Z Gerardem Frankowskim rozmawia Karolina Michalak.
Karolina Michalak: W ostatnich miesiącach regularnie słyszymy o atakach hakerskich, wyciekach danych i oszustwach internetowych, czy faktycznie to jest tak duża skala, czy to media podkręcają tematy dla większej klikalności? Czy w związku z tym mamy powody do obaw?
Gerard Frankowski: Skala jest na pewno duża i media mają w tym swój udział, ponieważ nie od dziś wiadomo, że sensacje mniejsze czy większe lepiej się sprzedają, ale nie można odmówić mediom również roli ostrzegawczej i edukacyjnej. Jest oczywiście kilka przyczyn, które w ostatnim czasie tę skalę zwiększają. Pierwszym powodem jest sytuacja geopolityczna. Coraz częściej obserwujemy ataki na infrastrukturę krytyczną czy systemy instytucjonalne, ale nie musi chodzić w nich o wyrządzenie takiej szkody, jaką obserwujemy w przypadku typowych działań cyberprzestępczych – kradzieży danych czy środków finansowych. Dla obcej siły przeprowadzenie takiego ataku może być sposobem na testowanie zabezpieczeń na wybranych komputerach, czy można je łatwo przejąć, albo w jaki sposób najlepiej je atakować. Dalszym krokiem może być przygotowanie do późniejszego, rozproszonego ataku na konkretny cel. To znaczy, że strona atakująca najpierw chce przejąć jak największą liczbę komputerów znajdujących się w Polsce, a następnie wykorzystać je do przeprowadzenia skoordynowanego, zmasowanego ataku np. na system rządowy. Ruch wtedy nie pochodzi bezpośrednio z infrastruktury Państwa, które przeprowadza atak, skąd może być łatwiej zablokowany.
KM: Czyli prywatny komputer może posłużyć do ataków hakerskich?
GF: Tak. W takich atakach chodzi tylko o to, żeby komputer był już w Polsce, czyli w jakiś sposób jawił się jako bardziej zaufany. Użytkownicy usług publicznych łączą się przede wszystkim z naszego kraju, nie można więc ich co do zasady zablokować. Z punktu widzenia przeciwnika znacznie łatwiej jest przejąć komputer „zwykłej” osoby, która nie zawsze jest świadoma zagrożeń, niż komputer w organizacjach. Drugim elementem, który podniósł skalę ataków, jest wykorzystanie sztucznej inteligencji do przyspieszania procesu wyszukiwania podatności w oprogramowaniu o otwartym kodzie źródłowym, komputerach i systemach, a następnie użycia ich do różnych celów. Chodzi o możliwość wyrządzenia szkody poprzez wykorzystanie luki, znalezionego błędu czy podatności. Sztuczna inteligencja jest, w pewnych zadaniach związanych z odkrywaniem błędów w kodzie, szybsza niż człowiek, zatem wykorzystanie AI sprawia, że takich działań może być zdecydowanie więcej (a niewiele osób potrafi samodzielnie znaleźć taki błąd) i mogą być przeprowadzone na większą skalę.
KM: Czym jest cyberatak?
GF: Cyberatak możemy określić jako pewnego rodzaju nadużycie, wykorzystanie technologii czy połączeń komputerowych do czynności, których nie przewidzieli twórcy danego systemu, w celu osiągnięcia korzyści przez atakującego. Najczęściej będzie to kradzież danych, pieniędzy, publikacja fałszywych informacji albo wykorzystanie systemu do dalszego ataku.
KM: Kiedy powinna nam się zapalić czerwona lampka, że z moim komputerem jest coś nie tak i mógł zostać zhakowany?
GF: To zależy od rodzaju ataku. Są na przykład ataki typu APT, czyli Advanced Persistent Threat, w których celem atakujących jest właśnie pozostanie niezauważonym. Chodzi o to, żeby użytkownik niczego nie podejrzewał, a atakujący miał dostęp do systemu i na przykład na bieżąco przejmował ważne informacje.
Z drugiej strony mamy ataki ransomware, w których komputer lub dane zostają zaszyfrowane, a użytkownik na swoim monitorze zobaczy wyświetlone żądanie okupu w zamian za klucz pozwalający dane odszyfrować.
KM: A jak taki ransomware może dostać się na mój komputer?
GF: Jednym z najczęstszych sposobów jest otwarcie złośliwego załącznika albo kliknięcie w link przesłany na przykład w wiadomości e-mail. Zatem najczęściej sami wpuszczamy atakującego. Jeżeli na przykład użytkownik korzysta z nieaktualnego czytnika dokumentów PDF i otworzy specjalnie przygotowany plik PDF zawierający exploit, czyli złośliwy kod wykorzystujący lukę w zabezpieczeniach istniejącą w tej starszej wersji czytnika, atakujący może w ten sposób przejąć kontrolę nad komputerem. Zdarzały się jednak również przypadki – bardzo rzadkie, ale znacznie groźniejsze – takie, w których podatność znajdowała się w oprogramowaniu działającym na komputerze bez bezpośredniego udziału użytkownika. Może to być na przykład sam system operacyjny czy program antywirusowy. W takiej sytuacji wystarczyło przesłać do urządzenia odpowiednio spreparowany plik czy nawet konkretny komunikat sieciowy, aby wykorzystać lukę i przejąć kontrolę nad urządzeniem. Podobne sytuacje miały miejsce również w przypadku telefonów komórkowych. Istniała na przykład podatność, która pozwalała przejąć urządzenie po prostu poprzez wysłanie do niego odpowiednio spreparowanej wiadomości MMS. Użytkownik nie musiał nawet jej otwierać. Dlatego jednym z najważniejszych elementów bezpieczeństwa komputerowego dla każdego jest regularne aktualizowanie systemu i używanego oprogramowania oraz zachowanie ostrożności przy otwieraniu załączników i klikaniu w linki.
KM: Otrzymałam e-mail z załącznikiem, otworzyłam go i okazało się, że mój komputer został zainfekowany. Co powinnam wtedy zrobić?
GF: Odłączyć komputer od sieci, żeby uniemożliwić złośliwemu oprogramowaniu dalsze działania, takie jak odebranie poleceń od napastnika przesłanie wykradzionych danych. Najlepiej odłączyć kabel sieciowy, ale nie wyłączać od razu komputera. Jeżeli chcemy później ustalić, co dokładnie się wydarzyło, działający system może zawierać cenne informacje i ślady ataku. Niektóre rodzaje złośliwego oprogramowania mogą próbować zatrzeć ślady właśnie w momencie zamykania systemu.
KM: Czyli nawet jeśli coś się wydarzyło, w systemie mogą pozostać ślady?
GF: Złośliwe oprogramowanie może pozostawić ślady w różnych miejscach systemu, a odnalezienie ich nie zawsze jest proste. Ważne mogą być także choćby fałszywe maile przesłane przez osobę, której udało się wyłudzić dane. W przypadku zwykłego użytkownika najważniejsze jest jednak zadziałanie jeszcze przed atakiem – zwracanie uwagi na nietypowe sytuacje czy zachowania i po prostu zachowanie zdrowego rozsądku. Podejrzane wiadomości w e-mailu albo komunikatorze, prośby o hasło czy numer karty kredytowej, niezwykłe „okazje”, informacje o rzekomych wygranych czy prośby o przekazanie pieniędzy powinny wzbudzić naszą czujność.
KM: A czy można zostać zainfekowanym bez otwierania poczty i klikania w link? Na przykład podczas zwykłego przeglądania stron internetowych?
GF: Tak. Choć takie przypadki są stosunkowo rzadkie. Jeżeli korzystamy z nieaktualnej przeglądarki, możemy trafić na stronę zawierającą specjalnie przygotowany złośliwy element, na przykład obrazek wykorzystujący lukę w zabezpieczeniach tej części przeglądarki, która wyświetla obrazki. W niektórych przypadkach wystarczy samo wejście na taką stronę (dlatego też uważajmy, jakie serwisy odwiedzamy i czy ktoś na przykład nas do tego usilnie nakłania) – użytkownik nie musi nawet niczego klikać. Jest to też powód, dla którego tak ważne jest regularne aktualizowanie systemu, przeglądarki i pozostałego oprogramowania. To zminimalizuje zagrożenie.
KM: A czy ma znaczenie, skąd pobieramy aplikacje?
GF: Oczywiście. Najbezpieczniej korzystać z oficjalnych sklepów i stron producentów. Warto również sprawdzić opinie, liczbę pobrań oraz reakcje producenta na zgłaszane problemy. Nie daje to 100% gwarancji, ponieważ nawet w oficjalnych sklepach zdarzają się pojedyncze złośliwe aplikacje, ale lepszego sposobu dla przysłowiowego Kowalskiego po prostu nie ma. Nie powinniśmy również instalować programów z przypadkowych linków, np. przesłanych e-mailem albo w komunikatorze. Lepiej pobierać programy bezpośrednio ze strony producenta czy oficjalnego sklepu z apkami dla platformy naszego smartfona.
KM: Skupiliśmy się na Kowalskim, a co w przypadku firm i organizacji, które przetwarzają tysiące informacji? Co powinny zrobić, aby realnie zadbać o swoje cyberbezpieczeństwo?
GF: Myślę, że to temat na osobną, bardzo długą rozmowę. Z jednej strony jednak wszystko to, co powiedzieliśmy dotychczas, ważne jest dla każdej osoby, która obok bycia po prostu użytkownikiem cyberprzestrzeni, jest też pracownikiem organizacji. Świadomość podstawowych kwestii cyberbezpieczeństwa jest kluczowa dla każdego, kto korzysta z nowoczesnych usług informacyjnych. Ze strony drugiej, organizacja powinna zapewnić odpowiedni, usystematyzowany sposób postępowania każdego w jej ramach, zależnie od pełnionej funkcji – w tym opracować odpowiednie procedury, sposoby konfiguracji sieci i systemów, korzystając oczywiście ze znanych standardów i dobrych praktyk (a także dostosowując się do odpowiednich wymagań prawnych). Jeśli miałbym zawrzeć ogrom niezbędnej wiedzy w dwóch zdaniach – organizacja powinna stosować tak zwaną strategię ochrony dogłębnej, mnożąc zabezpieczenia na poszczególnych warstwach: świadomości Użytkowników i procedur, zabezpieczeń fizycznych, danych, oprogramowania, systemów i sieci. Należy dążyć do takiego utrudnienia ataku, aby nie opłacał się on przeciwnikowi (na przykład musiałby poświęcić zbyt dużo czasu na znalezienie luki, a właściwie w tym przypadku – całego ich łańcucha, albo zbyt wiele ryzykował wykryciem).
KM: Jaką ofertę przygotowało PCSS dla organizacji, firm, instytucji? Czy mamy też coś dla wspomnianego przysłowiowego Kowalskiego?
GF: Dział Bezpieczeństwa ICT już od ponad ćwierć wieku dzieli się swoim doświadczeniem na rynku komercyjnym. Mamy zatem przetarte ścieżki współpracy, wypracowane praktyki i procedury. Możemy przeprowadzić audyt bezpieczeństwa aplikacji, serwera, ale i całej sieci, żeby obniżyć ryzyko rzeczywistego ataku (możemy nawet je dokładnie zmierzyć, wykonując test penetracyjny, czyli kontrolowaną próbę faktycznego włamania do systemu albo sieci, albo testowy atak socjotechniczny na organizację). Jeżeli już zaszła taka potrzeba, możemy też pomóc w analizie ataku, wesprzeć przygotowanie materiałów dla służb, odnaleźć i załatać luki, które doprowadziły do nieszczęścia. Możemy również zweryfikować, albo opracować dokumentację bezpieczeństwa, a także przeszkolić wszystkich Użytkowników, Administratorów, a nawet Programistów (tych ostatnich – jak pisać aplikacje, które błędów bezpieczeństwa będą mieć jak najmniej). Warto tu wspomnieć o szczególnie ciekawej ofercie dla sektora małych i średnich przedsiębiorstw. W PCSS działa Europejski Hub Innowacji Cyfrowych, wyspecjalizowany w obszarze cyberbezpieczeństwa – CyberSec EDIH. Wspólnie z kilkoma Partnerami oferujemy wybrane usługi, także związane z wdrażaniem systemów sztucznej inteligencji – dla sektora MŚP w całej Polsce bezpłatnie (a to dzięki dofinansowaniu krajowemu i unijnemu). W razie zainteresowania zachęcamy do kontaktu poprzez stronę https://cyber-sec.net.pl/. Każdy Użytkownik, nawet tak zwany nietechniczny, może skorzystać, chociażby ze szkoleń świadomościowych, które prowadzimy przy różnych okazjach – takich jak Dzień Bezpiecznego Internetu czy Noc Naukowców. Okazjonalnie wspieramy również różnego rodzaju wydarzenia edukacyjne o otwartym dostępie – m.in. w ramach projektu „Nauka na szlaku pracy organicznej 2.0” 23 października 2-26 w Turwi będę mieć przyjemność opowiedzieć właśnie o tym, w jaki sposób każdy z nas może i powinien chronić się przed zagrożeniami w cyberprzestrzeni.
KM: A jeśli mielibyśmy stworzyć taki dekalog, 10 przykazań bezpiecznego komputera, to jak one by brzmiały?
GF: Czy dekalog może być w systemie szesnastkowym, wtedy zmieścimy więcej zaleceń? Nie? Zatem dziesięć przykazań bezpiecznego komputera to:
1. Aktualizuj.
Regularnie aktualizuj system operacyjny, przeglądarkę i wszystkie używane programy. Jako użytkownik domowy włącz aktualizacje automatyczne tam, gdzie to możliwe.
2. Nie pracuj cały czas jako administrator.
Korzystaj ze zwykłego konta użytkownika i przyznawaj podwyższone uprawnienia tylko wtedy, gdy jest to niezbędne – na przykład, gdy chcesz zainstalować nowy (sprawdzony!) program.
3. Instaluj tylko to, czego potrzebujesz.
Im więcej aplikacji, tym większa powierzchnia potencjalnego ataku. Niepotrzebne programy usuwaj.
4. Pobieraj aplikacje z zaufanych źródeł.
Korzystaj z oficjalnych sklepów i stron producentów. Uważaj na programy przekazywane z niepewnych źródeł. Na smartfonie unikaj przyznawania aplikacjom zbyt szerokich uprawnień, jeśli o nie proszą.
5. Stosuj długie i unikalne hasła.
Dobre hasło powinno być przede wszystkim długie, to uznaje się nawet za ważniejsze od cyfr czy znaków specjalnych. Pomocne są np. łatwe do zapamiętania, ale trudne do odgadnięcia passphrase np. FioletowePodwodneJabłuszka. Żeby łatwo zarządzać różnymi hasłami do wielu usług – skorzystaj z aplikacji menedżera haseł, zainstalowanego na komputerze.
6. Włącz uwierzytelnianie wieloskładnikowe.
Jeżeli usługa oferuje uwierzytelnienie wieloskładnikowe (na przykład oprócz hasła – kod wysłany na maila lub SMS-em), korzystaj z niego. Dodatkowy czynnik znacznie utrudnia przejęcie konta.
7. Rób kopie zapasowe.
Regularny backup, zgrany na osobny dysk czy pendrive, może uratować Twoje dane w przypadku awarii, utraty sprzętu czy ataku ransomware.
8. Nie podłączaj nośników nieznanego pochodzenia.
Pendrive czy dysk znaleziony lub otrzymany z niepewnego źródła może zawierać złośliwe oprogramowanie.
9. Nie ufaj wiadomościom i linkom.
Nawet najlepsze zabezpieczenia nie zastąpią zdrowego rozsądku. Warto uważać na podejrzane wiadomości, linki, załączniki i oferty, które wydają się zbyt piękne, żeby były prawdziwe. Zanim klikniesz link lub otworzysz załącznik, sprawdź nadawcę i zastanów się, czy wiadomość rzeczywiście ma sens, na przykład czy jesteś klientem tego nadawcy.
10. Bądź czujny.
Program antywirusowy i inne zabezpieczenia pomagają, ale nie chronią w 100%. Najważniejszym elementem bezpieczeństwa jest świadomy i czujny użytkownik.