Codziennie korzystamy z internetu – sprawdzamy maile, przeglądamy media społecznościowe, robimy zakupy online. Ale czy wiemy, jakie zagrożenia czekają na nas w tej wirtualnej przestrzeni? Tomasz Białobłocki, ekspert ds. cyberbezpieczeństwa, opowiada m.in. jak chronić się przed phishingiem, czy dezinformacją oraz jakie działania podejmują instytucje państwowe, aby zapewnić nam bezpieczeństwo. Przeczytaj ten wywiad, by poznać praktyczne wskazówki dotyczące ochrony danych oraz zrozumieć, dlaczego świadomość zagrożeń jest dziś kluczowa.
Łukasz Stasiak: Jakie zagrożenia czekają na nas każdego dnia w cyberprzestrzeni? Czy przeciętny użytkownik Internetu ma się czego obawiać?
Tomasz Białobłocki: Żyjemy każdego dnia „w sieci” – dosłownie. Jeszcze kilka lat temu takie stwierdzenie brzmiało jak zapożyczone z Cyberpunka czy Matrixa. Sama sieć (Internet, Intranety w których pracujemy w firmach, Extranety, Darknet, Internet of Things czy sieci Blockchain) jest ekosystemem, w którym załatwiamy większość swoich spraw. Komunikujemy się z innymi ludźmi, pracujemy, wykonujemy transakcje finansowe, robimy zakupy, szukamy rozrywki, wiedzy itd. Nasz smartfon wie jeszcze przed nami, kiedy skoczy nam ciśnienie lub co prawdopodobnie będziemy chcieli kupić na Święta jako prezent i nam to zasugeruje w odpowiedniej aplikacji czy przeglądarce. Jeśli twierdzicie, że „Facebook nie ma moich danych, ponieważ nie mam tam konta” – owszem zbiera nasze dane z wielu źródeł, nie musimy tam mieć konta – przykład? Proszę: Twoi znajomi mogą przekazywać Twoje dane do Facebooka poprzez synchronizację swoich kontaktów, co pozwala platformie tworzyć tzw. „cienie kont”, czyli profile „nieużytkowników”.
Czy przeciętny „Kowalski/Kowalska” ma się czego obawiać? Oczywiście, jak najbardziej – nie jesteście bezpieczni w sieci i tego się trzymajmy. Gdybym wymienił tutaj typy i rodzaje zagrożeń, z jakimi możemy się spotkać, mogłaby powstać niezła rozprawka. Jednak kilka tych najbardziej popularnych wymienię:
Cyberprzemoc: Ataki mające na celu nękanie lub oszustwo w sieci.
Social engineering: Manipulacja ludźmi w celu uzyskania dostępu do poufnych informacji.
Phishing: Ataki polegające na wysyłaniu fałszywych wiadomości e-mail, które próbują wyłudzić prywatne informacje, takie jak dane logowania lub dane finansowe.
Malware: Złośliwe oprogramowanie, które może infekować komputery, aby niszczyć dane, szpiegując użytkownika lub blokując dostęp do systemu.
Ransomware: Specjalny rodzaj malware, który szyfruje dane na komputerze i żąda okupu za ich odszyfrowanie.
Kradzież danych: Cyberprzestępcy próbują wyłudzić cenne dane, takie jak numery kart kredytowych, dane logowania czy dane osobowe.
Kradzież tożsamości: Wyłudzenie danych osobowych w celu ich wykorzystania w kradzieży tożsamości.
Ataki typu Distributed Denial of Service: Polegają na przeciążeniu serwera poprzez generowanie ogromnego ruchu, co prowadzi do jego wyłączenia.
Ataki typu „Man-in-the-middle”: Kradzież danych podczas ich przesyłania między dwoma stronami.
Polecam dla zainteresowanych dogłębniej tym ile i co nas aktualnie atakuje odwiedzenie strony cybermap.kaspersky.com lub threatmap.checkpoint.com – na nich na żywo widać wykryte ataki, można także uzyskać informacje, jakie kraje są aktualnie najintensywniej atakowane. Skala jest olbrzymia, a będzie jeszcze gorzej.
Mamy oczywiście naszych bohaterów bez peleryny, tych niewidocznych, działających w tle. Dbają o nasze bezpieczeństwo tworząc takie projekty jak dla przykładu „Lista ostrzeżeń przed niebezpiecznymi stronami” autorstwa CERT.PL. Upraszczając tworzą oni listę niebezpiecznych stron, aktualizowaną na bieżąco, w porozumieniu z operatorami telekomunikacyjnymi – po wejściu na taką stronę która nam zagraża (i jest na tej liście) zobaczymy czerwony ekran z ostrzeżeniem – możecie łatwo sprawdzić czy jesteście chronieni tym projektem wchodząc na stronę lista.cert.pl – oczywiście jest tego więcej. Mamy nowo powstałą jednostkę policji – Centralne Biuro Zwalczania Cyberprzestępczości (cbzc.policja.gov.pl).
Mamy nasze cyber-wojsko – jedno z najlepszych na świecie – Wojsko Obrony Cyberprzestrzeni. WOC ma zdolności do realizowania pełnego spektrum działań – od obronnych, przez rozpoznawcze po ofensywne. To jednak inny temat.
ŁS: A kto jest najbardziej narażony – dzieci, seniorzy, czy może przedsiębiorcy?
TB: Każda z tych grup moim zdaniem i pewnie nie tylko moim, jest narażona na inne rodzaje zagrożeń w cyberprzestrzeni. Występują pewne różnice w poziomie i typie ryzyka:
Dzieci są podatne na cyberprzemoc, nieodpowiednie treści oraz phishing. Często nie zdają sobie sprawy z zagrożeń, co może prowadzić do przypadkowego udostępniania danych osobowych. Dzieci są bardzo łatwym celem, a my dajemy im okno do tej ogromnej sieci w postaci komputerów, smartfonów i innych urządzeń – ręka do góry, kto z Państwa monitoruje i sprawdza to, jak należy.
Seniorzy mogą mieć mniejszą wiedzę technologiczną, co czyni ich podatnymi na oszustwa, phishing oraz malware. Często są celem ataków wyłudzających dane osobowe lub finansowe. Często zagubieni gąszczu technologii, co także czyni ich łatwym targetem.
Przedsiębiorcy narażeni są na różnorodne zagrożenia, takie jak ataki typu ransomware, kradzież danych i informacji handlowych. Przedsiębiorstwa często przechowują cenne dane, co sprawia, że są atrakcyjnym celem dla cyberprzestępców – a takimi okazują się na tej warstwie nawet pracownicy czy byli pracownicy skuszeni możliwością zarobku za uchylenie furtki do systemu czy podrzucenie złośliwego pendrive, czy także chęcią zemsty.
Polski rząd przedłużył stopień alarmowy BRAVO-CRP, dotyczący zagrożeń w cyberprzestrzeni. Co to właściwie oznacza dla przeciętnego obywatela? Czy powinniśmy podejmować jakieś konkretne działania?
W przypadku zagrożenia wystąpieniem zdarzenia o charakterze terrorystycznym, które dotyczy systemów teleinformatycznych organów administracji publicznej lub systemów teleinformatycznych wchodzących w skład infrastruktury krytycznej albo w przypadku wystąpienia takiego zdarzenia – można wprowadzić jeden z czterech stopni alarmowych CRP (ALFA CRP, BRAWO CRP, CHARLIE CRP, DELTA CRP). W przypadku jego wprowadzania organy administracji publicznej oraz kierownicy służb i instytucji właściwych w sprawach bezpieczeństwa i zarządzania kryzysowego – „zwykli” obywatele nie mają tutaj do wykonania żadnych działań z wyjątkiem zachowania podwójnej ostrożności w sieci. Stopnie alarmowe są przede wszystkim sygnałem dla służb i administracji publicznej do zachowania szczególnej czujności.
BRAVO-CRP jest drugim, z czterech stopni alarmowych określonych w ustawie o działaniach antyterrorystycznych. Oznacza to, że administracja publiczna jest zobowiązana do prowadzenia wzmożonego monitoringu stanu bezpieczeństwa systemów teleinformatycznych. Chodzi m.in. o całodobowe dyżury administratorów systemów kluczowych.
Z kolei stopień alarmowy BRAVO (drugi w czterostopniowej skali) wprowadza się w przypadku zaistnienia zwiększonego i przewidywalnego zagrożenia wystąpieniem zdarzenia o charakterze terrorystycznym. Oznacza to, że służby mają informację o potencjalnym zagrożeniu, a w związku z tym administracja publiczna jest zobowiązana do zachowania szczególnej czujności. Chodzi także o przegląd zapasów i możliwości ich wykorzystania w przypadku zdarzenia terrorystycznego.
Spędzamy coraz więcej czasu w mediach społecznościowych. Jakie konkretne niebezpieczeństwa czyhają na nas na tych platformach i jak się przed nimi chronić?
Pomijając wszystkie zagrożenia, jakie wymieniłem odpowiadając na pytanie pierwsze – co jeszcze mogą nam zaoferować media społecznościowe – coś co zostawiłem na deser jako zagrożenie: dezinformacja.
Wyobraźmy sobie, co by się stało, gdyby nagle na naszej lokalnej grupie #Kutno na facbooku, z kilkunastu czy kilkudziesięciu kont, wcześniej, dużo wcześniej tam dodanych i mających już tożsamości – ktoś zaczyna wrzucać posty kogoś mocno deprymujące, okraszając to zdjęciami i deepfakiem w postaci dźwięków czy wideo? Wyrok zapada automatycznie u większości odbiorców, lajki lecą, klepiemy po plecach fałszywe konta to wrzucające i dajemy tym postom jeszcze większy zasięg.
Co jednak jeśli ktoś przejmie kontrole nad częstotliwościami radiowymi? Tak lekko wychodząc poza „fejsy” i „instagramy”? Puści tam ostrzeżenie na kilka województw o zbliżającej się fali powodziowej czy innej katastrofie? Polecam zainteresowanym wygooglować sobie „Audycja radiowa Wojna Światów”…
Ogólnie uważajmy co i kiedy wrzucamy na media społecznościowe – złodzieje też mają konta na fejsie, insta, a nawet tik-toku i mogą uzyskać tam informacje, że właśnie lecicie całą rodziną na wczasy na kilka dni, a słodkiego pieska zostawiliście u koleżanki załączając foto pupilka. Przekazujmy tylko potrzebne i zwięzłe informacje. Weryfikujcie każdy post, który wyda się Wam podejrzany. Nie dodawajcie każdego do kontaktów. Nie ujawniajcie zbyt dużo informacji o sobie. Fakt, gdzie przebywacie na wczasach można ustalić za pomocą długości cienia obiektów na wrzuconym przez Was zdjęciu czy też układzie gwiazd na niebie przy wieczornej fotce, pomijając już same metadane zdjęcia.
No właśnie, w kontekście trwającej agresji Rosji na Ukrainę, często słyszymy o cyberatakach i dezinformacji.
Tam wojna trwa na całego i tutaj nie dzieje się na płaszczyźnie tylko naszego cywilnego Internetu, gdzie główną bronią jest wspomniana przeze mnie w poprzedniej odpowiedzi dezinformacja. Tutaj walczy wojsko i to jest technologia, o której większość z nas nie ma świadomości istnienia – jak fałszywe stacje GSM czy drużyny APT (Advanced Persistent Threat), których głównym celem jest obrona, ale potrafią także podkręcić wirówki w elektrowniach atomowych przeciwnika doprowadzając do ich wybuchu.
Na Ukrainie dezinformacja jest wykorzystywana przez obie strony. Rosjanie umieszczają fejkowe newsy w różnego typu kanałach i mediach – czy to o rozbiciu ukraińskich oddziałów, czy też o przejęciu jakiegoś terenu, co oczywiście ma wywołać określone reakcje i często się to udaje. Ukraińcy mieli swojego „Ducha Kijowa” – asa, pilota myśliwca, który siał strach niszcząc rosyjskie maszyny. Rzeczywiście były niszczone, ale sam „duch” nie istniał – to legenda stworzona, aby wywołać strach u przeciwnika – co się udawało.
Zaobserwować możemy te same techniki, które mają wywołać niechęć do Ukraińców na terenie Polski. Nie bez przyczyny powstają profile, które nagle przypominają nam o zbrodniach na Wołyniu czy umieszczają filmiki, jak to niby obywatele Ukrainy dokonują przestępstw czy wykroczeń. To wszystko działa na pewne grupy osób. Ludzie w większości nie weryfikują tych informacji. Powstaje dezinformacja, która jest udostępniana dalej.
Jak oceniasz świadomość Polaków w zakresie cyberbezpieczeństwa? Czy edukacja w tej dziedzinie jest wystarczająca? Jeśli nie, co powinno się zmienić?
Pracuję jako wykładowca i specjalista od cyberbezpieczeństwa na naszej lokalnej Uczelni – ANSGK. Zawsze sam zaczynam zajęcia ze swoimi studentami na uczelni, bez znaczenia na kierunek studiów, od właśnie wykładu na temat tego, jak nie dać się zhakować. Pokazuję, jak działa cyberprzestępca, jak zachowuje się ofiara i jak możemy się bronić. Braliśmy także udział jako uczelnia w super programach razem z młodzieżą i nauczycielami z I LO w Kutnie oraz kutnowską policją. Dostępne są pod adresami:
Projekt „Tajemnicza sieć pająka” – http://ksiazeczka.ansgk.edu.pl
Projekt „Mądra sowa” – http://madrasowa.info
Pierwszy dotyczy właśnie bezpieczeństwa w cyberprzestrzeni natomiast drugi bezpieczeństwa i praw dzieci. Obydwa świetnie kreują świadomość w tych zakresach. Pojawia się także coraz więcej spotów w tv i sieci – jak świetnie ostatnio wykonana kampania NASK o trollach internetowych i dezinformacji – oby więcej takich. Ważne jest także wykonywanie okresowych audytów bezpieczeństwa IT oraz testów penetracyjnych dla instytucji czy firm. Audyt sprawdza zgodność procedur, natomiast sam test penetracyjny polega na kontrolowanej i uzgodnionej na pewnych zasadach próbie dostania się do systemu celu. Wykonuje takie testy od kilku lat, w tym dla instytucji państwowych. Jedno zawsze się potwierdza – najsłabszym ogniwem nadal jest człowiek, który popełni błąd pod wpływem emocji – kliknie w spreparowany link, poda pewne dane ulegając socjotechnice czy też podłączy do komputera firmowego nośnik USB, który ktoś „niechcący” zgubił lub przesłał mu kurierem. Dlatego świadomość w tym zakresie jest niesamowicie istotna.
Hakerzy stają się coraz bardziej pomysłowi. Czy istnieje atak, który szczególnie Cię zaskoczył swoją przebiegłością? Jakie nowe trendy w cyberprzestępczości można obecnie zaobserwować?
Zacznę od końca – najnowsze trendy to zdecydowanie wykorzystanie AI, deepfake oraz Internet rzeczy (IoT). Hakerzy (zarówno Ci źli – „czarne kapelusze” jak i Ci dobrzy – czyli „białe kapelusze”) są bardzo pomysłowi. Domyślnie, pierwotnie słowo „hacker” nie oznaczało przestępcy – tak jak kojarzy się większości dzisiaj. Oznaczało osobę, która do perfekcji opanowała dany lub wiele systemów i potrafiła zmusić takie systemy do rzeczy, których nie przewidział nawet producent. Nigdy w mojej opinii hakerem nie będzie osoba, która dokonuje przestępstw korzystając z gotowych narzędzi – to po prostu cyberprzestępca.
Tak samo jak kiedyś czarny charakter miał rewolwer i miał go szeryf, tak i teraz trwa ciągły wyścig, ten kto pierwszy odkryje lukę w systemie (celnie strzeli z tego rewolweru) – ten wygrywa.
Jako ciekawostkę dodam – popularny ostatnio Pegasus – wiecie ile tego typu oprogramowania zostało zidentyfikowanego na terenie Rzeczpospolitej? Około 70 (słownie: siedemdziesięciu). Jeśli myślicie iż tylko służby tego używają, to jesteście Państwo w błędzie – czarna strefa także ma niestety pieniądze i możliwości korzystania z odpowiedników lub podobnych systemów.
Na koniec, pozostając przy szeroko pojętym bezpieczeństwie, ale niekoniecznie tym „cyber” – jesteś miłośnikiem i trenerem taekwondo. Jak rozpoczęła się Twoja przygoda z tym sportem i jakimi możesz pochwalić się sukcesami?
Taekwondo, zaraz za moją rodziną jest dla mnie najważniejsze. Jak to się zaczęło? Wyszedłem któregoś popołudnia „na miasto” – mieszkałem wtedy w Skierniewicach, lata 90-te. Nie było internetu, inny świat to był. Zobaczyłem plakat klubu Taekwon-do tradycyjnego „Wiking”, poszedłem na pierwszy trening i… dziś sam jestem trenerem, dokładnie od 2006 roku. Wówczas zdałem na czarny pas u Mistrza koreańskiego Soo Kwang Lee (9 DAN). Wywalczyłem masę fajnych i pięknych medali, w tym jeden podczas mojego pobytu w Korei w 2007 roku, zaraz przed ślubem. Stacjonowałem wtedy w jednostce wojskowej Sang-Mu, Korea Południowa oczywiście. Prestiżowy turniej Chuncheon Korea Open i brąz dla mnie – w kolebce Taekwondo. Piękne wspomnienia. Jednak nie medale są największym moim osiągnięciem, nie mój stopień. Mój największy sukces to zdecydowanie uśmiech moich podopiecznych po każdym treningu.
Dziękujemy za rozmowę, mamy nadzieję, że wpłynie ona na świadomość mieszkańców Kutna i okolic dotyczącą cyberbezpieczeństwa.
Bardzo dziękuję za zaproszenie do rozmowy. Jeżeli ktoś z Państwa chciałby się skontaktować w kwestii cyberbezpieczeństwa zapraszam – oczywiście tylko za pomocą bezpiecznego komunikatora Signal. Jest to w mojej opinii i wielu innych bezpieczników najbezpieczniejszy komunikator, nie zbiera żadnych danych na nasz temat i jest w pełni szyfrowany. Załączam kod QR do mojego kontaktu:
