Kai per dažnai ir neatsargiai klajojame nežinomuose interneto užkampiuose, kyla grėsmė užkrėsti kompiuterį kenkėjiška programa, kuri internetiniams sukčiams padeda nugvelbti mūsų privačius duomenis. Vytauto Didžiojo universiteto Politikos mokslų ir diplomatijos fakulteto lektoriaus Igno Kalpoko teigimu, to išvengsime, jei laikysimės „bendrosios higienos“ ir vengsime banalių slaptažodžių.
Kai per dažnai ir neatsargiai klajojame nežinomuose interneto užkampiuose, kyla grėsmė užkrėsti kompiuterį kenkėjiška programa, kuri internetiniams sukčiams padeda nugvelbti mūsų privačius duomenis. Vytauto Didžiojo universiteto Politikos mokslų ir diplomatijos fakulteto lektoriaus Igno Kalpoko teigimu, to išvengsime, jei laikysimės „bendrosios higienos“ ir vengsime banalių slaptažodžių.
Su juo kalbamės apie internete tykančius pavojus ir analizuojame dilemą, ar už duomenų saugumą atsakingi interneto teikėjai – tarpininkai tarp mūsų ir neaprėpiamo virtualaus tinklo.
– Papasakokite apie kenkėjiškas programas daugiau. Kodėl ir kas jas kuria?
– Jeigu kalbame apie tradicinį nusikalstamumą pasipelnymo tikslais, tai išpirkos reikalavimas už duomenų atkodavimą yra vienas būdingesnių variantų. Išpirkos reikalaujanti programinė įranga, arba „Ransomware“, veikia tokiu principu: duomenys kompiuteryje yra užkoduojami ir tiesiog gaunama žinutė, raginanti tam tikru adresu iki nurodytos datos pervesti tam tikrą sumą (dabar dažniausiai naudojama kriptovaliuta), jeigu norime atgauti savo duomenis. Ir jeigu išpirkos reikalautojai gaus mokėjimą, atsiųs raktą, kurį suvedus galėsime atkoduoti duomenis. Kai kuri kenkėjiška programinė įranga gali tiesiog chuliganiškai ištrinti duomenis arba sugadinti patį kompiuterį. Jų vis dar pasitaiko. Tačiau tai dažniau entuziastų, mėgėjų darbas.
Kita priežastis, kodėl platinama tokia programinė įranga vartotojams yra siekis užkrėsti kompiuterius taip sujungiant juos į zombių tinklą, kuris gali būti naudojamas keliems skirtingiems tikslams. Tokie kompiuteriai pajungiami centralizuotoms kampanijoms, kai siunčiamas itin didelis užklausų kiekis į konkretų serverį. Šios užklausos sutrikdo to serverio veikla ir sustabdo prieiga prie vienos ar kitokios paslaugos. Taip gali elgtis konkuruojantys verslai. Pavyzdžiui, aš ir mano konkurentas turi internetinės prekybos svetaines ir jeigu per piką prekyboje, sakykime, kalėdiniu laikotarpiu, išvesiu konkurento svetainę kuriam laikui iš rikiuotės, pirkėjai ateis į mano svetainę ir man bus nauda. Gali būti ir kokių nors politinių tikslų, tarkim, jeigu norime pasiųsti žinutę organizacijai ar visai valstybei, išjungiame jos sistemas ir tokiu būdu sutrikdome normalią veiklą, sukeliame paniką.
Kenkėjiška programinė įranga gali būti naudojama ir duomenų vagystėms, kai nutekinama pačiame kompiuteryje esanti arba stebima į kompiuterį įvedama informacija, įskaitant tuo kompiuteriu įvedamus prisijungimo duomenis prie įvairių tinklų ir sistemų. Pavogti duomenys gali būti naudojami lėšoms pasisavinti iš asmens banko sąskaitų arba siekiant sukompromituoti, jeigu norima parodyti, jog galbūt tas asmuo naudojasi nelabai gražiomis, gerbtinomis paslaugomis. Taip pat gali būti siekiama sužinoti prisijungimo prie darbovietės ar kitų įstaigų vidinių tinklų duomenis, tada nutekinti rastą informaciją ir tas įstaigas šantažuoti.
– Kiek pavojingas gali būti kompiuterinis virusas žmogui, kuris nekaupia duomenų apie įmonę, neturi didelių sumų banko kortelėje ir pan.?
– Jeigu mūsų kompiuteris yra pajungiamas į zombių tinklus, kyla nepatogumų: jis kartais nei iš šio, nei iš to pradeda lėčiau veikti, nes ištekliai naudojami kažkam kitam. Tačiau dažnai to net nepastebime. Iš kitos pusės, ar iš tikrųjų norime prisidėti prie atakų prieš valstybes, institucijas arba nešti įsilaužėliams pelną, nes mūsų kompiuterio ištekliai naudojami kriptovaliutų kasybai?
Net jeigu neturime itin daug pinigų banko sąskaitoje, nusikaltėliams vis tiek verta įsilaužti. Gana primityvi kenkėjiška įranga, reikalinga prisijungimo duomenims nuskaityti jų įvesties metu ir jiems išsaugoti, nekainuoja labai brangiai. Jeigu užkrečiama bent keli šimtai kompiuterių ir jeigu pavyksta nutekinti bent po dolerį iš užkrėstų vartotojų, gaunamas pelnas. Nepaisant to, kad neturime daug pinigų, įsilaužėliams galime būti įdomūs.
– Ar prekyba tokiomis programinėmis įrangomis neuždrausta?
– Žinoma, uždrausta. Tačiau egzistuoja ištisa ekosistema vadinamajame tamsiajame tinkle, kuris nėra prieinamas standartinėmis naršyklėmis. Jis prieinamas specialia naršykle, padarančia vartotoją itin anonimišką. Tai patogu ir paranku nusikaltėliams, nes teisėsaugos pareigūnams praktiškai neįmanoma atsekti, kas, ką ir kur įkelia, iš kur nusiperka. Tokia prekyba klesti ir yra gana grėsminga.
Galimybė parduoti ir pirkti įrangą skatina nusikaltėlius specializuotis. Vienai kibernetinių nusikaltėlių organizacijai nebereikia mokėti visko: nuo kodo rašymo, įsilaužimo ir pavogtų duomenų realizavimo, iki pinigų plovimo ir kitų dalykų. Dabar organizacijos gali tobulinti vieną šių segmentų, tarkime, rašyti vieną labai konkretaus tipo kenkėjišką kodą. Vieni įgunda ir gali parašyti vis geresnį kodą, jį parduoti ir gauti atlygį, antri jį nusiperka, juo pasinaudoję įsilaužia ir parduoda pavogtą informaciją tretiems, kurie jau žino, ką su ta informacija darys. Tada tie antrieji sumoka kokiems nors tarpininkams, kad šie legalizuotų už parduotą informaciją gautus pinigus.
– Kokie duomenys vagišiams įdomiausi?
– Bet kokie duomenys gali būti įdomūs ir pritaikomi. Kuo daugiau žinoma informacijos apie kažkokį populiacijos segmentą, tuo tiksliau galima modeliuoti ateities atakas.
Šiuo metu dažniau kalbame apie informacinį karą ir manipuliavimą visuomenės nuomone politiniais, kariniais ar kitais tikslais. Jeigu turime daug informacijos apie tikslinį visuomenės segmentą, ką vartotojai daro, kur lankosi, apie ką kalbasi ir pan., galime suformuluoti norimą žinutę ir nutaikyti jį kuo tiksliau, kad paveiktume auditoriją. Gali būti ir konkretus tikslas. Tarkim, vis dažniau namuose turime įvairių išmaniųjų prietaisų, besikeičiančių informacija. Informacija įgauna aktualumo, kai išmanusis televizorius ar šaldytuvas sako: „Manęs jau tris keturias dienas niekas nebuvo įjungęs.“ Nusikaltėliams ši informacija leidžia suprasti, kad savininkai išvažiavę. Šia prasme net tokie trivialūs duomenys gali būti įdomūs ir naudingi.
Taip pat pavykus išsiaiškinti daug asmeninės informacijos, galima labai įtikinamai pamėgdžioti žmogų ir taip taikytis į to žmogaus kolegas, apsimetus jų bendradarbiu. Jeigu sėkmingai pavyksta pamėgdžioti, gali būti, kad bendradarbiai atskleis įdomios informacijos. Prisijungimai prie socialinių medijų ar kitokių panašių platformų taip pat gali būti naudinga informacija.
– Socialiniuose tinkluose yra ir netikrų anketų. Kodėl jos kuriamos?
– Reikėtų vertinti psichologiniu aspektu: patikimiau atrodo žmonės, kuriuos pažįstame, net jei tik virtualiai. Pavyzdžiui, aptinkame kokią nors informaciją, bet galbūt į ją net nekreipiame dėmesio. Bet tikimybė šią informaciją pastebėti išauga, jeigu ją paskleidžia pažįstamas žmogus. Apskritai informacijos viešojoje erdvėje yra be galo daug, gyvenime susidursime tik su jos dalimi. Vis dėlto kai tam tikra informacija praspraudžiama į naujienų srautą mūsų socialiniuose tinkluose, išauga tikimybė, kad aptiksime šį pranešimą ir susidomėsime. Galbūt jis pasirodys įdomus, aktualus – net pasidalysime juo su savo kontaktais. Informacijos sklaidai netikri profiliai naudojami itin dažnai.
Netikrais profiliais apskritai gali būti stebima veikla socialiniuose tinkluose: ką žmonės daro, kuo dalijasi, kokios jų nuomonės vienu ar kitu klausimu, o tada galima rengti tiksliau taikomus pranešimus. Žinoma, daug paprasčiau nusipirkti tokią informaciją iš tų, kurie ją kaupia, tarkim, „Google“, „Facebook“ ir pan., tačiau šios įmonės įstatymų įpareigotos elgtis su tais duomenimis atsakingai, ypač Europos Sąjungoje (ES).
– Užsiminėte, jog „Facebook“, „Google“ kaupia informaciją. Kurie iš sukauptų duomenų yra atiduodami tretiesiems asmenims, o kurie niekada neperduodami?
– Potencialiai bet kokie duomenys gali būti parduodami. Mes su tuo daugiau ar mažiau formaliai sutinkame kurdami savo paskyrą socialiniuose tinkluose. Dažnai netgi neskaitę uždedame varnelę ties užrašu: „Aš sutinku.“ Taip sutinkame, kad iš esmės tose platformose sukurti visi mūsų duomenys būtų naudojami. Tiek demografiniai duomenys, kuriuos įvedame registruodamiesi, tiek informacija apie vietas, iš kur jungiamės prie šių platformų, kuo dalijamės, kaip reaguojame, su kokiais asmenimis bendraujame, – visa mūsų veikla paverčiama duomenimis, ir jie gali būti išnaudojami komerciniams tikslams.
Iš tų duomenų įmanoma atkurti labai tikslų mūsų paveikslą bet kuriuo pasirinktu aspektu. Jeigu reikia nutaikyti tam tikrą reklamą, tarkime, į 30–40 metų vyrus, gyvenančių kuriame nors Kauno mikrorajone ir mėgstančių automobilius, iš karto galima gauti sąrašą profilių, atitinkančių šituos reikalavimus, ir būtent jiems gali būti rodoma konkreti reklama. Tam dažnai net nereikia duomenų prekybos, užteka kreiptis į tą patį „Facebook“.
Kita vertus, yra daug kitų duomenimis prekiaujančių organizacijų. Naujienų portalai yra klasikinis pavyzdys, kai mums teikiamos neva nemokamos paslaugos, tačiau dažniausiai jos nemokamos ne tik dėl rodomos reklamos, bet ir dėl gebėjimo nustatyti, kad, tarkime, šis IP adresas skaito būtent tokias naujienas, praleidžia portale būtent tiek laiko. Ir jeigu šie duomenys reikalingi, juos galima susumuoti, apibendrinti ir parduoti.
– Užsiminėte apie slapukų veiklą, papasakokite apie juos daugiau. Ar kiekvienu kompiuteriu domisi keletas įmonių ir ar jos tiesiog seka IP adreso veiklą?
– Iš esmės slapukas yra mažas failas. Kiekvieną kartą, kai prisijungiama prie paslaugos, susijusios su tuo slapuku, jis praneša apie vartotojo apsilankymą ir pateikia jo profilio nuorodą. Tada galima atkurti daugiau ar mažiau personalizuotą erdvę pagal tai, ką tas vartotojas anksčiau yra atlikęs.
Paprastai ši informacija kaupiama būtent apie konkrečią interneto svetainę, kurioje lankomasi ir kuri paleido slapuką. Bet kai kurie paslaugų teikėjai pripažįsta stebintys ir visą kitą vartotojo veiklą tol, kol vartotojai jie yra prisijungę prie jų paslaugos. Tarkime, „Facebook“ gana atvirai prisipažino, kad visą mūsų veiklą, kol tuo pačiu metu esame prisijungę ir prie savo „Facebook“ paskyros, jie mato, analizuoja ir naudoja. Lygiai tas pats su „Google“: kol esame prisijungę prie savo paskyros, tarkime, naudojamės jų elektroniniu paštu mūsų veikla stebima ir įrašoma ne tik pačioje „Google“sistemoje , bet ir visur, kur dar lankomės. Tai priklauso nuo konkretaus paslaugos teikėjo.
– Kokia interneto paslaugų teikėjų situacija yra Lietuvoje? Kiek pasirūpinama žmonių privatumu ir kiek teikėjams rūpi vartotojų saugumas internete?
– Susiduriame su dvejopa situacija. Iš vienos pusės, teikėjai atsakingi už savo pačių veiklą: už vartotojų duomenų apsaugą ir ryšio saugumą. O ar turėtų rūpintis tuo, kad mūsų kompiuteriai arba kiti įrenginiai nebūtų užkrėsti? Galima sakyti, kad taip, nes jie veikia kaip tarpininkai tarp mūsų ir internetinės erdvės ir galbūt turėtų įdiegti kokią nors apsaugą. Iš kitos pusės, ką tai reikštų? Interneto paslaugų teikėjai būtų įpareigoti filtruoti turinį. Tada iškyla dilema, ar norime įpareigoti teikėjus riboti, prie kokio turinio galime arba negalime prieiti. Tokiu atveju atsiranda ir cenzūros pavojus: siekdami apsaugoti mus nuo potencialios žalos paslaugų teikėjai pradėtų pernelyg aktyviai blokuoti viską, kas atrodo nors šiek tiek įtartina, o tai nebūtinai mums, kaip informacijos ieškotojams, bus naudinga.
– Aptarkime jau surinktų duomenų saugumą. Ar internetinių paslaugų teikėjai turi teisę prekiauti surinktais duomenimis? Kaip jie įpareigoti pasirūpinti savo klientais?
– Ar interneto paslaugų teikėjai gali, ar negali prekiauti duomenimis, priklauso nuo valstybės. Nesu tikras, kokia situacija yra Lietuvoje. Šiuo metu tendencinga netgi įpareigoti interneto paslaugų teikėjus kaupti duomenis apie asmens veiklą internete. Taip siekiama užkirsti kelią nelegalioms veikloms (kibernetiniams nusikaltimams, kibernetiniam terorizmui ir pan.). Visą informaciją apie tai, ką darome internete, paslaugų teikėjai turi saugoti tris mėnesius, kai kur metus ir ilgiau. O teisėsaugos institucijos gali pateikti užklausą ir tą informaciją gauti.
Tada vėl kyla tam tikrų privatumo klausimų. Jeigu asmens privatumą laikome vertybe, faktas, kad absoliučiai viskas yra kaupiama, ne visai maloniai atrodo ir jį įvairios organizacijos, ginančios teisę į privatumą, itin akcentuoja. Papildomai nerimauti verčia ir tai, kad mūsų interneto paslaugų teikėjai kažkur serveryje saugo beprotišką kiekį informacijos, ir jeigu kam nors pavyktų įsilaužti į tą serverį ar kaip kitaip prie tos informacijos prieiti, būtų rastas tikras lobis.
– Vis dėlto reikėtų turėti omenyje, kiek duomenų įmanoma kur nors sutalpinti. Pavyzdžiui, dabar skatinama kas 30 dienų ištrinti senus laiškus iš elektroninio pašto dėžutės. Kiek privatūs verslai, interneto paslaugų teikėjai ir valstybės institucijos pajėgia kaupti duomenis apie mus?
– Duomenų kūrimas tuo pat metu yra ir aukso kasykla, ir didelė problema paslaugų teikėjams. Neatsitiktinai mūsų elektroninio pašto dėžutės apimtis ribota. Bet komercinėms paslaugoms kiekvienas gautas ar išsiųstas laiškas nėra aktualus, jiems svarbi apibendrinta informacija apie mus, leidžianti sukurti konkretų mūsų profilį. Iš keliasdešimties elektroninių laiškų „Google“ gali būti įdomūs tik kokie penki raktažodžiai, tarkim, apie mūsų pomėgius ar interesus. Iš „Google“ perspektyvos ypač daug vietos užimta tiesiog šlamštas. Jai tai visiškai neparanku, nes užimtą vietą būtų galima išnaudoti verslo prasme naudingai informacijai kaupti ir todėl vartotojai skatinami apsimažinti.
– Kaip apsisaugoti nuo visų aptartų grėsmių? Svarbu ne tik kritiškai mąstyti, bet turbūt ir bent minimaliai išmanyti infrastruktūrą, priimti kokius nors sprendimus infrastruktūros atžvilgiu?
– Taip. Jei kalbame apie asmeninius ar nešiojamuosius kompiuterius, reikalinga bent šiokia tokia bazinė antivirusinė programa, kuri nuolat skenuotų kompiuterį ir ieškotų kenkėjiškos programinės įrangos. Taip pat svarbu apsaugoti prieigos taškus platesne prasme. Bet kuris prieigos taškas, išmanusis įrenginys, televizorius, interneto maršruto parinktuvas ateina su baziniu slaptažodžiu, tačiau jis dažniausiai būna toks pats visiems to modelio prietaisams. Tad nepatingėkite ir turėkite fantazijos jį pasikeisti, kad namų tinklas įsilaužėliams būtų sunkiau prieinamas. Nes dažniausiai įsilaužiama per nepakeistus bazinius slaptažodžius arba labai lengvai nuspėjamus slaptažodžius. Neįsivaizduojamas kiekis žmonių turi slaptažodžius, kurie yra tiesiog „slaptažodis“ arba „slaptažodis123“, arba „password“ ir kiti.
– Kokį slaptažodį galėtume vadinti geru?
– Geras slaptažodis – tai daugiau ar mažiau atsitiktinis, ne koks nors prasmingas žodis. Nes, vėlgi – lengvai galima pasirašyti programinę įrangą, į kurią tiesiog suvedi konkrečios kalbos žodyną ir ji tiesiog slaptažodžio lauke išbando viso žodyno žodžius iš didžiosios, iš mažosios raidės. Todėl daug paslaugų teikėjų prašo sugalvoti slaptažodį iš didžiųjų ir mažųjų raidžių, skaičių ir simbolių. Teoriškai gimimo data ir kelios pavardės raidės – tai jau skaičiai ir raidės, regis, saugu. Iš kitos pusės, jeigu kažkas bando atakuoti būtent mus ir žino pačią elementariausią informaciją, šie skaičiai ir simboliai iš karto taps vienu iš variantų.
– Kiek svarbi kompiuterio, įrenginių, programinės įrangos priežiūra?
– Nepatingėkite atsisiųsti programinės įrangos atnaujinimų, ypač operacinės sistemos, bet ir kitos programinės įrangos atnaujinimai yra svarbūs. Ne veltui jie gana įkyriai siūlomi, nemaža dalis tų atnaujinimų susiję ne tik su kokiomis nors funkcijomis, bet ir su klaidų taisymu programiniame kode. Nėra kodo, kuriame nebūtų palikta klaidų, kadangi rimtesnės programos sudarytos iš dešimčių, šimtų, tūkstančių, net milijonų programinio kodo eilučių, žmonės juk klysta. Kai kurių klaidų gali užtekti, kad įsilaužėlis įlįstų ir perimtų, sakykime, įrenginio kontrolę. Tikrai gera praktika viską reguliariai atnaujinti.
– Ką pirmiausia reikia padaryti užsikrėtus kompiuteriui?
– Rimčiau susirgę paprastai ieškome gydytojo pagalbos, sugedus automobiliui kreipiamės į servisą, o užkrėstą kompiuterį rekomenduotina patikėti profesionalams. Mes patys turėtume laikytis bendrosios higienos. Norėdami apsisaugoti nuo susirgimų juk plaunamės rankas, o kompiuteryje turime turėti antivirusinę programą ir instaliuoti programinės įrangos atnaujinimus.
Daugiau detalių apie savo saugumą ir privatumą internete sužinokite iš „Interneto medijų žemėlapio“. Jį rengė žurnalistai ir technologijų ekspertai, bendradarbiaujant Lietuvos žurnalistikos centrui, Švedijos ambasadai bei Švedijos institutui.
