Cyberprzestępcy czyhają na naszą tożsamość i pieniądze. Jak nie dać się złapać?

To ataki wykorzystujące złośliwe oprogramowanie, aby np. zaszyfrować dane i ubiegać się o okup. Cyberprzestępcy mogą również grozić upublicznieniem bazy danych z klientami lub prywatnych maili, jeśli nie otrzymają pieniędzy na czas. Malware było podstawą takich ataków jak WannaCry czy Petya, które naraziły firmy z całego świata na wielomilionowe straty.

Pandemia koronawirusa okazała się dla cyberprzestępców prawdziwym eldorado. Raport Check Point Research pokazuje, że liczba ataków ransomware pomiędzy początkiem 2020, a połową 2021 roku wzrosła o 102 proc. Ucierpiały zwłaszcza szpitale czy ubezpieczalnie, których pracownicy otrzymywali korespondencję dotyczącą pandemii z zaszytymi linkami do złośliwego oprogramowania. IDC donosi, że w 2021 roku 37 proc. międzynarodowych organizacji padło ofiarą ataku ransomware. Jedną z nich była amerykańska Colonial Pipeline, dostarczającą 45 proc. paliwa na wschodnim wybrzeżu USA. Nie dość, że firma została zmuszona do zamknięcia części swoich systemów, to jeszcze zgodziła się na zapłacenie około 5 mln dol. w zamian za odszyfrowania przejętych informacji.

Podobnie destrukcyjne mogą być ataki DDoS, które skutkują niedostępnością usług. Atakujący wysyła tak dużo zapytań do serwera, gdzie zlokalizowana jest dana aplikacja, że wysyca jego zasoby. Przez to żaden z użytkowników nie jest w stanie dostać się do danej strony internetowej. Widzimy to często w przypadku dużych promocji, kiedy tysiące chętnych rzucają się na limitowaną edycję danego produktu.

Hakerzy wykorzystują tu armie komputerów-zombie, nad którymi udało się im przejąć kontrolę za pomocą złośliwego oprogramowania. W ten sposób grupa Anonymous atakowała strony polskich instytucji parlamentarnych i rządowych po podpisaniu porozumienia ACTA w 2012 roku. DDoS-u użyto również do zamaskowania ataku na serwery PlayStation. Celem hakerów było bowiem wykradzenie danych posiadaczy konsol, a atak DDoS został użyty jako zasłona dymna.

Dziś z zagrożeniem atakami odmowy dostępu muszą się liczyć praktycznie wszyscy twórcy produktów internetowych – niezależnie od wielkości czy branży. Jednym z bardziej znaczących na polskim rynku jest XTB, czyli platforma obsługująca transakcje inwestycyjne klientów. Korzysta z niej ponad pół miliona klientów, zlecających setki tysięcy transakcji.

Na szczęście dostawcy mocy obliczeniowej integrują dziś swoje usługi z mechanizmami obrony przed atakami. Tarcze DDoS można więc traktować jako dodatkową linię ochrony. Jednak nawet najlepsze zabezpieczenia zdadzą się na nic, kiedy zagrożenie do wnętrza firmowej sieci wprowadzą sami pracownicy lub gdy samodzielnie podzielimy się dostępem do własnego konta bankowego.

Cyberprzestępcy z dużym sprytem podchodzą do osób, które nieostrożnie obchodzą się z prywatnymi informacjami. Stosując oni kilka technik, które pozwalają im np. na zdobycie hasła do konta czy klucza prywatnego do kryptowalutowego portfela. Zacznijmy od tych, które wykorzystują technologię – w tym przypadku AI do generowania deepfake’ów. To materiały audio lub wideo, stworzone na podstawie urywków nagrań danej osoby. Sztuczna inteligencja analizuje ton i mimikę ofiary, aby później stworzyć dowolny przekaz. Już teraz deepfake’i wykorzystuje się do tworzenia cyfrowych prezenterów wiadomości czy podmiany twarzy aktorów w filmach. Niestety każdy kij ma dwa końce.

Deepfake’a można bowiem zbudować na podstawie publicznie dostępnych nagrań szefa firmy. W „fejku” może on sugerować pracownikowi odpowiedzialnemu na finanse zlecenie przelewu na dane konto lub podzielenie się dostępem do poufnych danych. Podszywanie się pod czyjąś tożsamość stało się jeszcze łatwiejsze w czasie pandemii, kiedy przywykliśmy do słabszej jakości wideo czy trzeszczącego dźwięku – sama idea jest jednak z nami od lat.

To w nich łatwiej można znaleźć informacje o rodzinie, hobby lub urlopowych wyjazdach użytkowników. W końcu część z nas lubi dzielić się swoimi aktywnościami na Facebooku. Hakerzy mogą wykorzystać te okruszki informacji do budowania wiarygodnej opowieści np. o potrzebie przesłania dostępów do ważnych systemów na prywatną skrzynkę w czasie urlopu.

Odnosi się to również do użytkowników prywatnych, którzy mogą zostać wciągnięci w rozmowę o weryfikacji konta. Fałszywy konsultant może wówczas próbować zdobyć nasze zaufanie podając informacje, które sami wcześniej wrzuciliśmy do sieci.

Firmy takie jak XTB od dawna stawiają na edukację klientów – i to nie tylko w kontekście zarządzania finansami, ale również bezpieczeństwa środków. Kluczowa jest czujność na zagrożenia. Prawdziwy konsultant nigdy nie zapyta bowiem o login czy hasło, a właśnie to będzie interesowało przestępców.

Odbierając telefon z nieznanego numeru powinna się nam zapalić lampka ostrzegawcza. W takiej sytuacji możemy odłożyć słuchawkę i sami zadzwonić na infolinię, aby potwierdzić, że dana sprawa wymaga naszego zaangażowania – być może jakieś spółka zostaje zdjęta z giełdy albo dzieli swoje akcje.

Firmy często testują swoich pracowników - celowo wysyłają im kampanie phishingowe. Oczywiście zamiast linków z keyloggerami odsyłają ich do materiałów edukacyjnych, które pozwolą im w przyszłości lepiej rozpoznawać zagrożenia. To z dobrych praktyk. Z drugiej strony wciąż trafiają się instytucje, które swoim klientom rozsyłają smsy z linkami, które o wiele trudniej zweryfikować. Jeśli użytkownik kilka razy dostanie link od banku z prośbą o pobranie aplikacji, to później będzie ochoczo klikał w odnośniki z innych wiadomości, które mówią np. o konieczności dopłaty za przesyłkę w InPoście (autentyczna kampania phishingowa sprzed kilku miesięcy).

Sieci firmowe, a sieci domowe to często niebo i ziemia. O ile te pierwsze są zwykle odpowiednio zabezpieczane na wielu poziomach, to drugie bywają dziurawe jak ser szwajcarski. W 2018 roku The American Consumer Institute (ACI) sprawdził, że aż 83 proc. routerów w amerykańskich domach miało niezaktualizowane oprogramowanie, co wystawiało je na niebezpieczeństwo. Przeciętny router miał od 12 do 36 niezałatanych luk.

Każdy z nas powinien dbać o bezpieczeństwo sieci domowej. Może się to odbić nie tylko na obowiązkach służbowych, ale i na innych elementach naszego życia w świecie cyfrowym. Przez sieć robimy zakupy, uczymy się, kontaktujemy z najbliższymi i zarządzamy finansami. Tak samo, jak nie zostawiamy otwartych drzwi, kiedy wychodzimy z domu, powinniśmy również trzymać się dobrych praktyk przy korzystaniu z dobrodziejstw świata online. Kluczowa jest również edukacja – i to nie tylko pod kątem tego, w jakie krypto-aktywa zainwestować, ale i jak nimi później bezpiecznie zarządzać.