Velmi populární jsou také účty k serveru eBay nebo úplné identity lidí. A kupodivu, ani to není velký problém získat. Podle mezinárodního průzkumu z loňského roku firmy McAfee 43 procent uživatelů nikdy nemění svá hesla a 16 procent je mění pouze jednou do roka. |
Jde o takzvané riziko nultého dne," říká Florio. Je to něco, jako kdyby kolem vašeho domu chodil člověk a zkoumal, kudy se do něj co nejsnáze dostat. Pokud náhodou objeví, že u okýnka ve sklepě stačí trochu přitlačit, jde o riziko nultého dne. S takovými znalostmi můžete snadno napadnout desetitisíce počítačů po celém světě.
Dále přichází škodlivý software, který potřebujete dostat na počítače klientů. Protože ti se normálně brání, a někteří dokonce používají antivirový software, musíte najít skulinku. To je právě bezpečnostní díra, kterou váš program pronikne až do jejich počítače.
Ale stále něco chybí. Těžko budete obesílat všechny počítače na světě a zkoušet, kterým proniknete. Mnohem jednodušší je zařídit, aby si uživatelé škodlivý program dostali do počítače sami. A k tomu slouží webové stránky s dobrou návštěvností. Nejde samozřejmě o žádné známé stránky typu Google nebo Amazon, ale o takzvané zaparkované stránky.
Tedy o internetové adresy, u kterých majitel zapomněl zaplatit správní poplatek, takže se jich chytili spekulanti. Uživatel se na takovou stránku může dostat dvěma způsoby - buď ji náhodou objeví ve vyhledávači, když něco důležitého hledá, nebo přímo napíše známou webovou adresu, ale omylem se přepíše. Stránka, na kterou se dostane, většinou neobsahuje mnoho informací. Často se tváří jako fiktivní katalog s odkazem na zajímavé stránky.
Kromě vámi hledaného obsahu vám také může nabídnout nelegální program zdarma nebo třeba odkaz ke stažení nového Batmana. Samozřejmě nic z toho ve skutečnosti nedostanete. A pokud si zaplatíte, může taková stránka obsahovat také exploity, tedy programy, které mají za úkol zaútočit na váš počítač. Stačí na takovou stránku vejít a váš počítač je rázem centrem útoku. Ten je veden přes bezpečnostní díru a do počítače vám nasadí připravený škodlivý software.
Počítačová podzemní ekonomika sází na dvě věci. Díry v programech jsou jenom jedna část problému -kupodivu ta méně nebezpečná. Mnohem horší jsou sami uživatelé. Většina útoků láká uživatele s tím, že něco je zdarma. Útočníci nabízejí pomyslné výhody. Ale dnes platí více než dříve, že všechno má svou cenu.
Proto si neodpustím banální závěr: neotvírejte zlému vlku a pořiďte si kompletní bezpečnostní balík programů. Svět tam venku se přibližuje tomu, který známe z temných sci-fi filmů.
|
Zdroj: Symantec, čísla za 2008 |
