Kibernetična (ne)varnost: Ko smo na spletu, smo tudi v javnosti

»Ko nas je najelo eno večjih slovenskih podjetij, da ugotovimo, kako varen je njihov računalniški sistem, smo jih najprej zaprosili za seznam vseh zaposlenih. Nato smo imena preprosto vnesli v svetovni splet in izvedeli, da je eden od njih zagrizen tekač in reden udeleženec maratonov. Poslali smo mu elektronsko pošto s priponko, okuženo z virusom, ki šifrira datoteke in podatke. V spremni besedi smo zapisali, da je v nagradni igri dobil zastonj startnino na ljubljanskem maratonu in da so v priponki vsa navodila. Dopisali smo še, da če se bo morda odprlo kako varnostno vprašanje, naj ga prejemnik pošte ignorira in klikne OK. Zaposleni v tem podjetju je seveda to naredil in s klikom na priponko šifriral vse podatke oziroma računalniške datoteke v podjetju,« pove strokovnjak za informacijsko varnost, Filovčan Milan Gabor, ki je lastnik in direktor podjetja Viris. Velika podjetja ga najemajo, da vdira v njihove sisteme in jih opozarja na potencialne ranljivosti, da bi bila tako učinkovitejša pri preprečevanju morebitnih zlonamernih poskusov vdorov.

Na Konferenci o računalniški kriminaliteti in kibernetični (ne)varnosti, ki sta jo pripravila Policijska uprava Murska Sobota (PUMS) in Pomurski klub mednarodnega policijskega združenja IPA, je tako predstavil enega od praktičnih primerov, s katerimi drugim podjetjem ali strankam pomaga izboljšati računalniško varnost. Gabor je prav tako velik poznavalec tega, kaj vse z objavami na družbenih omrežjih, uporabljanjem pametnih naprav in aplikacij ter že samo s tem, ko vključimo računalnik in se povežemo v omrežje, razkrivamo o sebi.

Kdo so etični hekerji
Etični heker počne vse, pravi Milan Gabor, kar počne zlonamerni heker, vendar s popolnoma drugim namenom. Skuša vdreti v posamezne informacijske sisteme, jih onesposobiti ter ukrasti pomembne informacije in podatke. Pri tem ni namen osebna korist, ampak ugotavljanje slabosti sistemov, njihova nadgradnja in zaščita. Stranke, ki najemajo storitve Gaborjevega podjetja, so največkrat podjetja, finančne ustanove in tudi javna uprava.

Tarče ljudje, ne tehnologija

Drug praktičen primer. »Greste v trgovino, tam imajo prodajalci na oblačilih ploščico ali kartico z imenom in priimkom. Če je povrhu še kaka simpatična trgovka, si najbrž zapomnite ime in priimek. Doma te podatke vpišete v iskalnik Google in izveste, da ima počitniško hišico na Goričkem. Dva otroka. Psa, ki so ga kupili včeraj. In da v ponedeljek odhajajo na morje. Če greš na dopust, tega podatka ni dobro objaviti na facebooku, ker te lahko ob vrnitvi pričaka prazno stanovanje,« je poudaril Gabor.
Ljudje se sploh ne zavedajo, da so podatki, ki jih brezbrižno objavljajo na družabnih in drugih omrežjih, v napačnih rokah zelo nevarni. Še pred desetletjem in pol je bilo težko dobiti uporabne podatke o posamezniku, če niste bili ravno obveščevalna služba, policija ali kriminalist. Danes pa na facebooku najdete vse, lahko si preberete, kaj imajo ljudje radi in česa ne, kaj jedo, počnejo in kdaj. »Ime in priimek ali telefonska številka so dovolj, da o posamezniku izvemo vse. Če napadalec te podatke kombinira s psihologijo, je praktično vedno uspešen – vsak pade. Žalostno je predvsem to, da se ljudje sploh ne zavedajo nevarnosti, ki jim preti.«

Dejstvo je, da je večina kibernetičnih napadov usmerjena na ljudi, ne na tehnologijo. Kajti ljudje so zmotljivi, tehnologija pa ob ustreznih nastavitvah deluje brezhibno. Večina napadov, za katere vemo, se je začela pri ljudeh, najpogosteje z elektronsko pošto. »S priponko, ki jo hoče naslovnik po nekem čudnem naključju ali iz nekega razloga odpreti. In potem je hitro konec igre. Na ta način po navadi hekerji vdrejo v računalnike drugih oseb. Z odpiranjem neznanih priponk lahko nekomu odpremo vrata v svoj računalnik in ne nazadnje tudi v svojo digitalno identiteto,« je podčrtal etični heker.

Tarča že bili tudi zdravstveni domovi
Aprila 2017 so bili prav vsi zdravstveni domovi po Sloveniji tarča usmerjenega »phishing« napada z okuženo elektronsko pošto. Sporočilo je bilo napisano v lepi slovenščini, brez uporabe Googlovega prevajalnika. Na videz je bilo sporočilo poslano z ministrstva za zdravje. Sporočalo je, da jih bo prihodnji teden obiskala zdravstvena ministrica Milojka Kolar Celarc. Ob kliku na priponko je virus zakodiral podatke in zahteval odkupnino.

Neznano pošto preprosto izbrišite

V letošnji statistiki PUMS so vsaj štirje vdori v računalniške sisteme pomurskih podjetij, ko so storilci žrtev napadli s tako imenovano phishing elektronsko pošto, pri čemer se ob kliku na priponko žrtev okuži z izsiljevalskim virusom. Po okužbi se na žrtvinem računalniku začne proces šifriranja vseh datotek. Virus ne zaklene datotek samo na računalniku, ampak tudi na vseh drugih z računalnikom povezanih medijih. Da bi preprečili napade z lažnim predstavljanjem ali zvabljanjem, je ena od rešitev, da je računalnik, s katerim v podjetju pregledujejo elektronsko pošto, ločen od celotnega računalniškega sistema. Druga pa ta, da elektronsko pošto, ki je ne poznamo, preprosto izbrišemo.

»Naša majhnost nas včasih tudi rešuje. Je pa mogoče, da je bilo v Sloveniji okuženih več podjetij, a ta tega niso želela ali hotela javno priznati.«

Edina možnost, da storilci žrtvi povrnejo podatke, je plačilo odkupnine. »Bodite previdni pri odpiranju elektronske pošte neznanega pošiljatelja in neznanih priponk. Če ste v dvomih, ali je datoteka avtentična, skušajte vzpostaviti stik s pošiljateljem, preden jo odprete,« je svetoval Gabor. Priponko lahko tudi skopiramo kot datoteko v spletno stran virustotal.com in tako sami ugotovimo, ali je okužena z izsiljevalskim virusom.

»Ime in priimek ali telefonska številka so dovolj, da o posamezniku izvemo vse. Če napadalec te podatke kombinira s psihologijo, je praktično vedno uspešen – vsak pade. Žalostno je predvsem to, da se ljudje sploh ne zavedajo nevarnosti, ki jim preti.«

Slovenije sicer ni na prednostnem seznamu tarč hekerjev. Med 232 državami na svetu je po številu napadov na 110. mestu. »Naša majhnost nas včasih tudi rešuje. Je pa mogoče, da je bilo v Sloveniji okuženih več podjetij, a ta tega niso želela ali hotela javno priznati,« je še podčrtal priljubljeni predavatelj o temi varovanja zasebnih podatkov in varnosti na spletu.