Когда было совершено первое компьютерное преступление
Обновлено: 06.07.2024
Жизнь современного постиндустриального общества в огромной мере зависит от управления различными процессами посредством электронно-вычислительных машин (ЭВМ), от электронной обработки, хранения, доступа и передачи информации. Широкое внедрение и использование информационных технологий создает новые возможности для эффективного развития экономики, политики, социальной сферы, в частности образования и науки.
Однако наряду с несомненными преимуществами новейших компьютерных систем, у них есть существенный недостаток: человечество попадает в растущую зависимость от них. При этом возрастает риск появления ранее неизвестных источников общественной опасности. Нарушение функционирования глобальных компьютерных сетей может привести к серьезным последствиям – от зависания компьютеров и финансовых потерь до экологических и техногенных катастроф и массовой гибели людей.
Напоминающие компьютер устройства существуют со времен изобретения счетов, которые, как известно, появились в 3500 году до нашей эры в Японии, Китае и Индии. Английский математик Чарльз Бзббидж (1792–1871) первым понял, что если бы удалось сконструировать машину, запоминающую числа и выполняющую простейшие арифметические операции, то ее можно было бы запрограммировать для автоматического выполнения сложных расчетов. Его «разностная машина» могла рассчитывать таблицы сложных функций, хотя и не обладала памятью. Более поздняя «аналитическая машина» могла бы конкурировать с нынешними ЭВМ, но ее разработка не была завершена из-за неспособности тогдашних механиков выполнить требования проекта. Стремление к повышению прибыли побудило французского инженера Жозефа Жаккара (1752–1834) создать в 1801 году прообраз компьютерной перфокарты, оснастить шелкоткацкие станки простейшими устройствами для снятия с них информации. Эти устройства позволяли повторять серию операций в процессе изготовления специальных тканей. Служащие Жаккара были настолько обеспокоены угрозой потери традиционной работы и, как следствие, лишения средств к существованию, что совершили массовые акты саботажа с целью помешать использованию в дальнейшем новой технологии. Именно таким образом, по всей видимости, и было совершено первое в истории человечества компьютерное преступление.
В середине прошлого века были созданы первые компьютеры, эксплуатация которых была под силу лишь крупным научным коллективам при серьезной поддержке государства. Первоначально компьютер явился средством для решения научных задач и использовался исключительно в закрытых учреждениях, в силу чего доступ к компьютерной информации со стороны был практически невозможен. С появлением первых персональных компьютеров, увеличением их числа в распоряжении конкретных физических лиц возникла необходимость в обмене информацией, что влекло за собой различные нарушения.
Первые же хакеры появились еще в начале 70-х годов в Массачусетском технологическом институте, из которого, кстати, вышла почти вся элита американского программного бизнеса во главе с Гейтсом и Алленом. Именно хакеры создали большинство прикладных программ и технических усовершенствований, без которых работа на персональном компьютере сейчас просто невозможна. Именно они преобразовали в свое время военную сеть ARPAnet в трансграничную паутину, известную ныне как Интернет.
Жертвами хакеров различной степени опытности становятся не только банки, компании и ведомства, но и отдельные граждане. Сознательно либо ради спортивного интереса взломщики подвергают массированным кибератакам узловые серверы и браузеры Интернета, локальных компьютерных сетей. Они взыскивают в их защитных системах слабые звенья, через которые получают доступ в информационные блоки. В дальнейшем хакеры, как правило, пользуются данными для копирования или вводят в «территорию взлома» вирусы-роботы, способные в заданный момент искажать и даже уничтожать компьютерные файлы.
Согласно результатам совместного исследования Института компьютерной безопасности США и ФБР каждое компьютерное преступление наносит ущерб примерно в 200 тысяч долларов, и урон от компьютерных преступлений ежегодно растет в геометрической прогрессии. 1 На мой взгляд, нет оснований полагать, что Россия обладает большей защищенностью в данной сфере.
Сегодня, в эпоху бурного развития компьютерных средств связи, случаи несанкционированного проникновения в государственные, корпоративные и частные базы данных исчисляются сотнями тысяч. Паутина Интернета опутала весь мир, и практически любой пользователь этой Сети, считают специалисты, может стать компьютерным взломщиком. Основные задачи и принципы государственной политики по обеспечению информационной безопасности страны определены в Концепции национальной безопасности Российской Федерации. В развитие данной Концепции Президентом Российской Федерации утверждена доктрина информационной безопасности Российской Федерации. Среди первоочередных мероприятий по реализации этой политики в доктрине определено пресечение компьютерной преступности.
Экономическая и информационная безопасность тесно переплетены и взаимосвязаны. На стратегическом уровне в основе так называемого информационного доминирования, или превосходства, за обладание которым в спешном порядке устремились ведущие страны Запада при безусловном лидерстве США, лежат, прежде всего, экономические интересы. Например, факты использования иностранными спецслужбами системы «Эшелон» – глобальной системы слежения за мировыми коммуникациями – для коммерческого шпионажа в пользу американского частного сектора в ущерб европейским конкурентам обсуждались даже на специально образованном временном комитете Европейского союза.
Разнообразие компьютерных преступлений настолько велико, что на сегодняшний день в уголовном праве пока не выработано единого понятия компьютерного преступления, не разработана система, которая бы исчерпывающим образом описывала все многообразие действий и последствий, возникающих в результате неправомерного использования ЭВМ.
В последнее время научно технические достижения стали орудием правонарушений, совершаемых не только в виртуальном мире, но и в реальной жизни. Компьютеры и всемирная информационная сеть Интернет все чаще используются как средства подготовления и осуществления преступлений, в частности террористических актов. Появились новые понятия: «преступность высоких технологий», «компьютерный терроризм» («кибертерроризм»). По данным МВД России, число компьютерных преступлений в нашей стране растет в геометрической прогрессии.
Компьютерный терроризм или кибертерроризм – одна из наиболее опасных разновидностей более широкого понятия – компьютерной преступности (киберпреступности).
Томчак Е.В. определяет киберпреступность «как любое преступление, которое может совершаться с помощью компьютерной системы или сети, т.е. которое может быть совершено в электронной среде.» 1 Иначе говоря, к киберпреступлениям относятся такие общественно опасные деяния, которые совершаются с использованием средств компьютерной техники в отношении информации, обрабатываемой и используемой в Интернет.
Интернет – это средство делового общения, получения актуальной информации, ведения предпринимательской деятельности. Поэтому все большее число пользователей могут стать и становятся жертвами правонарушений в сети.
Киберпреступность подразумевает любые противозаконные действия, возникающие в результате использования одного или нескольких Интернет-компонентов, таких, как веб-сайты, форумы или электронная почта. Киберпреступность включает в себя широкий спектр противозаконных действий – от непредоставления услуг и несанкционированного проникновения в компьютерные системы до экономического шпионажа, отмывания денег, краж личной информации. Борьба с преступлениями такого рода давно перестала быть праздной теоретической задачей.
Российский исследователь Малышенко Д.Г. склонен рассматривать кибертерроризм «в качестве одной из разновидностей неправомерного доступа к компьютерной информации, размещенной в отдельно взятой вычислительной машине или сети ЭВМ, осуществляемого для модификации, уничтожения указанной информации или ознакомления с ней, обеспечивающего формирование обстановки, при которой функционирование данной ЭВМ или сети выходит за рамки, предусмотренные штатными условиями эксплуатации, и возникает опасность гибели людей, причинения имущественного ущерба или наступления каких-либо иных общественно опасных последствий» 2 .
По мнению Томчак Е.В. преступления связанные с использованием компьютеров, следует рассматривать как: а) преступления направленные на компьютерную сферу и коммуникационные технологии; б) преступления с использованием цифровых технологий в процессе совершения правонарушения; в) преступления с использованием компьютера как инструмента в процессе совершения иных преступлений. 1
Привлекательность использования киберпространства для современных террористов связана с тем, что для совершения кибертеракта не нужно специальных знаний в области кибернетики, которые требовались, например, хакерам старших поколений, не нужны большие финансовые затраты – необходим лишь персональный компьютер, подключенный к сети Интернет, а также специальные программы и вирусы.
Кибертерроризм в большей степени анонимен, чем «традиционный» терроризм. У преступника есть возможность совершать террористические акты, находясь вдали от места преступления. Это во многом осложняет деятельность правоохранительных органов по выявлению лиц совершивших преступления, и привлечению их к уголовной ответственности. Также для работы в Интернете террористы используют сетевые псевдонимы или получают доступ к сайтам через гостевой вход, что затрудняет их идентификацию. Именно анонимность и отсутствие границ делают Интернет эффективным оружием в руках злоумышленников.
Искажение, утеря или хищение информации в подавляющем большинстве случаев связаны с прямой потерей материальных ценностей и финансовых средств, а любой достаточно серьезный сбой или отказ компьютерной системы наносит еще и моральный ущерб руководству и персоналу, программистам и системным администраторам, а также урон деловой репутации фирмы в целом. Действующие же системы защиты информации коммерческих структур и государственных учреждений во многих случаях оказываются несостоятельными или малоэффективными в противоборстве с компьютерной преступностью из-за наличия в них многочисленных уязвимых мест.
По мнению Борунова О.Е., законодатель должен выбрать комплексный подход к охране компьютерной информации и обеспечить наличие в Уголовном кодексе РФ не только самостоятельных составов по компьютерным преступлениям, но и составов, которые бы выступали в качестве специальных по отношению к общим либо же находились бы в той статье в качестве квалифицирующего признака. 1
Негативным последствием информатизации общества стало появление так называемой компьютерной преступности. В литературе до настоящего времени ведется полемика о том, какие действия следует относить к разряду компьютерных преступлений. Сложность решения вопроса заключается в том, что диапазон противоправных действий, совершаемых с использованием средств компьютерной техники, чрезвычайно широк – от преступлений традиционного типа до преступлений, требующих высокой математической и технической подготовки.
Появление на рынке компактных и сравнительно недорогих персональных компьютеров дало возможность подключаться к мощным информационным потокам неограниченному кругу лиц. Встал вопрос о контроле доступа к информации, ее сохранности и целостности. Организационные меры, а также программные и технические средства защиты информации оказались недостаточно эффективными.
Особенно остро проблема несанкционированного вмешательства в работу компьютерных систем дала о себе знать в странах с развитой информационной инфраструктурой. Вынужденные прибегать к дополнительным мерам безопасности, они стали активно использовать правовые, в том числе уголовно-правовые, средства защиты. Например, в 1992 г. Уголовный кодекс Франции пополнился специальной главой «О посягательствах на системы автоматизированной обработки данных», в которой предусмотрена ответственность за незаконный доступ ко всей или к части системы автоматизированной обработки данных, воспрепятствование или нарушение правильности работы системы либо ввод в нее обманным способом информации, уничтожение или изменение базы данных. Изучить и разработать проект специальной конвенции, посвященной проблеме правонарушений в сфере компьютерной информации, счел необходимым и Совет Европы.
Развивалась компьютерная преступность и в бывшем СССР. Так, одно из первых в нашей стране компьютерных преступлений, совершенное в 1979 г. в Вильнюсе (хищение 78 тыс. 584 руб.), удостоилось занесения в международный реестр подобных правонарушений. Российские правоведы давно ставили вопрос о необходимости законодательного закрепления правоотношений, вытекающих из различных сфер применения средств автоматизированной обработки информации. Определенным этапом стало принятие в 1992 г. Закона РФ «О правовой охране программ для электронно-вычислительных машин и баз данных», содержащего положение о том, что выпуск под своим именем чужой программы для ЭВМ или базы данных либо незаконное воспроизведение или распространение таковых влечет уголовную ответственность. Однако соответствующих изменений в УК РФ внесено не было. В 1994 г. был принят Гражданский кодекс РФ, который содержит ряд норм, связанных с компьютерной информацией, а в 1995 г. – Федеральный закон «Об информации, информатизации и защите информации». Логическим развитием правовой системы, создающей условия безопасности автоматизированной обработки информации, стало включение в УК РФ 1996 г. группы статей, предусматривающих основания уголовной ответственности за нарушения в сфере компьютерной информации.
Хотя действующее в большинстве стран уголовное законодательство является достаточно гибким, чтобы квалифицировать правонарушения этого типа, социальные и технические изменения создают все новые и новые проблемы, поэтому некоторые из известных мировой практике компьютерных посягательств не подпадают под действие уголовного законодательства и в юридическом смысле не могут считаться преступными. Так, существует мнение о том, что компьютерных преступлений как специфических в юридическом смысле не существует и следует говорить лишь о компьютерных аспектах преступлений.
Вместе с тем специалисты в данной области исследований пришли к выводу о том, что к разряду компьютерных следует отнести те преступления, объектом преступного посягательства которых выступает информация, обрабатываемая и хранящаяся в компьютерных системах, а орудием посягательства служит компьютер. По этому пути пошло и российское законодательство.
Под компьютерным преступлением следует понимать предусмотренные законом общественно опасные деяния, совершаемые с использованием средств компьютерной техники.
Уголовное законодательство регламентирует охрану компьютерной информации, которая определяется как информация, зафиксированная на машинном носителе или передаваемая по телекоммуникационным каналам в форме, доступной восприятию компьютера. Вместо термина «компьютерная информация» можно использовать термин «машинная информация», под которой подразумевается информация, запечатленная на машинном носителе, в памяти компьютера, ее системе или сети. В качестве предмета или орудия преступления, согласно законодательству, может выступать компьютерная информация, компьютер, компьютерная система или компьютерная сеть.
При рассмотрении вопросов о классификации компьютерных преступлений и их криминалистической характеристике целесообразно исходить из определения компьютерного преступления в широком смысле слова. Правомерно также использовать термин «компьютерное преступление» в широком значении как социологическую категорию, а не как понятие уголовного права. Классификация компьютерных преступлений может быть проведена по различным основаниям. Например, можно условно подразделить все компьютерные преступления на две большие категории: преступления, связанные с вмешательством в работу компьютеров, и преступления, использующие компьютеры как необходимые технические средства. При этом не принимаются во внимание так называемые околокомпьютерные преступления, связанные с нарушением авторских прав программистов, незаконным бизнесом на вычислительной технике, физическим уничтожением компьютеров и т. п.
Одна из наиболее общих классификаций была предложена группой экспертов Организации экономического сотрудничества и развития. В соответствии с ней выделяют следующие криминологические группы компьютерных преступлений: экономические, против личных прав и частной сферы, против государственных и общественных интересов.
Экономические компьютерные преступления являются наиболее распространенными. Они имеют корыстные мотивы и включают в себя компьютерное мошенничество, кражу программ («компьютерное пиратство»), кражу услуг и машинного времени, экономический шпионаж.
Компьютерные преступления против личных прав и частной сферы – это незаконный сбор данных о лице, разглашение частной информации (например, банковской или врачебной тайны), незаконное получение информации о расходах и т. д. Компьютерные преступления против государственных и общественных интересов направлены против государственной и общественной безопасности, угрожают обороноспособности государства, сводятся к злоупотреблениям с автоматизированными системами голосования и т. д.
Подходить к классификации компьютерных преступлений наиболее оправданно с позиций их состава. Хотя он в настоящее время четко не определен, можно выделить ряд видов противоправных деяний, которые могут быть в него включены. Перечислим некоторые основные виды преступлений, связанных с вмешательством в работу компьютеров:
– несанкционированный доступ в корыстных целях к информации, хранящейся в компьютере или информационно-вычислительной сети, – осуществляется, как правило, с использованием чужого имени, изменением физических адресов технических устройств, использованием информации, оставшейся после решения задач, модификацией программного и информационного обеспечения, хищением носителя информации, установкой аппаратуры записи, подключаемой к каналам передачи данных. Преступник проникает в компьютерную систему, выдавая себя за законного пользователя. Легче всего это сделать, получив коды и другие идентифицирующие шифры законных пользователей. Несанкционированный доступ может произойти и в результате системной поломки. Например, если некоторые файлы одного пользователя остаются открытыми, то другие пользователи могут получить доступ к не принадлежащим им частям банка данных. Все происходит так, словно клиент банка, войдя в выделенную ему в хранилище комнату, замечает, что у хранилища нет одной стены. В таком случае он может проникнуть в чужие сейфы и похитить все, что в них хранится;
Системы, которые не обладают средствами аутентичной идентификации (например, по физиологическим характеристикам: отпечаткам пальцев, рисунку сетчатки глаза, голосу), оказываются беззащитны против несанкционированного доступа.
– разработка и распространение компьютерных вирусов. Программы-вирусы обладают свойствами переходить через коммуникационные сети из одной системы в другую, распространяясь как вирусное заболевание;
– ввод в программное обеспечение «логических бомб» – программ, которые срабатывают при выполнении определенных условий и частично или полностью выводят из строя компьютерную систему;
– халатная небрежность при разработке, создании и эксплуатации программно-вычислительных комплексов компьютерных сетей, последствия которой могут быть тяжкими. Проблема небрежности в области компьютерной техники сродни вине по неосторожности при использовании любого другого вида техники. Особенностью компьютерных систем является то, что абсолютно безошибочных программ в принципе не бывает. Если проект практически в любой области техники можно выполнить с огромным запасом надежности, то в области программирования такая надежность весьма условна, а в ряде случаев почти недостижима;
– хищение программного обеспечения. Если «обычные» хищения подпадают под действие существующего уголовного закона, то проблема хищения программного обеспечения более сложна. Значительная часть программного обеспечения в России распространяется путем краж и обмена краденым;
– несанкционированное копирование, изменение или уничтожение информации. При неправомерном обращении в собственность машинная информация может не изыматься из фондов, а копироваться. Следовательно, она должна быть выделена как самостоятельный предмет уголовно-правовой охраны;
– несанкционированный просмотр или хищение информации из банков данных, баз данных и баз знаний. В данном случае под базой данных следует понимать форму представления и организации совокупности данных (например, статей, расчетов), систематизированных таким образом, чтобы они могли быть найдены и обработаны с помощью ЭВМ.
Приходится констатировать, что процесс компьютеризации общества приводит к увеличению количества компьютерных преступлений, возрастанию их удельного веса в общей доле материальных потерь от различных видов преступлений. Потери отдельно взятого государства в таких случаях могут достигать колоссальных размеров.
Один из характерных примеров – уголовное дело о хищении 125,5 тыс. долл. США и подготовке к хищению еще свыше 500 тыс. долл. во Внешэкономбанке СССР в 1991 г., рассмотренное московским судом. По материалам другого уголовного дела, в сентябре 1993 г. было совершено покушение на хищение денежных средств в особо крупных размерах из Главного расчетно-кассового центра Центрального банка России по г. Москве на сумму 68 млрд 309 млн 768 тыс. руб.
Имели также место следующие факты: хищение в апреле 1994 г. из расчетно-кассового центра (РКЦ) г. Махачкалы на сумму 35 млрд 1 млн 557 тыс. руб.; хищения в московском филиале Инкомбанка, в филиалах Уникомбанка, в коммерческом банке Красноярского края, откуда было похищено 510 млн руб., в акционерном коммерческом банке г. Волгограда на сумму 450 млн руб.; в Сбербанке г. Волгограда на сумму 2 млрд руб.
По данным МВД России, из банковских структур преступниками по фальшивым кредитным авизо и поддельным ордерам было похищено более 7 трлн руб. В связи с ростом числа подобных хищений в ЦБ России и региональных РКЦ были установлены компьютерные системы защиты от фальшивых платежных документов. По данным Центрального банка России, ежеквартально выявляется фиктивных платежей на десятки миллиардов рублей, которые преступники внедряют в сети подразделений банка.
Парадоксальная особенность компьютерных преступлений состоит и в том, что трудно найти другой вид преступления, после совершения которого его жертва не выказывает особой заинтересованности в поимке преступника, а сам преступник, будучи пойман, всячески рекламирует свою деятельность на поприще компьютерного взлома, мало что утаивая от представителей правоохранительных органов. Психологически этот парадокс вполне объясним.
Во-первых, жертва компьютерного преступления совершенно убеждена, что затраты на его раскрытие (включая потери, понесенные в результате утраты своей репутации) существенно превосходят причиненный ущерб.
Во-вторых, преступник приобретает широкую известность в деловых и криминальных кругах, что в дальнейшем позволяет ему с выгодой использовать приобретенный опыт.
Я уже описывал моё коротенькое юношеское баловство с незаконной стороной информатики в её виде на конец 1980-ых. Но было ли это преступлением? Был ли я настоящим преступником? Не думаю. Говоря начистоту, я не был достаточно одарен, чтобы представлять хоть какую-нибудь угрозу, да и сейчас не представляю.
Есть две классические книги, описывающие деятельность обладавших уникальным талантом хакеров в конце 80-ых, талантом, который поднимал их опасность до признания в качестве криминальной угрозы.
Кукушка (примерно 1986 год) — вероятно, первый случай взлома, который расценивался как очевидно умышленное преступление, и, конечно, первый известный случай компьютерного взлома как международного шпионажа. Я прочел книгу ещё в оригинальном издании 1989 года, но рассказ всё так же захватывающе-познавателен. Прорицательность Клиффа Столла помогла ему предвидеть, как доверие компьютерам и зарождающемуся Интернету может быть уязвимо к настоящим, реальным и материальным преступникам.
Не знаю, сделал ли Кевин Митник что-то совсем уж незаконное, но нет сомнений, что он был первым в мире известным компьютерным преступником.
К 1994 году он попал в список ФБР десяти самых разыскиваемых преступников, и статьи о его судебном деле шли на первые полосы «Нью-Йорк Таймс». Если момент, когда в сознание общества вошли понятия «компьютерное преступление» и «хакинг», существовал, то это был он.
Кевин в «Призраке в проводах» в мельчайших подробностях рассказывает весь ход событий. В комиксе «Уиззиуиг» всё пересказано в урезанном виде, но взято прямо из источника, так что его стоит прочесть. Не сказал бы, что так хуже. Уже многие годы Кевин не занимается взломами; он написал несколько книг, описывающих его приемы, а теперь консультирует компании в вопросах улучшения их компьютерной безопасности.
Эти две книги охватывают начало компьютерной преступности в таком виде, в котором мы её знаем. Конечно, сейчас проблема встала острей, чем в середине 80-ых: взять хотя бы значительно большее количество компьютеров, соединенных между собой, чем это мог представить кто-нибудь на заре эпохи. Но что действительно удивляет, так это то, как малы произошедшие изменения в приемах киберкриминала с 1985 года.
Лучшим образцом современного — и под современным я понимаю 2000 год и позже — компьютерного преступления является «Главарь: как один хакер захватил миллиардное киберкриминальное подполье». Современные киберпреступления походят на классику черно-белого кино: все завязано на воровстве крупных сумм денег. Но вместе того, чтобы грабить банковские хранилища в стиле пары Бонни и Клайд, процесс производится в электронном виде, по большей части через банкоматы и эксплойты кредитных карт.
Написанная Кевином Поулсеном, другим известным отошедшим от дел хакером книга также является интригующим чтением. Я прочел её уже дважды и обнаружил самый познавательный отрывок, написанный протагонистом после его освобождения из тюрьмы в 2002 году:
Один из бывших клиентов Макса из Кремниевой долины попытался помочь и дал Максу контракт на 5.000 долларов. Задача заключалась в тестовом проникновении в сеть компании, и руководство не особо беспокоило наличие или отсутствие отчета от него. Однако хакер воспринял работу всерьез. Он месяцами штурмовал сетевой экран, рассчитывая на одну из тех простых побед, к которым он привык, будучи этичным взломщиком. Но ему предстояло испытать удивление: состояние корпоративной безопасности улучшилось за то время, пока он сидел. Он не мог ничего поделать с сетью своего единственного клиента. Его стопроцентно успешная послужная история затрещала.
Макс старался сильней, лишь всё более разочаровываясь из-за собственного бессилия. Наконец, он решил попробовать что-то новое. Вместо того, чтобы искать уязвимости у закаленных серверов компании, он выбрал своей целью несколько сотрудников.
Эти атаки на стороне клиента — знакомые большинству людей действия злоумышленников: спам-письмо в электронном ящике с ссылкой на нечто, походящее на поздравительную открытку или забавную картинку. На самом деле скачивается запускаемый файл, и если вы проигнорируете предупреждение…
Всё верно; сегодня ни один хакер не стал бы тратить время на лобовую атаку. Шанс успеха ничтожен. Вместо этого они метят в мягкое, густое подбрюшье каждой компании: пользователей внутри. Макс, хакер, описанный в «Главаре», хвастается: «С того момента в моей стопроцентной успеха я не сомневался.» Вот оно, новое лицо хакинга. Так ли это?
Одна из самых изумительных деталей из рассказанного в «Призраке в проводах» — это не то, каким опытным хакером является Кевин Митник (хотя он несомненно вели́к), а то, как ужасающе эффективно он может выманивать критическую информацию у людей в повседневных разговорах. Снова и снова, сотнями едва различимых и ловких способов. Неважно, какой сейчас год — 1985-ый или 2005-ый, количество уровней безопасности военного уровня в компьютерной инфраструктуре не поможет никак, если кто-то за этими компьютерами щелкает по ссылкам с пляшущими кроликами. Социальная инженерия — самый надежный и актуальный прием взлома из числа изобретенных. Метод переживет нас всех.
Для примера эры 2012 года рассмотрим случай Мэта Хонана. Он не уникален.
После того, как они наткнулись на мой аккаунт [в Twitter], хакеры выполнили предварительное исследование. Мой аккаунт в Twitter ссылается на мой личный вебсайт, где они нашли мой адрес на Gmail. Полагая, что это был тот же электронный ящик, который у меня был для Twitter, Phobia наведался на страницу восстановления аккаунта Google. Собственно восстановление ему выполнять не пришлось, это была лишь всего лишь разведка.
Поскольку у него уже был мой адрес электронной почты, всё, что оставалось для получения от техподдержки Apple ключей от моего аккаунта — платежный адрес и последние четыре цифры моей кредитной карты.
Так как же он получил эту нужную информацию? Он пошел по простому пути. Он взял платежный адрес из whois моего домена. Если у человека домена нет, можно найти его или её в Spokeo, WhitePages или PeopleSmart.
Получение номера кредитки сложней, но также основано на использовании преимуществ систем бэкэнда компаний. … Сначала нужно позвонить в Amazon и сказать, что ты владелец аккаунта и хотел бы добавить номер кредитной карты в аккаунт. Нужны только имя аккаунта, связанный адрес электронной почты и платежный адрес. Затем Amazon разрешает добавить новую кредитку. (В Wired для этого использовали сайт-генератор номеров банковских карт, которые проходят всем известные алгоритмы самопроверки.) Трубка кладется.
Следом за этим нужно перезвонить в Amazon и заявить, что был утерян доступ к аккаунту. После предоставления имени, платежного адреса и номера кредитки, который был только что добавлен при предыдущем звонке, техподдержка даст возможность добавить новый адрес электронной почты к аккаунту. Затем необходимо зайти на сайт Amazon и сбросить пароль, используя новый ящик. В результате будет получен доступ к списку всех банковских карт, закрепленных за аккаунтом — не полные номера, а только последние четыре цифры. Но, как мы знаем, эти четыре цифры и нужны Apple.
Phobia, хакер, которого описывает Мэт Хонан, — несовершеннолетний, проделавший всё это забавы ради. Один из его друзей, 15-летний хакер, известный под никнеймом Cosmo, и обнаружил прием с Amazon и банковскими картами, описанный выше. Чем сегодня заняты подростки-хакеры?
Игроки Xbox различают друг друга по геймертэгам. И среди молодых игроков куда круче иметь простой геймертэг вида Fred, чем, скажем, Fred1988Ohio. До того, как Microsoft подлатала безопасность, чтобы получить форму сброса пароля в Windows Live (и таким образом захватить геймертэг), требовалось лишь имя аккаунта, последние четыре цифры и срок окончания действия банковской карты аккаунта. Дерек обнаружил, что у владельца тэга Cosmo есть аккаунт Netflix. И так он стал Cosmo.
«Я позвонил а Netflix, и это было просто», — хихикает он. «Они сказали: «Ваше имя?» Я ответил: «Тодд [Вырезано]», — и назвал его адрес почты, и они сказали: «Хорошо, ваш пароль 12345», — и я зашел в аккаунт. Я увидел последние четыре цифры его кредитки. И тут же я заполнил форму сброса пароля Windows Live, в которой требовались имя и фамилия владельца карты, последние четыре цифры номера и дата её истечения.»
Этот метод всё ещё работает. Когда мы в Wired позвонили Netflix, всё, что попросили предоставить — имя и адрес электронной почты аккаунта, и нам дали такой же сброс.
Приемы пугающе одинаковы. Единственная разница между Cosmo и Кевином Митником — это рождение в разные десятилетия. Сегодня компьютерные преступления — целый новый мир, но используемые в наши дни приемы почти идентичны приемам из 80-ых. Если вы хотите связаться с киберпреступностью, не тратьте время, разрабатывая ниндзя-навыки взлома, потому что слабое место — это не компьютеры.
Читайте также: