איך גונבים חצי מיליון אירו בשבוע?
פושעים מתוחכמים העבירו כספים מבנק אירופאי גדול בלי שאף אחד ירגיש, עיתונאים מוקלטים ומצולמים על ידי הסלולרי של עצמם ולא יודעים את זה. ההווה הוא מירוץ חימוש של אבטחה ותקיפה
כששאלו את וילי סאטון, ששדד יותר מ-100 בנקים, למה הוא עשה את זה, השיב הלה על פי האגדה פשוט "כי שם הכסף". העניין הזה עדיין רלוונטי למרות שחלפו כמעט מאה שנה מהשוד הראשון של סאטון. מה שהשתנה זו הדרך של הפושעים להגיע לכספת. כלומר, זה די טיפשי להיכנס עם קסדה כהה לסניף ולצעוק בקול עמוק - "זה שוד". אפשר כפי שישמחו לספר לכם גם בבנק שלכם, לעשות את הכל מרחוק.
חברת קספרסקי סיפקה לנו בשבוע שעבר הצצה למאחורי הקלעים של איך זה בדיוק נעשה. בכנס אבטחה הציגו החוקרים את LUKKK - פרויקט במסגרתו השתילו חבורת עבריינים מקצועיים במחשבים רבים קוד זדוני שמזהה התחברות מרחוק לחשבון בנק. ברגע שהמשתמש התחבר, התוכנה העבירה כסף לחשבון של בלדר שנפתח לצורך העניין והוא משך אותו מיד. ככל הנראה הרושעה גנבה בשבוע חצי מיליון אירו מ-190 לקוחות איטלקים וטורקים של בנק אירופאי גדול. מכל אחד מהם בין 1,700 ל-39 אלף אירו. לא ברור כמה פעמים או כמה פרויקטים דומים ערכה אותה קבוצת עבריינים.
פושעים להשכיר
בנוסף לשינוי הקוסנפט בגניבות מהמאה שעברה, lukkkk ודומיו מראים גם שינוי שחל בשנים האחרונות: עבירות מחשב הן לא עניין של האקרים מוכשרים. לא רק של מתי מעט - הם משהו שכל אחד יכול לעשות, אם ירכוש תוכנה. או ישלם לשכירי חרב.
"לפני 20 שנה זה לא היה אפשרי", אומר סרגיי לוצקין מקספרסקי. "כדי להיות האקר או פושע סייבר, היית צריך להיות משכיל. הייתה צריכה להיות לך הכשרה וידע ומיוחדים, היית צריך לדעת שפות תכנות, ידע בהנדסה הפוכה. היום אתה רק צריך להיות אדם שיודע לכתוב 'פורומים אפלים' בגוגל. עבור 500 דולר אתה יכול לקנות לעצמך מידע. זה הפך פשוט".
מה נראה בהמשך?
"אנחנו נראה איומים מתגברים במסגרת האינטרנט של הדברים. למשל, לחבר שלי יש הפרעת קצב, אז יש לו צמיד שמנטר את פעילות הלב שלו ומחובר לסמארטפון שלו ושולח את המידע לרופא שלו. תחשוב שמישהו מזייף את התוצאה. תחשוב על תוכנה שתנטר עוד מידע חשוב. אלרגיות נניח. המכונית האוטונומית של גוגל".
אלו דברים שיהיו מאובטחים
"אם למשהו יש מערכת הפעלה אז הוא פגיע. כי הוא נכתב על ידי בן אדם ובני אדם תמיד עושים טעויות".
לוצקין מוסיף ומסביר שישנן עוד אפשרויות לניצול מידע ופגיעה ומתאר את האיומים מבחינת איסוף מידע ברשתות החברתיות: בחור צעיר חולק תמונות ומידע שהולך וגדל לאורך כמה שנים. אפשר לבנות פרופיל פסיכולוגי שלו. היסטוריה מינית. אפשר לסחוט אותו, להרוס את העסק שלו.
אויב המדינה
המוטיבציה היא לא רק של פושעים. גם רשויות אכיפה של מדינות רוצות מידע. מה שקוראים - ריגול. האקינג טים היא חברה איטלקית שמספקת שירותים למדינות ונמצאת במעקב של חוקרי קספרסקי וסיטזן לאב מזה שנתיים.
המוצר שלה הוא מערכת שליטה מרחוק (RTS) המכונה גלילאו. המערכת הזו לא מיוחדת כי היא מתוחכמת. לא יהיו לה השלכות דרמטיות כמו של "מבצע אורורה" של סין והיא לא הרסנית וגאונית כמו סטוקסנט שהופעל ככל הנראה על ידי ישראל וארה"ב כנגד הכור האיראני. מה שמיוחד בגליליאו הוא שהבניגוד לתוכנות הללו, אליהן ניתן להוסיף את Careto הספרדי וטורלה הרוסי - שנוצרו במדינות שהשתמשו בהם.
היא נמכרת למרבה במחיר.
על פי תנאי השירות של האקינג טים, הם עובדים עם רק עם מדינות שלא ברשימה השחורה של האו"ם ורשויות אכיפה ממשלתיות שלהן. זאת ועוד - הם סוקרים כל לקוח פוטנציאלי כדי שהמערכת לא תפר זכויות אדם. הם גם יפסיקו את התמיכה, ובכך לא ניתן להשתמש בתוכנות יותר, אם יגלו שנעשית הפרה של זכויות אדם. חוקרי קספרסקי טוענים שזיהו כי המערכת שימשה למעקב אחרי 30 עיתונאים, אקטיביסטים ופעילי זכויות אדם מדובאי, ערב הסעודית ובחריין כמו גם עיתונאים באתיופיה ובוירג'יניה ארה"ב. על פי גוגל 80 אחוז מארגוני החדשות בעולם נתונים למעקב.
איפה
על פי הדוח בנוגע להאקינג טים, רוב שרתי הפיקוד של החברה האיטלקית נמצאים בבריטניה, בארה"ב (64), קזחסטן, אקוודור, בריטניה (32) וקנדה. זה לא מוכיח שדווקא שם נעשה המעקב, אבל כך משערים החוקרים. סרגיי גולבנוב, חוקר ראשי, אומר כי סביר להניח כי המשתמשים ב- RCS יפעילו שרתי פיקוד ושליטה באזורים בהם הם שולטים – "שם יש סיכון מזערי לבעיות חוקיות הנובעות מפעילות מעבר לגבול או לתפיסת השרתים".
מה התוכנה עושה?
השירות יכול להיות במחשב פיסי וגם במכשיר סלולרי. כדי להכניס את התוכנה למכשיר הסלולרי של הקורבן, משתמשים לעתים בשיטות של הנדסה חברתית, הונאת פישינג והדבקה מקומית דרך כבל USB בעת סנכרון המכשיר. אחד מהגילויים המשמעותיים בחקירה היה החשיפה כיצד בדיוק מדביקים מכשירי אייפון: תוקף הריץ כלי פריצה דרך מחשב שנפגע בעבר או ביצע פריצה מרחוק ופרץ את האייפון בסנכרון.
לאחר שהתוכנה הוכנסה למכשיר, אפשר לגשת להקלטות שנעשו באייפון, למיילים, מסרונים, עוגיות, קבצים, דפי ווב, פנקס כתובות, היסטורית שיחות, פתקים ולוח שנה. ניתן גם להקליט ולצלם. על פי הדפים המשמשים לטענת החוקרים להדגמה, נראית הקלטה מסקייפ ומסלול של אדם אחריו עוקבים.
חברת האקינג טים שאליה פנינו, לא הסכימה להפר את חיסיון הלקוחות שלה או את והמיקומים שלהם, כמו גם להגיב על "ההנחות וההשערות של סיטיזן לאב". לגבי הדוח עצמו, הפנו אותנו לתגובה שניתנה לדוח לפיה מדובר ב"מאמץ מתמשך לתקוף את החברה על ידי ניסיון לחשוף מידע סודי, מערכות ונהלים בהם אנחנו משתמשים". "ניתן לראות", הם מוסיפים, "כי התלונה העיקרית של הכותבים היא על ממשלות דכאניות - אבל הם מתקיפים עסק פרטי הפועל בהתאמה מלאה עם החוק הרלוונטי".
בקארמה טובה
האקינג טים מפנה בתגובתה למדיניות השירות שלה. "אנחנו מאמינים שהיא ייחודית בתחום והיא מאמץ טוב ועם כוונה טובה לשימוש לא נכון במוצרים שלנו". החברה מספרת כי חקרה מקרים בהם התקשורת טענה שנעשתה הפרה של זכויות אדם וכי "נעשו פעולות חקירה (...) שנשארו חסויות כעניין בינינו לבין הלקוחות שלנו.
"אנחנו מאמינים כי התוכנה שאנחנו מספקים חיונית לרשויות אכיפת ולבטיחות של כולנו בעידן בו טרוריסטים, סוחרי סמים סוחרי בני אדם ופושעים אחרים משתמשים באופן קבוע באינטרנט ותקשורת סלולרית".
לא קשה לשער על מה לכם לעשות בקספרסקי נגד המעקב, החבלה או הגניבה. תוכנת אבטחה שלהם אלא מה. כמו שמקאפי ימליצו על התוכנה שלהם (או נורטון וכן הלאה). תהיו בטוחים שכל חברת אבטחה תהיה שמחה לאיומים חדשים והמובייל הוא בלשון המעטה, תחום מתפתח וחשוב לכולם כולל קספרסקי לא מהיום.
אבל בכל זאת, צודק החוקר לוצקין שאומר לפחד. "זו צריכה להיות פרנויה, אבל מוצדקת. אם יש להם כלים - יהם קחו לך את המידע". אבל ברור גם שאין הגנה הרמטית. אם מישהו סימן אתכם, הוא בסוף יגיע. אם לא דרך הדלת אז דרך החלון. אבל לגבי מבצעים רחבי היקף אז כן. ככל הנראה תצליחו להתחמק אם לא תהיו החוליה החלשה. "זו מערכת אקולוגית", אומר החוקר ויסנט דיאז. "אנחנו בורחים מהם. הדינוזאור האיטי יפגע ראשון". ומוסיף לוצקין: "אני רואה איום. אנחנו מנסים למצוא פוטנציאל ולהתגבר עליו לפני שהוא קורה. אנחנו שומרים על העתיד".
בתרגום ליומיומית, זה בסך הכל מירוץ חימוש שמביא את רוב האנושות לאותה רמה אבטחה ותקיפה. בודדים ירימו את הרף כל הזמן בדרך למידע, או כל מקום אחר - שם נמצא הכסף.
הכותב היה אורח של חברת קספרסקי.
