To już prawdziwa plaga. Ataki na bazy danych i ujawnianie informacji o klientach stały się codziennością. Dla ofiar są natomiast plamą na wizerunku, której trudno się pozbyć. W 2015 roku ofiarą cyberataku padł amerykański oddział sieci T-Mobile. Z serwerów wykradziono szczegółowe dane dotyczące 15 milionów klientów. Aż 80 milionów rekordów wyciekło z baz firmy ubezpieczeniowej Anthem. Ujawnienie danych klientów Ashley Madison zakończyło się skandalem na cały świat. Nic dziwnego – swoje usługi ten znany serwis randkowy adresuje do osób, które pozostają w związkach małżeńskich.
Każdy jest celem
Dowolna firma korzystająca z rozwiązań IT może zostać zaatakowana. Potężne korporacje są obiektem zainteresowania hakerów ze względu na wartość posiadanych informacji. Mimo wszystko nie tylko giganci znajdują się w kręgu potencjalnych ofiar. Małe firmy też są kuszącym – bo łatwym – celem.
Na co polują hakerzy? Przydać im się może dosłownie wszystko. Hasła i loginy wykorzystywane są do kolejnych włamań i głębszej inwigilacji. Szczegóły technologicznych projektów można sprzedać konkurencji. Na dane z cudzego dowodu osobistego łatwo natomiast wziąć pożyczkę. Nawet jeśli firma nie trzyma informacji, które można spieniężyć, może stać się obiektem zainteresowania cyberprzestępców. W stosunku do niej skuteczny okaże się szantaż.
– Niebezpieczne programy ransomware potrafią szyfrować dane kopii zapasowych, pliki na dyskach sieciowych, a nawet informacje przetrzymywane w chmurze – tłumaczy Borys Łącki, właściciel firmy LogicalTrust, testujący bezpieczeństwo IT.
Dodatkowo wyłączane jest oprogramowanie antywirusowe. W rezultacie pracownicy firmy mogą nagle bezpowrotnie stracić swoje dokumenty. Dostęp do nich odblokowywany jest po zapłaceniu okupu. Ale czy warto ulegać szantażowi?
– Gdyby przestępcy po otrzymaniu pieniędzy nie przesyłali użytkownikowi klucza do odszyfrowania plików, ludzie przestaliby im płacić – mówi Arkadiusz Krawczyk z Intel Security Polska. Dodaje jednak, że spełnienie warunków nie zawsze gwarantuje odzyskanie dostępu do danych. Wszak mamy do czynienia ze złodziejami.
Przestępcy potrafią się dostosować
Kradzież i szantaż to domena zarówno wyspecjalizowanych grup profesjonalistów, jak i młodych ludzi, chcących zdobyć reputację wśród cyberprzestępców. Zdaniem Łąckiego próg wejścia w ten świat jest niski i niezwykle kuszący: wystarczy urządzenie z dostępem do internetu i odrobina wolnego czasu. To sprawia, że liczba osób popełniających przestępstwa w internecie systematycznie rośnie. Co gorsza, hakerzy potrafią się zaadaptować. Wciąż powstają nowe, coraz bardziej skomplikowane mechanizmy obronne, ale metody ataków są dostosowywane do nich na bieżąco. To sprawia, że niemożliwe jest całkowite wyeliminowanie nawet tych zagrożeń, które od dawna są dobrze znane.
– Niestety, społeczność broniąca przegrywa tę batalię – mówi Łącki. – Od wielu lat skala przedsięwzięć i zysków komputerowych przestępców rośnie.
Na szczęście rosną także koszty ponoszone przez hakerów, co jest zasługą wzrostu jakości mechanizmów obronnych. Właściciel LogicalTrust przyznaje, że coraz trudniej jest przełamać niektóre ze stosowanych zabezpieczeń, co może zniechęcać atakujących. Jego zdaniem problemem jest jednak bardzo powolny wzrost świadomości zagrożeń.
Słabym ogniwem jest człowiek
– Pracownicy firm i instytucji powinni przechodzić szkolenia i otrzymywać informacje na temat najnowszych zagrożeń – twierdzi Arkadiusz Krawczyk z Intel Security Poland.
Zdaniem eksperta podstawą bezpieczeństwa informatycznego, oprócz zabezpieczeń sprzętowych, jest ostrożność podczas korzystania z internetu i nieufność w stosunku do załączników w mailach. Najprostszym i najtańszym sposobem ataku jest bowiem wykorzystanie słabości użytkownika.
– Firmy powinny dobierać indywidualne rozwiązania dostosowane do potrzeb i budżetu. Kluczowa nie jest jednak implementacja najnowszych rozwiązań, ale ograniczenie dostępu do danych i uświadamianie pracowników – potwierdza Borys Łącki.
I rzeczywiście: włamanie na skrzynkę mailową dyrektora CIA przeprowadzono rozbrajająco prostym sposobem. Hakerzy odkryli, z jakiego dostawcy usług telefonicznych korzysta Brennan. Następnie zadzwonili do firmy, podając się za jednego z jej pracowników, i poprosili o dane klienta, twierdząc, że sami nie mogą do nich dotrzeć ze względu na awarię systemu. W ten sposób weszli w posiadanie numeru konta, adresu e-mail oraz ostatnich czterech cyfr z karty kredytowej jednej z najważniejszych osób w Stanach Zjednoczonych. Zdobyte informacje wystarczyły do zresetowania hasła do skrzynki mailowej. Brennana zhakowano bez użycia jakichkolwiek zaawansowanych narzędzi.
Nie bez znaczenia jest także wykorzystywanie technologii weryfikacji użytkownika, tu jednak postęp jest wyraźny. Przykładowo: rozwiązanie Intel Authenticate zabezpiecza przed kradzieżą danych logowania, przechowując je poza zasięgiem złośliwych programów. Chronione kryptograficznie informacje są składowanie nie w oprogramowaniu, lecz na poziomie sprzętu. Poza loginem i hasłem weryfikowane jest również samo urządzenie, a nawet odcisk palca użytkownika – zależnie od tego, jaką kombinację metod uwierzytelnienia wybiorą administratorzy.
Prewencja i reakcja
Borys Łącki zwraca uwagę na zmianę paradygmatu bezpieczeństwa, która dokonała się w ostatnim czasie. Przez kilkanaście lat firmy oferujące zabezpieczenia twierdziły, że ich rozwiązania są stuprocentowo skuteczne. Od kilku lat jednak ofiarami ataków są najlepiej chronione instytucje świata i przedsiębiorstwa przeznaczające ogromny budżet na bezpieczeństwo IT.
Firewall czy ochrona punktów końcowych są dziś niewystarczającymi środkami ostrożności, a z czasem staną się jeszcze mniej skuteczne. To całkiem zmieniło sposób patrzenia na zagrożenia i wymusiło na firmach zmianę podejścia. Nie można już myśleć tylko w kategoriach: "czy zostanę zaatakowany i się obronię?". Należy zadać inne pytania: kiedy zostanę zaatakowany? Jak bardzo dotknie to moją firmę? A wreszcie: jak szybko wykryję atak i jak sobie z nim poradzę?
Żyjemy w rzeczywistości, w której firmy nie mogą zwlekać z wdrażaniem zabezpieczeń IT. W każdej chwili może się okazać, że jest już za późno.
Autor: Michał Puczyński
Szukasz porady? Skontaktuj się z ekspertem z Asseco:
+48 22 574 88 23; e-mail: piotr.fabjaniak@assecods.pl