Łowienie małych rybek

Jak w ostatnich latach zmienił się schemat cyberataku?

Karolina Czwarno-Kos: Za sprawą rozwoju technologicznego ataki stały się precyzyjniejsze - łatwiej jest targetować działania pod kątem konkretnych organizacji. Do niedawna dominował prosty phishing opierający się na rozsyłaniu wiadomości z zainfekowanymi linkami do ogromnej liczby osób – łapanie mniejszych rybek w dużą sieć. Dziś sztuczna inteligencja umożliwia tworzenie takich ataków, które są niemal nie do wykrycia. AI ma ogromny potencjał do poprawy jakości życia, zwiększenia wydajności i rozwiązywania problemów, jednakże może być również używana w sposób szkodliwy, np. do cyberataków bądź manipulacji informacjami. Kraje i korporacje na całym świecie intensywnie inwestują w rozwój sztucznej inteligencji, dążąc do zdobycia przewagi technologicznej. To prowadzi do szybkiego postępu, ale zwiększa także ryzyko potencjalnych zagrożeń przy niewłaściwym wykorzystaniu technologii.

Robert Grabowski: Krajobraz cyberzagrożeń zmienia się – dawniej incydenty były rzeczywiście raczej prymitywne, nakłaniano np. do przelania pieniędzy. Dziś to bardzo zaawansowane działania, poprzez które cyberprzestępcy wykradają nasze dane czy dostępy do kont bankowych. Małe rybki oczywiście nadal są łowione, gdyż to się po prostu – dosadnie mówiąc – opłaca.

K.C.K.: Niebezpieczną przestrzenią stały się media społecznościowe, będące sporym źródłem fake newsów i „fantastycznych” ofert na zasadzie: „zainwestuj 100 zł i zgarnij 500 zł”. Każda obietnica nagłego zarobku powinna wzbudzić nasze podejrzenia. Problem stanie się tym poważniejszy, że za sprawą rozwoju takich technologii jak deep fake jeszcze łatwiej będzie podszyć się pod znaną osobę – czy to celebrytę, czy np. znajomego. Oczywiście giganci technologiczni pracują nad rozwiązaniami ułatwiającymi wykrycie fałszywych materiałów, nie zmienia to jednak faktu, że musimy być bardzo uważni.

Cyberataki to realne zagrożenie dla każdej firmy, bez względu na jej rozmiar czy branżę, w której działa?

K.C.K.: Najnowsze dane wskazują, że tygodniowo w naszym kraju jest atakowanych 1500 przedsiębiorstw, ponadto z niedawnego raportu Check Point wynika, iż Polska jest najczęściej atakowanym państwem na świecie. Trudno uznać, że jakakolwiek organizacja może spać w pełni spokojnie – z punktu widzenia biznesu nie zastanawiałabym się nad tym, czy moja firma zostanie zaatakowana, lecz kiedy do tego dojdzie i jak można temu zapobiec, aby ograniczyć straty.

R.G.: Używając obrazowego porównania: najniżej wiszące owoce również są atrakcyjnym celem, co wynika z faktu, iż trudniej i drożej jest przygotować atak na jeden wielki podmiot. Współczesnych hakerów interesują przede wszystkim pieniądze, chyba coraz rzadziej ideologia. Z oficjalnych doniesień wiemy, iż kwoty okupów wypłacanych cyberprzestępcom idą w miliony, a to z pewnością jedynie wierzchołek góry lodowej, bo o sporej liczbie incydentów się nie dowiadujemy.

Przedsiębiorcy z żadnej branży nie mogą spać spokojnie, choć wydaje się, że szczególnie niebezpiecznie robi się w obszarach związanych z finansami czy zakupami online.

K.C.K.: Klienci banków zawsze będą łakomym kąskiem. Dużym problemem stał się w tym sektorze vishing, czyli podszywanie się pod pracownika banku podczas rozmowy telefonicznej, który może namawiać np. do zainstalowania złośliwego oprogramowania bądź zalogowania się na fałszywej stronie www. Hakerzy stają się coraz lepiej przygotowani, korzystając z podstawowych informacji, jakie udostępniamy chociażby w mediach społecznościowych. Ataki oparte na socjotechnice, czyli wykorzystujące emocje, są gigantycznym niebezpieczeństwem.

R.G.: Rodzimy sektor bankowy – jeśli chodzi o bezpieczeństwo bankowości elektronicznej – stoi na wysokim poziomie, natomiast to nie instytucje finansowe są głównym celem ataków, ale ich klienci, użytkownicy. Zawsze pamiętajmy, iż jeśli rozmowa telefoniczna wzbudzi jakiekolwiek nasze podejrzenia, należy się rozłączyć i samemu nawiązać kontakt z bankiem. Jak już powiedziano podczas tej dyskusji - trzeba być uważnym.

Jakie więc konkretne działania możemy podjąć, by zadbać o własną higienę cyfrową?

K.C.K.: Choć marzę o świecie bez haseł, one szybko nie znikną – dlatego pamiętajmy, by były jak najbardziej skomplikowane, np. składały się z minimum 15 znaków oraz zarówno dużych, jak i małych liter. Warto również dokonać zamiany niektórych liter na znaki specjalne.

R.G.: Na kwestię haseł należy patrzeć zdroworozsądkowo – funkcjonuje jeszcze tyle zaszłości dotyczących systemów oraz osób, które nie przejdą na technologie „passwordless”, że długo o hasłach nie zapomnimy. Uważam, iż system skomplikowania haseł jest odpowiedni dla maszyn, niekoniecznie dla ludzi.

Jestem natomiast wielkim entuzjastą wieloskładnikowego uwierzytelniania, które powinniśmy włączyć wszędzie, gdzie tylko możemy. Obecnie często jest tak, że jeśli cyberprzestępcy przejmą dostęp do naszej skrzynki mailowej, to mogą bez problemu zresetować hasła do większości innych serwisów, z jakich korzystamy. Brak wieloskładnikowego uwierzytelniania ułatwia im to działanie.

K.C.K.: Chciałabym jeszcze zwrócić uwagę na rolę higienicznego trybu życia – warto np. posiadać osobne konto mailowe do obsługi bankowości elektronicznej, a osobne do zakupów online. Nie zapominajmy przy tym o edukacji najmłodszych – uczymy dzieci, że przed przejściem przez jezdnię muszą spojrzeć w obie strony, ale nie uczymy, że nie powinny odbierać każdego połączenia i akceptować każdej zgody pojawiającej się na ekranie telefonu czy komputera. Skrupulatność i ostrożność to klucz w dbaniu o cyfrową higienę. Dopóki młode pokolenie nie zacznie z większą uważnością obserwować technologię,nbsp;błędy nadal będą popełniane. Człowiek często jest najsłabszym ogniwem.

Cyberryzyko jest wysokie jak nigdy?

R.G.: Jako CERT Orange Polska co roku wydajemy raporty poświęcone minionym miesiącom i muszę przyznać, iż przy okazji ostatniej publikacji po raz pierwszy pojawił się umiarkowany optymizm. Cieszy nas fakt, że po latach wzrostów w końcu wyhamowała liczba osób, które kliknęły w niebezpieczne linki, gdyż to może oznaczać, iż świadomość internautów jest większa, a działania uświadamiające i edukacyjne przynoszą efekty. Mam wrażenie, że wytworzyła się moda na cyberbezpieczeństwo – to dobry znak.

K.C.K.: Ataków jest mnóstwo, ale optymistycznych momentów również nie brakuje. O zagrożeniach trzeba mówić jak najwięcej, nawet jeśli jedna osoba dzięki temu wywiadowi zmieni swoje podejście do cyberbezpieczeństwa, to już będzie to nasz mały sukcesik.

Wiele będzie się działo się w kontekście legislacyjnym – wchodzi coraz więcej regulacji wymuszających konkretne działania w zakresie cybersecurity. Miejmy nadzieję, że stajemy się ostrożniejsi, ale tak jak powiedziałam na początku – AI to ogromna szansa, ale też i zagrożenie. Doświadczamy pewnego rodzaju wyścigu zbrojeń, więc nawet jeśli dziś czujemy się pewnie, nie wiadomo, jak będziemy czuć się jutro. Sytuacja jest dynamiczna.

R.G.: Jakkolwiek dziwnie to zabrzmi, hakerzy stali się ofiarami własnego sukcesu. Masowość cyberincydentów sprawiła, że o tym temacie zrobiło się głośno. Oby tylko zainteresowanie – nie tylko mediów - nie malało.