Cyberwłamania dla przyjemności. Hakerzy atakują

Tekst ukazał się w

tygodniku Uważam Rze

w październiku 2011

Te największe, a w każdym razie najsłynniejsze ataki – na amerykański Senat, serwery CIA, a także serwery firm Nintendo, Sony, Google czy Fox – nie były wcale dla pieniędzy. Były dla zabawy – przyznają sami hakerzy. Dla satysfakcji, jaką daje pokonanie zabezpieczeń i pochwalenie się tym w sieci. Ale dla instytucji, które padły ofiarą takiego włamania, to ogromny problem. Tak wielki, że zabezpieczenie infrastruktury sieciowej przed atakami jest traktowane równie poważnie jak zagrożenie ze strony terrorystów.

Igrzyska hakerów

Przed igrzyskami olimpijskimi w Londynie w 2012 roku komputery zostaną poddane „stress testom". Organizatorzy przygotowują się na najgorsze scenariusze – atak hakerów lub infekcje wirusowe, które mogą zablokować system informatyczny.

Podczas igrzysk w Pekinie hakerzy atakowali serwery ok. 12 mln razy... dziennie – przypomina Gerry Pennell odpowiedzialny za system informatyczny obsługujący igrzyska w 2012 r. Dlatego teraz zdecydowano się przeprowadzić symulację – 100 osób będzie udawało włamywaczy i zrobi wszystko, żeby rozłożyć system na łopatki.

– Pozorujemy poprzednie tego typu imprezy, a nasz zespół będzie próbował narobić problemów – wpuszczą wirusy, odłączą serwery. Wszystko odbywać się będzie w wyizolowanym systemie, aby nie było obaw, że uszkodzimy jakieś dane – mówi Patrick Adiba z firmy Atos odpowiedzialnej za przygotowanie zabezpieczeń informatycznych.

Organizatorzy boją się hakerów, bo ostatnie miesiące stały właśnie pod znakiem włamań. Takie grupy jak Anonymous i LulzSec w ciągu dosłownie kilku tygodni pokazały, jak łatwo można zniszczyć wiarygodność potężnych firm. A co najgorsze – nie byli to „profesjonaliści", lecz amatorzy, którzy wszystko robili dla rozrywki.

„My, LulzSec, jesteśmy małą grupą wesołych ludzi, którzy uważają, że cyberspołeczność jest ponura i nudna, więc trzeba ją rozweselić. Ludzie bawią się tylko w piątki, gdy zaczyna się weekend. Dlatego postanowiliśmy się postarać, aby dobra zabawa trwała bez przerwy, przez cały rok kalendarzowy" – napisali hakerzy w Internecie.

(H)aktywiści

I zabawa zaczęła się na całego: Sony, Nintendo, sieć Fox, producent gier Bethesda Game Studios, amerykańska agencja CIA i Senat. Wszystkie padły ofiarą „dowcipów" anonimowych hakerów. To tzw. haktywiści – włamywacze wykorzystujący wiedzę i umiejętności hakerskie do osiągania celów społecznych czy politycznych. Innymi słowy – nie robią tego dla pieniędzy, ale dla poklasku. W ten sposób hakerzy m.in. usiłowali zwrócić uwagę na potrzebę poparcia WikiLeaks. Prawdopodobnie grupa Anonymous zaatakowała z powodzeniem sieć Sony – z zemsty za nękanie hakera, który zajmował się przeróbkami konsoli gier PlayStation 3.

Według Zone-H taka działalność nabiera tempa. W 2010 r. zarejestrowano 1,5 mln „włamań dla satysfakcji".

Na potwierdzenie swych słów hakerzy z Anonymous i LulzSec pokazują fragmenty dokumentów wykradzionych z zaatakowanych serwerów.

– To są prawdziwe dane – mówi John Baumgardner z Cyber Consequences Unit. – Jest to szczególnie kłopotliwe dla amerykańskiego Senatu, ponieważ to on zawsze żądał od innych wyjaśnień, dlaczego zabezpieczenia zawiodły.

Hakerzy z LulzSec, którzy nazwę grupy wzięli ze zniekształconego internetowego skrótu oznaczającego wyśmiewanie się („LOL"), najwyraźniej świetnie się bawią. Atak na komputery Senatu przeprowadzono wkrótce po tym, jak USA uznały, że cyberataki są podstawą do użycia broni konwencjonalnej. „Czy to już wypowiedzenie wojny?" – napisali.

Grupa LulzSec jeszcze do niedawna czuła się na tyle pewnie, że uruchomiła infolinię dla osób chcących „złożyć zamówienie" na kolejny atak. Wystarczyło zadzwonić pod odpowiedni numer i wskazać firmę lub instytucję. To podobno właśnie w ten sposób ktoś podsunął hakerom pomysł ataku na komputery CIA.

Dzwoniących witał nagrany głos kogoś, kto przedstawia się jako Pierre Dubois i mówił z mocnym francuskim akcentem. Numer infolinii wskazywał na adres w amerykańskim Ohio. Serwer obsługujący ich stronę internetową stał w kalifornijskim Palo Alto.

Przez długi czas włamywacze pozostawali nieuchwytni. Ale rozmach ich działań zwrócił uwagę policji. Udało się zidentyfikować kilku domniemanych członków LulzSec. Zostali aresztowani w Wielkiej Brytanii – są nastolatkami. Sama grupa poinformowała zaś, że zawiesza działalność.

Klub obywatelski

Choć lista dokonań LulzSec jest imponująca, rzeczywiste straty spowodowane włamaniami nie są duże. Haktywiści po prostu dobrze się bawili. Niekiedy tacy hakerzy nawet ujawniają próby włamań czy elektronicznego szpiegowania.

Przykład? To dzięki niemieckiemu Chaos Computer Club zdemaskowano zaledwie kilka dni temu skandal związany z próbą wykorzystania przez władze wirusów do szpiegowania obywateli.

Hakerzy z CCC zidentyfikowali wirusa, którego władze pięciu niemieckich krajów związkowych używały do śledzenia obywateli. Bawaria, Badenia-Wirtembergia, Brandenburgia, Dolna Saksonia i Szlezwik-Holsztyn przyznały się do stosowania oprogramowania do zdobywania informacji o swoich obywatelach. Program R2D2 (nazywany też Federal Trojan) – jak ustalili hakerzy – działał jak typowy wirus. Rejestrował naciśnięcia klawiszy (tzw. keylogger), co poz-walało na zdobywanie haseł do kont. Śledził rozmowy przez popularne komunikatory internetowe, mógł nawet nagrywać rozmowy przez Skype'a. Jeżeli komputer był wyposażony w mikrofon i kamerę, program mógł je nawet samodzielnie uruchomić i podglądać użytkownika.

– Nie mamy wątpliwości, że to władze stworzyły ten program. Inaczej byśmy tego nie upublicznili – mówiła Constanze Kurz z Chaos Computer Club w radiu NDR.

– Nie mamy powodu, żeby nie wierzyć CCC – przyznaje Mikko Hypponen z F-Secure, firmy zajmującej się zabezpieczeniami komputerów. – Wyniki ich badań od lat potwierdzają swoją wiarygodność.

Badanie wirusa oraz prześledzenie wstecz kolejnych infekcji pozwoliło zdobyć pewność, że źródłem były agendy państwowe. Wybuchł skandal. Przedstawiciele poszczególnych krajów związkowych zapewniają, że wirus był wykorzystywany wyłącznie w granicach prawa – w celu zidentyfikowania sprawców poważnych przestępstw.

Po ujawnieniu sprawy przez klub hakerów do stosowania takiego oprogramowania od 2009 r. przyznał się minister spraw wewnętrznych Bawarii Joachim Herrmann.

Ile to kosztuje

Efektem działania hakerów oczywiście nie zawsze jest tylko rozgłos i ujawnienie nadużyć władzy. Zaatakowane przez nich firmy często ponoszą wymierne straty. Wykradzione dane o kontach klientów mogą trafić nie do nastolatków, ale do prawdziwych przestępców, którzy wykorzystają je do opróżnienia naszych portfeli.

Według Ponemon Institute straty powstałe w wyniku ataków na serwisy internetowe wielkich firm sięgają średnio 318 dol. na jedno „wykradzione" konto. Jeszcze gorsze są straty wizerunkowe, bo klienci mogą nie chcieć ponownie zaufać okradzionej firmie.

Takie kłopoty miała m.in. korporacja Sony, na serwery której w tym roku włamali się hakerzy. Uzyskali dostęp do 77 mln kont sieci obsługującej użytkowników konsoli PlayStation.

– Sprawa ma charakter globalny – 77 mln kont na świecie, w tym 32 mln w Europie. W Polsce zarejestrowanych jest 375 tys. kont, z czego 43 tys. z danymi o kartach kredytowych – mówił wtedy Maciej Kmiołek z Sony Computer Entertainment Polska.

– Mówiąc wprost, to jedno z największych włamań w ostatnich latach – komentował Josh Shaul z Application Security, firmy zajmującej się zabezpieczeniami danych.

Jakby tego było mało, przed kilkoma dniami hakerzy jeszcze raz pokonali zabezpieczenia Sony – podobno ulepszone. Tym razem przejęto ponad 90 tys. kont użytkowników sieci PlayStation.

To jednak nie była największa elektroniczna katastrofa. Wcześniej hakerzy wykradli 130 mln numerów kont z Heartland Payment Systems. Z sieci sklepów T. J. Maxx wyciekły informacje o 100 mln kont.