Moj sin igra spletno igro Ikariam. Za tiste, ki je ne poznate, naj povem, da gre za igro, kjer več igralcev sočasno gradi svojo mesto, svoj imperij. To pa tako, da nadgrajuje zgradbe, pridobiva surovine, raziskuje in gradi vojsko. Pridobivanje surovin, kar je osnova za vse drugo, je časovno potraten postopek. Veliko preprosteje je zgraditi dovolj močno vojsko, nato pa to poslati v sosednja mesta in jih izropati. Ali pa celo okupirati, kar pomeni, da to mesto dela za vas in vam pošilja levji delež surovin. Pri tem se seveda pojavi vprašanje, koga napasti, saj ne veste, koliko vojske ima kdo. Nekaj lahko sklepate glede na velikost ikone, s katero je predstavljano, kako razvita je mestna hiša, s tem pa ocenite, kako močan je nasprotnik. Logično je, da mulec napada tiste, ki so manj razviti, kot je on.
Podobno, če ne celo enako strategijo uporabljajo tudi spletni kriminalci. Tarče so tiste ustanove in države, za katere vedno bolj organizirani kriminalci vedo ali pa predpostavljajo, da varnostno niso v svetovnem vrhu. Če bi bil na njihovem mestu, bi verjetno razmišljal podobno. Slovenija je malce nadpovprečno informacijsko razvita država, penetracija interneta je razmeroma visoka, uporabnikov e-bančništva je kar nekaj … S temi podatki se hvalimo in so javno dostopni vsem, bodisi kot del poročil o informacijski razvitosti, ki jih objavlja Evropska unija bodisi kot podatki evropskega statističnega urada Eurostat. Za spletne kriminalce je Slovenija na novo najdena država na svetovnem zemljevidu, kar je zanje znak, da bo pa morda kaj posla. Domnevajo, da morda sicer imamo dobro tehnologijo in znanje, manjkajo pa nam varnostne izkušnje. Njihovo nadaljnje sklepanje je, da gre morda poskusiti z metodami napada, ki glede tega bolj izpostavljenih in izkušenih državah ne delujejo več. Če se izrazimo po »ikariamsko« – vidijo nas kot majhno hišico, kjer je možnost uspeha visoka!
CILJI SO JASNI IN NEVARNI
V zadnjih desetih ali dvajsetih letih sta se spremenila predvsem dva dejavnika, ki sta vplivala na to, da Slovenija preide v ranljivi del spleta.
Prvi je sprememba filozofije. Spletni napadi že nekaj časa niso več to, kar so bili. Včasih je šlo pri pisanju škodljive kode največkrat za to, da so se pisci proslavili in pokazali, kako pametni in sposobni so. Napadali so ustanove, ki so bile globalno zanimive, saj jim je bilo jasno, da bodo svetovni mediji pisali o uspešnem napadu na ameriško ministrstvo, napad na slovensko pa bi zagotovo ostal prezrt. Ker je šlo le za slavo, večje škode napadalci niso počenjali, cilj je bil le vdreti in to vsem povedati. Morda je bil s tem ranjen kak ego, kaj več pa ne.
Kriminalec ni heker
Beseda »heker« ima romantičen prizvok in zato hekerja ne moremo enačiti s spletnim kriminalcem. Slednji ima namreč jasen cilj – materialno korist. Vseeno je, če denar ukrade iz računa ameriške banke ali našega Janka ali Jožice. Pravzaprav je slednje celo nekoliko boljše, saj gre v večini primerov za napade iz tujih držav, kar pomeni, da je verjetnost prijetja precej manjša. Naš denar pa je prav tako dober kot denar kogar koli drugega. Le toliko ga verjetno ni.
Drugi dejavnik, ki nas je precej dobro varoval, pa je bil naš – jezik. Nepridiprav iz Amerike, Nemčije, Rusije, Kitajske ali kaj vem od kod še vse, s slovenščino ni imel česa početi. V najboljšem primeru je namreč govoril svoj materin jezik in še enega, največkrat angleškega. To pa je krog potencialnih žrtev krepko zmanjšalo. In zato so bile »angleško govoreče ustanove« precej zanimivejša tarča od recimo slovenskih, kjer je čuden jezik, ki ga govori le dva milijona ljudi. A ta pregrada se zadnje čase ruši. Delno je za to »kriv« tudi Google, in to takrat, ko je v svojo storitev za prevajanje vključil tudi slovenščino. Iz storitve smo in se še delamo norca, saj so rezultati prevoda smešni, napačni, neumni in še kaj, pozabili pa smo na bistveno – prevod je vseeno toliko dober, da lahko napadalec, ki našega jezika ne zna, prebira spremna besedila, objavljena na straneh e-storitev (navodila za uporabo, obvestila uporabnikom) in iz tega neposredno ali s sklepanjem izlušči podatke, ki mu pomagajo pri napadu. Še pomembnejše pa je, da lahko pošilja neželena sporočila v polomljeni slovenščini, ki jih pametni zanemarimo, naivni pa jim morda celo verjamejo. In ravno ti so tisti, ki jih napadalec išče, saj potrebuje naivne sodelavce za svoje početje. In ti so povsod, saj nanje ni imun noben narod.
KDO KRADE?
Naše banke se ne razlikujejo kaj dosti od tujih. Tudi glede kraje. O teh, kar je razumljivo, nočejo javno govoriti. Prijavijo sicer (verjetno) jih, javnosti pa o tem ne obvestijo, saj se bojijo, da bi jim publiciteta te vrste škodovala. In res je tako. V večini primerov banke oškodovancu povrnejo denar, saj so zavarovane za primer spletne kraje, iz tujih virov pa je znano, da približno 20 odstotkov oškodovancev nikoli ne dobi denarja nazaj. In ta statistika bo prej ali slej veljala tudi pri nas.
Težava spletnega bančništva je v tem, da banke nimajo vpogleda in nadzora nad računalnikom uporabnika e-bančništva, torej na strani, kjer je varnostna grožnja največja oziroma najtežje nadzorljiva. Nobena zaščita ne pomaga, če je uporabnik brezbrižen in nevesten ter s svojim početjem omogoča, da spletni kriminalec vdre v njegov računalnik, tam najde za krajo potrebne informacije ali pa celo prevzame nadzor nad računalnikom. Pa drugi strani pa je tudi res, da uporabniki nismo oziroma nimamo najetega varnostnega strokovnjaka, ki bi »zagotovil« varnost, banke pa jih imajo, oziroma bi jih vsaj morale imeti. Banke lahko svoje storitve nadgrajujejo z varnostnimi mehanizmi, ki preprečijo znane metode, vprašanje pa je, ali so pri tem dovolj hitre in takoj, ko strokovnjaki prepoznajo novo metodo napada, tudi vgradijo mehanizme, ki jo omilijo.
Kradejo naši ali tuji kriminalci? Ne moremo se strinjati s mišljenjem, da pri nas ni posameznikov, ki bi bili tega sposobni. Zagotovo so. Če pa so pametni, trga ne delajo na svojem dvorišču in kradejo raje v tujini, tako kot tuji kradejo pri nas.
KAM GRE UKRADEN DENAR
Spletni kriminalec, ki je v podzemlju poznan kot »blagajnik«, mora najprej pridobiti podatke o računu, ki ga želi izprazniti. Metod je več, lahko gre za lažno spletno stran oziroma metodo »ribarjenja« podatkov, za okužbo uporabnikovega računalnika s programi za beleženje tipkanja ali za zajem zaslonske slike ali pa gre za prevzem računalnika z oddaljenega mesta. Tik pred krajo blagajnik vstopi v storitev, ki ga prepozna kot uporabnika, ki mu je namenjena. Če je tujec, mu tu spet pomaga Googlova prevajalska storitev, čeprav to ni pogoj, saj so storitve med seboj podobne in standardizirane. Nato nakaže denar, običajno na račun domačina, ki ga je prej našel z uporabo spam sporočil, ki so obljubljale hitro pot do zaslužka, kako do sanjske in dobro plačane službe in podobno. Tako imenovana »denarna mula« obdrži prej dogovorjeno provizijo, ostanek denarja pa nakaže naprej, prek storitve za prenos denarja, kjer je njegov končni cilj težje najti ali pa denar celo dvigne in preda gotovino kakšnemu »posredniku«. Pri tem ni nujno, da »mula« ve, za kaj pri vsem skupaj gre. Lahko da naivno verjame, da mu bo »partner« plačal provizijo za nekaj na prvi pogled nedolžnega. Recimo mu natvezi, da oseba X, z računa katere je prejel denar, od njega kupuje avtomobil, vendar noče ali ne more plačila izvesti drugače, saj »ciljna oseba« nima svojega računa, da banka ne posluje z njegovo banko … karkoli, samo da je naivnežu verjetno.
Ko je kraja ugotovljena, banka ve le to, kam je bil prenesen denar in policija potrka na vrata »mule«, ki je na koncu krivec. Malo verjetno je, da lahko policija v okolju, kjer glede spletnega kriminala te vrste države še ne sodelujejo dovolj med seboj, najde dejanskega blagajnika ali končnega prejemnika denarja. Velikokrat pa gre pri tem za eno in isto osebo. A ta ocena je več ali manj ugibanje, saj uradnih podatkov, koliko uspešnih »nategov« te vrste se je zgodilo, nikjer ni.
Moj mikro, Januar 2010 | Marjan Kodelja | Zoran Banovič |
