Hakerzy muszą dziś tylko umieć czytać i pisać

Rewolucja technologiczna postępuje w ekspresowym tempie. Świat wchodzi w erę szybkiego rozwoju sztucznej inteligencji, która jeszcze bardziej przyspieszy postęp. – Świadomość ryzyk cybernetycznych, a co za tym idzie – sprzedaż polis, które mają chronić przed skutkami finansowymi ataków, jest zdecydowanie największa w USA. Później jest Europa Zachodnia. W Polsce wciąż jesteśmy daleko w tyle – mówią Tomasz Dolata i Maciej Kleina z Grupy ERGO Hestia

M.K.: Wykorzystania technologii do nieuczciwych działań. Coraz łatwiej będzie paść ofiarą oszustwa. Zmieni się sposób przeprowadzania ataków, ale finał będzie ten sam – wykradane loginy, wyłudzane dane, oczyszczone z pieniędzy konta, żądania okupu za zwrot skradzionych danych itd.

T.D.: Bardzo popularne są ataki phishingowe, oparte choćby na wiadomościach e-mail lub SMS, które dziś w znaczący sposób wykorzystują AI. Do tego dochodzi podkładanie czyjegoś głosu, co uwiarygadnia komunikat przestępcy i sprawia, że jego działania mają większe szanse zakończyć się sukcesem. Wykorzystuje się to również w atakach na firmy. Gdy odbieramy telefon i słyszymy głos szefa, nie podajemy przecież w wątpliwość tego, że to właśnie on się z nami komunikuje. To jeden ze sposobów, by pozyskać wrażliwe dane. AI może być wykorzystywana do pisania oprogramowania łamiącego zabezpieczenia infrastruktury teleinformatycznej firm i instytucji.

M.K.: Dochodzi coraz częściej do ataków złośliwego oprogramowania, brutalnych i systematycznych, uderzających w infrastrukturę firmowej sieci. W modzie jest ransomware – oprogramowanie, które blokuje firmie dostęp do systemu komputerowego lub uniemożliwia odczyt zapisanych w nim danych. Po ataku hakerzy zgłaszają się z propozycją okupu za przywrócenie stanu pierwotnego. W Stanach Zjednoczonych to prawdziwa plaga.

Dotychczas bycie hakerem wiązało się z pewną barierą. Trzeba było posiąść pewne umiejętności, wiedzę programistyczną, sprawnie poruszać się w dark necie, by kupić odpowiedni program, zapłacić za niego w bitcoinach itd. Dla wielu to bariera nie do przejścia. Teraz, gdy mamy AI, która za nas napisze program, wykreuje obraz, dźwięk, przełamie zabezpieczenia, wystarczy umiejętność czytania i pisania. Oszuści mają o wiele łatwiej.

T.D.: Z raportu przygotowanego przez CERT, rządowy ds. reagowania na incydenty komputerowe, wynika, że na pierwszym miejscu zagrożeń są oszustwa komputerowe, do których zalicza się phishing, a na drugim – złośliwe oprogramowanie i ataki typu ransomware. Te dwie pozycje odpowiadają za ponad 70 proc. incydentów.

M.K.: To trudne pytanie. Rewolucja technologiczna przebiega bardzo szybko, w niekontrolowany sposób. Będziemy wciąż zaskakiwani nowymi rozwiązaniami, programami tworzonymi w celach przestępczych. Trzeba korzystać z dostępnych na rynku narzędzi, by bronić się przed tym, co jest już znane. Inwestować, by mitygować zagrożenia, które powstają. Ale przede wszystkim być uważnym. Firmy powinny szkolić pracowników, osoby fizyczne z kolei powinny zainteresować się zagrożeniami i tym, jak ich uniknąć. Budować swoją świadomość.

T.D.: Ważna jest edukacja – w szkołach, w telewizji, poprzez kampanie społeczne. To może przynieść wymierny skutek. Istotne są też narzędzia prawne. Dziś samo prawo nie nadąża za postępującą cyfryzacją. To się musi zmienić.

T.D.: Faktycznie pozostajemy krok, a nawet dwa kroki za sztuczną inteligencją. Firmy nie nadążają za hakerami. Sztuczna inteligencja jest coraz bardziej dostępna i powszechna, ten proces wciąż przyspiesza. Zawsze będziemy z tyłu. Możemy jedynie reagować na zagrożenia rozpoznane, mając świadomość, że za chwilę pojawią się kolejne wyzwania. Zdarzają się przecież ataki typu zero-day, wykorzystujące luki nieznane producentom oprogramowania, które są przecież wielkimi korporacjami zatrudniającymi całe grono specjalistów.

M.K.: Obawiam się, że „ciemna strona mocy”, która może przynieść szybkie korzyści finansowe, będzie intensywniej rozwijana. Firmy stawiają bardziej na wykorzystanie AI w celu zwiększenia sprzedaży, ograniczenia kosztów niż na prewencję. Ta zawsze pozostaje na ostatnim miejscu. Chętniej inwestuje się w procesy, które pomagają zarobić.

M.K.: Trzeba wypracować skuteczne procedury działania, które uodpornią nas i nasze firmy na tego rodzaju kryzysy. Na przykład – nie otworzę pewnego rodzaju plików, bo nie pozwoli mi na to organizacja. Nie wyślę e-maila, jeśli nie zaszyfruję danych. Nie zainstaluję samodzielnie oprogramowania. Takie zabezpieczenia są już na porządku dziennym w wielu firmach. Procedury mają stanowić ochronę przed cyberprzestępcami. Podobnie każdy z nas będzie musiał uważać, co instaluje, upewniać się, czy rozmawia na pewno z właściwą osobą.

T.D.: Pewnie zmierzamy w kierunku powszechnego uwierzytelnienia dwuskładnikowego, które przecież już dziś funkcjonuje i staje się powszechniejsze. Aby zalogować się do firmowego komputera, trzeba będzie nie tylko podać hasło, lecz także wpisać informacje z SMS-a, potwierdzając, że ja to faktycznie ja. W przyszłości będzie to szło w tę stronę.

M.K.: Wyobrażam sobie np., że wysyłając wiadomość e-mailową do kontrahenta, będziemy wpisywać PIN. I aby tę wiadomość odebrać, druga strona będzie musiała wpisać ten sam PIN.

M.K.: Sądzę, że nauczymy się z tym jakoś żyć, podobnie jak w przypadku innych rewolucji, które dokonały się w przeszłości, a które również niosły za sobą zagrożenia. Wypadki samochodowe nie sprawiły przecież, że przesiedliśmy się z powrotem na konia. Oswoimy lęki, wypracujemy schematy działania. O ile zagrożenia nie będą bardzo poważne, nie będziemy się cofać.

T.D.: Sami z siebie cofać się nie będziemy, chyba że wymagać tego będzie druga strona – banki, urzędy itd. Ludzie cenią sobie komfort życia. Młode pokolenie jest za cyfryzacją, chce załatwiać sprawy zdalnie. Stanie w kolejce przed okienkiem bankowym jest dla większości z nich abstrakcją. Oni oczekują postępu, rozwoju technologii.

M.K.: Tak. Jednak trzeba podkreślić, że firmy nie zabezpieczą swojej infrastruktury, wykupując polisę ubezpieczeniową. Podobnie zresztą jak polisa nie uchroni domu przed pożarem czy auta przed wypadkiem. Należy zapobiegać, chronić infrastrukturę teleinformatyczną. Oceniając ryzyko klienta przed zawarciem umowy, zawsze zaczynamy od analizy zabezpieczeń, które on stosuje, a także wskazujemy, co wymaga poprawy.

Gdy już dojdzie do ataku, chronimy klientów przed konsekwencjami finansowymi takich zdarzeń. Firmy i instytucje muszą w takich sytuacjach nie tylko stawiać na nowo systemy informatyczne – grożą im też kary administracyjne za wyciek danych osobowych, pojawiają się koszty pracy prawników, zespołów PR pomagających wyjść ze szkody obronną ręką. Wszystko to kosztuje mnóstwo pieniędzy. Oferujemy też serwis informatyków śledczych, którzy w ciągu 24–48 godzin sprawdzają dokładnie, co się stało. To specjaliści działający w branży od ponad 20 lat. My pozyskujemy raport pozwalający określić odpowiedzialność za szkodę, a klient pełną informację o przyczynach incydentu.

T.D.: Zainteresowanie ubezpieczeniem Cyber wyraźnie rośnie. Decyzje o zakupie takich produktów podejmują firmy świadome zagrożeń. Sprzedaż się zwiększa, ale startuje z bardzo niskiego pułapu. Szkody, które na rynku pojawiają się regularnie, w zdecydowanej większości przypadków nie są nagłaśniane w przestrzeni publicznej. To sprawia, że firmy nie zdają sobie do końca sprawy ze skali zagrożenia.

M.K.: Polskę i Zachód dzieli pod tym względem duży dystans. Świadomość ryzyk cybernetycznych, a co za tym idzie – sprzedaż polis, które mają chronić przed skutkami finansowymi ataków, jest zdecydowanie największa w USA. Później jest Europa Zachodnia. W Polsce wciąż jesteśmy daleko w tyle. Świadomość rośnie, gdy incydenty są nagłaśniane. Kiedy spłonie fabryka, wszyscy o tym wiedzą. To działa na wyobraźnię. Tymczasem ryzyk cybernetycznych nie widać. Firmy nie chcą się chwalić, że były ofiarą ataku. Wiemy tylko o największych, spektakularnych akcjach, których nie da się ukryć. Zdecydowana większość szkód nie wychodzi na światło dzienne. One nie rezonują, wolniej buduje się świadomość dotycząca zagrożeń, poczucie, że taka sytuacja może dotknąć również mnie. Jednocześnie wiele krajowych podmiotów nie jest w stanie odpowiedzieć na podstawowe zagrożenia. Dlatego warto o tym głośno mówić, prowadząc akcje edukacyjne i zachęcać do inwestycji w rozwój zabezpieczeń oraz wypracowywania odpowiednich procedur, które pokrzyżują plany przestępcom.

partner

Czytaj więcej w dodatku DGP Cyberbezpieczeństwo