Cyberprzestępczość to duży biznes, firmy wciąż lekceważą jego możliwości

W sieci powstaje rynek równoległy – profesjonalnych wirusów, aplikacji, robaków, narzędzi spamowych i trojanów – dla chętnych, którzy chcą włamywać się do systemów lub atakować sieci firmowe. Handluje się na nim wszystkim, co można z korzyścią sprzedać, m.in. narzędziami hakerskimi, numerami kart kredytowych i ubezpieczeń społecznych czy nawet usługami włamań na zlecenie. Według BBC najtańszy, kiepskiej jakości wirus kosztuje około 17 funtów. Bardziej profesjonalne programy pozwalające na przykład na przejęcie kontroli nad komputerem są droższe – nawet do 500 funtów. Jeśli chodzi o stawki za zainfekowanie komputerów, są one uzależnione od miejsca zamieszkania potencjalnych ofiar.

W Europie najcenniejsze dla twórców botnetów (grupa komputerów zainfekowanych złośliwym oprogramowaniem) są komputery brytyjskie i włoskie – po 60 dolarów za każde 1000 infekcji. W Polsce pojedynczy komputer dla botnetu kosztuje 18 dol. Najmniej płaci się za komputery znajdujące się w Azji. Z kolei spamową wysyłkę 20 milionów listów można zamówić już za 350 euro. Na czarnym rynku kwitnie także handel adresami e-mailowymi.

10 milionów adresów wycenia się zazwyczaj na 100 euro. Sprzedaje się także konta PayPal i dane kart kredytowych.

Cyberprzestępcy zarabiają nie tylko na samych przestępstwach, ale również na sprzedawaniu narzędzi hakerskich. Do szkodliwego oprogramowania dołączone jest nieraz oprogramowanie statystyczne, które informuje o wynikach przeprowadzonego ataku i wskazuje lokalizację komputerów, które udało się zarazić. Można też zamówić subskrypcję i otrzymywać od twórców oprogramowania jego aktualizacje. Paul Henry, wiceprezes firmy Secure Computing, poinformował, że w tej chwili na czarnym rynku można wybierać spośród 68 000 szkodliwych narzędzi. Przykładem takiego zestawu jest pakiet hakerski o nazwie MPack wprowadzony do sprzedaży na czarnym rynku. Oprogramowanie to może być po zakupie wykorzystane do instalowania destrukcyjnego kodu w tysiącach komputerów, a następnie do monitorowania stanu ataków. Kupić można również zestawy skryptów typu „phishing”, za pomocą których przestępca może tworzyć internetowe strony wyłudzające informacje, podając je za autentyczne witryny.

Jednak sprzedaż narzędzi nie stanowi głównego źródła przestępczych dochodów. Znacznie bardziej intratny jest handel informacjami o lukach w oprogramowaniu. Takie dane osiągają ceny nawet kilkudziesięciu tysięcy euro.

Według „Raportu o zagrożeniach bezpieczeństwa pochodzących z Internetu” firmy Symantec Polska znalazła się wysoko w rankingach w regionie EMEA (Europa, Bliski Wschód i Afryka). Zajęła pierwsze miejsce wśród krajów odbierających największą ilość spamu, a drugie wśród krajów o największej intensywności działalności destrukcyjnej przypadającej na jednego użytkownika Internetu oraz liczby komputerów zombie (zdalnie kontrolowanych przez przestępców). Nasz kraj zajął też trzecie miejsce w kategorii państw, z których pochodzi największa ilość wysyłanego spamu. Znalazł się też w pierwszej dziesiątce państw przechowujących na serwerach strony służące do ataków typu phishing. Polska jest też w czołówce krajów o sieciach najbardziej zainfekowanych botnetami. Jak widać, za rozwojem szerokopasmowego Internetu w Polsce nie podążają rozwiązania bezpieczeństwa. Tendencje te potwierdza także raport X-Force firmy Internet Security Systems dotyczący ryzyka związanego z wykorzystaniem Internetu.

– Polska w statystykach podanych w raporcie wciąż znajduje się w pierwszej dziesiątce pod względem ataków phishingowych (5,7 proc. ataków na całym świecie), wysyłania spamu (3,8 proc. na świecie), a także publikowania materiałów przeznaczonych dla osób dorosłych i innych nielegalnych treści – mówi Paweł Bondar, Service Product Group Manager Security & Privacy w dziale usług Global Technology Services IBM Polska.

Mimo rozległej skali zagrożeń polskie firmy nie chronią się należycie przed nimi. We wrześniu 2008 r. firma Symantec opublikowała wyniki badań dotyczące bezpieczeństwa sieci informatycznych w polskich małych i średnich przedsiębiorstwach. Badania te wykazały, że firmy z sektora MSP znalazły się wśród przedsiębiorstw szczególnie podatnych na zagrożenia. W 18 proc. z nich w ciągu ostatniego roku doszło do naruszenia zasad bezpieczeństwa, co spowodowało utratę potencjalnych przychodów. W 25 proc. firm MSP nie obowiązują żadne zasady korzystania z systemów informatycznych.

Wiele przedsiębiorstw nadal nie ma świadomości istnienia zagrożeń. Aż 33 procent osób ankietowanych przez Symantec nie zdaje sobie sprawy z istnienia nowych zagrożeń, takich jak sieci botów, rootkity (programy maskujące działanie szkodliwych aplikacji), pharming (wyłudzanie informacji poprzez kierowanie użytkowników na fałszywe strony internetowe, rodzaj phishingu), whaling (wyłudzanie informacji od kadry kierowniczej firm) oraz „minnowing” (wyłudzanie informacji od szeregowych pracowników). Badanie wykazało również, że pracownicy polskich firm z sektora MSP nie zdają sobie sprawy z tego, że za bezpieczeństwo środowiska informatycznego odpowiada każdy użytkownik, bowiem według 45 procent jest to wyłącznie domeną menedżera ds. IT. Jeśli zaś chodzi o zakup zabezpieczeń informatycznych, zaledwie 26 procent małych przedsiębiorstw w Polsce stwierdziło, że korzysta w tym celu z usług specjalnego dostawcy. Za to 67 procent kupuje gotowe produkty w zwykłym sklepie komputerowym, choć sklepy nie oferują zazwyczaj rozwiązań przeznaczonych dla przedsiębiorstw. Aż 7 proc. firm korzysta z programów załączanych bezpłatnie na płytach do czasopism. Programy antywirusowe i zapory ogniowe (firewalls) stanowią niezbędną podstawę, jednak bez kompleksowych rozwiązań małe przedsiębiorstwa mogą być narażone na znaczne ryzyko.

Jednym z największych zagrożeń, na które naraża firmy złośliwe oprogramowanie, są przestoje w pracy systemów i utrata informacji. Spośród wszystkich ankietowanych firm aż 53 proc. padło w ciągu ostatniego roku ofiarą ataku lub nieznanego typu awarii systemu powodującej utratę informacji, ponad 14 proc. utraciło z tego powodu potencjalne przychody. W przypadku 45 proc. respondentów przyczyną awarii systemu lub utraty informacji były błędy popełnione przez pracowników.

W większości przedsiębiorstw ta beztroska jest spowodowana – jak same twierdzą – ograniczeniami finansowymi oraz brakiem czasu i wystarczającej wiedzy na ten temat, a więc także niezatrudnianiem kompetentnych pracowników, którzy mogliby się zająć polityką bezpieczeństwa firmy.