"Łatanie" ludzkich słabości

Dzisiejszy krajobraz zagrożeń jest bardzo złożony. Cyberprzestępcy wykorzystują cały ich wachlarz, aby "porywać" komputery użytkowników i nielegalnie zarabiać pieniądze. Zagrożenia te ...

Dzisiejsze złożone zagrożenia

Dzisiejszy krajobraz zagrożeń jest bardzo złożony. Cyberprzestępcy wykorzystują cały ich wachlarz, aby "porywać" komputery użytkowników i nielegalnie zarabiać pieniądze. Zagrożenia te obejmują różne rodzaje trojanów, robaki, wirusy oraz exploity, które umożliwiają szkodliwemu oprogramowaniu wykorzystywanie luk w zabezpieczeniach systemu operacyjnego lub aplikacji. Cyberprzestępcy posługują się również szeregiem wyrafinowanych technik, które pozwalają na ukrycie aktywności szkodliwego oprogramowania lub utrudniają analitykom wirusów znalezienie, analizę i wykrycie szkodliwego kodu.

O problemie cyberprzestępczości i jego rozwiązaniu łatwo myśleć w kategoriach czysto technicznych. Jednak według mnie zwalczanie "ludzkich" aspektów cyberprzestępczości jest równie istotne.

Ludzie: najsłabsze ogniwo w łańcuchu bezpieczeństwa

Niezależnie od technicznego zaawansowania dzisiejszych szkodliwych programów, cyberprzestępcy często próbują wykorzystać ludzkie słabości w celu rozprzestrzeniania swoich programów. Nie powinno to nikogo dziwić. Człowiek zwykle jest najsłabszym ogniwem każdego systemu bezpieczeństwa. Przykładem może być zabezpieczanie domu: nawet jeśli masz najlepszy alarm antywłamaniowy na świecie, jeśli go nie aktywujesz, to tak jakbyś nie miał żadnej ochrony. To samo odnosi się do bezpieczeństwa online. Cyberprzestępcy nadal powszechnie wykorzystują socjotechnikę, tj. próbują nakłonić ludzi, aby zrobili coś, co zmniejszy ich bezpieczeństwo online.

Ciągłą skutecznością charakteryzują się oszustwa phishingowe, których celem jest zwabienie użytkowników na fałszywe strony internetowe, aby ujawnili tam swoje informacje osobowe, takie jak nazwy użytkownika, hasła, numery PIN i inne dane, które mogą zostać wykorzystane przez cyberprzestępców. Klasyczne oszustwo phishingowe przybiera postać spekulacyjnej wiadomości e-mail, wysyłanej na miliony adresów w nadziei, że wystarczająca liczba osób złapie się na "haczyk" i kliknie zawarty w mailu odsyłacz. Takie ataki nadal są często przeprowadzane.

Jednak, podobnie jak kieszonkowcy, oszuści internetowi również podążają za modą. Zważywszy na coraz większą liczbę osób korzystających z portali społecznościowych, takich jak Facebook, MySpace, LinkedIn czy Twitter, nikogo nie powinno dziwić, że serwisy te stają się celem coraz większej liczby ataków cyberprzestępców. Cyberprzestępcy włamują się na konta na Facebooku, a następnie wykorzystują je do rozsyłania wiadomości zawierających odsyłacze do szkodliwych programów. Mogą też rozsyłać "tweety" z odsyłaczami, ukrywając ich rzeczywisty adres za pomocą usługi skracania adresów URL, lub po prostu udawać przyjaciela, który zgubił się w odległym kraju i desperacko potrzebuje pieniędzy na powrót do domu. Żadna z tych metod nie jest specyficzna dla portali społecznościowych: cyberprzestępcy po prostu wykorzystują metody, które już wcześniej okazały się skuteczne.

O popularności socjotechniki świadczy również wzrost liczby programów typu "scareware". Na stronie internetowej ukazuje się komunikat wyskakujący, informujący, że Twój komputer został zainfekowany i powinieneś pobrać darmowe oprogramowanie antywirusowe, aby usunął szkodliwe oprogramowanie, które rzekomo zostało wykryte. Gdy jednak pobierzesz i uruchomisz taki program, zostaniesz poinformowany, że do wyleczenia komputera potrzebujesz "pełnej" wersji - za którą musisz zapłacić. Takie oprogramowanie pozwala cyberprzestępcom upiec dwie pieczenie na jednym ogniu: nie tylko wyłudzają od Ciebie pieniądze, ale również zdobywają dane Twojej karty kredytowej.

Jednym z problemów związanych z atakami wykorzystującymi socjotechnikę jest to, że stanowią ruchomy cel: kolejne oszustwa nigdy nie wyglądają tak samo. Z tego powodu zwykłym użytkownikom trudno jest określić, co jest bezpieczne a co nie.

Naturalnie, brak świadomości to nie jedyny problem. Darmowe treści audio, wideo lub zdjęcia nagich gwiazd to popularny chwyt, za pomocą którego oszuści próbują nakłonić ludzi do kliknięcia odsyłacza, który powinni zignorować. Zdrowy rozsądek często podpowiada, że jeżeli coś wydaje się zbyt piękne, żeby było prawdziwe, prawdopodobnie nie jest prawdziwe. Jednak ten sam zdrowy rozsądek czasami zostaje uśpiony, właśnie wtedy gdy powinien ostrzec Cię, że podjęcie działania - w tym przypadku kliknięcie odsyłacza - może być szkodliwe.

Czasami, żeby ułatwić sobie życie, idziemy na skróty i po prostu nie uświadamiamy sobie, w jaki sposób nasze działania wpłyną na nasze bezpieczeństwo. Dotyczy to na przykład haseł. Transakcji biznesowych coraz częściej dokonujemy online - zakupy, transakcje bankowe, płacenie rachunków itd. Nierzadko posiadamy 10, 20 lub więcej kont online, dlatego zapamiętanie (a nawet wybranie) unikatowego hasła dla każdego z nich jest bardzo trudne. W tej sytuacji dobrą opcją wydaje się stosownie tego samego hasła dla każdego konta lub wykorzystanie imienia dziecka, małżonka lub miejsca, które jest dla nas ważne ze względów osobistych, a przez to łatwe do zapamiętania. Inną powszechnie stosowaną metodą jest "recykling" haseł - na przykład wykorzystanie "mojeimię1", "mojeimię2", "mojeimię3" itd. dla kolejnych kont. Każda z tych metod zwiększa prawdopodobieństwo, że cyberprzestępca odgadnie hasło lub, jeżeli uda mu się włamać na jedno z kont, łatwo uzyska dostęp do pozostałych. Jednak ryzyko to nie jest oczywiste dla użytkowników, którzy nie są zaawansowani technicznie. Nawet jeśli są świadomi potencjalnego zagrożenia, nie widzą "alternatywy", jako że nie są w stanie zapamiętać 10, 20 czy większej liczby haseł.

Jednak problem haseł da się rozwiązać. Zamiast próbować zapamiętać poszczególne hasła, stwórz stały składnik swoich haseł, a następnie zastosuj do niego prostą formułę. Oto przykład: do nazwy zasobu online, powiedzmy "mójbank", zastosuj następującą formułę:

• Czwarty znak napisz wielką literą.
• Przedostatni znak przesuń do przodu.
• Po drugim znaku dodaj wybraną liczbę.
• Na końcu dopisz wybrany znak niealfanumeryczny.

Hasło będzie miało postać: "Nm1ójBak;". Przy użyciu tej metody, za każdym razem wykonując te same cztery kroki, możesz stworzyć unikatowe hasło dla każdego konta online.

Co należy zrobić?

Naturalnie technologia stanowi trzon każdego rozwiązania zwalczającego szkodliwe oprogramowanie. Nierozsądnie byłoby jednak ignorować ten aspekt bezpieczeństwa, który wiąże się z człowiekiem. W realnym świecie wiemy, że alarmy antywłamaniowe, zabezpieczenia okien oraz łańcuchy bezpieczeństwa zakładane na drzwiach mogą stanowić skuteczne sposoby zabezpieczenia nieruchomości. Na nic się jednak zdadzą, jeżeli ktoś z własnej woli otworzy drzwi nieznajomemu.

Podobnie, korporacyjna strategia bezpieczeństwa będzie mniej skuteczna, jeżeli nie uwzględni jednego elementu - człowieka. Oprócz zabezpieczenia zasobów cyfrowych musimy znaleźć twórcze sposoby wyeliminowania "słabości", jakie stanowią zasoby ludzkie.

Nie jest to tylko problem biznesu. Większość indywidualnych użytkowników, którzy korzystają z Internetu w domu, boryka się z tymi samymi problemami. Jako społeczeństwo musimy znaleźć sposoby podniesienia świadomości zagrożeń związanych z aktywnością online i opracować skuteczne metody zminimalizowania ryzyka.