Μύθοι και αλήθειες για το κυβερνοέγκλημα

Καλλιού Ελένη, κοινωνική επιστήμονας

Στην εποχή της ραγδαίας τεχνολογικής εξέλιξης, όπου κάθε πολίτης, επιχείρηση ή οργανισμός κάνουν χρήση μιας πληθώρας ηλεκτρονικών συσκευών, παρατηρούνται συχνά φαινόμενα κυβερνοεπιθέσεων. Οι χρήστες είναι ευάλωτοι αφενός γιατί οι κυβερνοεγκληματίες είναι εφευρετικοί και διαθέτουν στη φαρέτρα τους πολλούς τρόπους επίθεσης, αφετέρου επειδή υπάρχει ελλιπής γνώση των χρηστών, που είναι εύκολο να πέσουν θύμα ψευδών ενημερώσεων σχετικά με θέματα κυβερνοασφάλειας.

Εισαγωγή

Στις μέρες μας κυβερνοεπιθέσεις και απόπειρες αυτών είναι ένα πολύ συχνό φαινόμενο. Είναι σημαντικό ο καθένας να γνωρίζει την αλήθεια για το κυβερνοέγκλημα, ώστε να μπορεί να προστατευτεί τόσο σε ατομικό όσο και σε επαγγελματικό επίπεδο.

Σκοπός του παρόντος άρθρου είναι η αναφορά και κατάρριψη πολλών μύθων που σχετίζονται με το κυβερνοέγκλημα, με στόχο την ενημέρωση και προφύλαξη/πρόληψη από μορφές κυβερνοεγκλημάτων. Για την ορθότερη κατανόηση του άρθρου ακολουθούν ορισμένοι ορισμοί. Έπειτα, θα ακολουθήσουν διάφοροι γνωστοί μύθοι γύρω από το κυβερνοέγκλημα, οι οποίοι ταυτόχρονα θα καταρρίπτονται.

Ορισμοί

Κυβερνοέγκλημα (cyber crime): ο όρος χρησιμοποιείται για όλες τις αξιόποινες πράξεις, οι οποίες τελούνται μέσω ενός υπολογιστικού συστήματος και χρησιμοποιείται τόσο με στενή όσο και με ευρεία έννοια.^[1] Η στενή έννοια του όρου αφορά μια παράνομη δραστηριότητα, που εργαλειοποιεί ή στοχοποιεί δίκτυα ή υπολογιστές για τη διάπραξη ενός αδικήματος,^[2] για παράδειγμα: παράνομη πρόσβαση σε πληροφοριακό σύστημα, κυβερνοεπιθέσεις και άλλα.[3] Στην ευρεία έννοια περιλαμβάνεται κάθε παράνομη δραστηριότητα που διαπράττεται μέσω δικτύων ή υπολογιστικών συστημάτων,[4] όπως κλήσεις ή γραπτές συνομιλίες μέσω διαδικτύου.[5]

Cracking: ο εισβολέας εισέρχεται σε ένα ηλεκτρονικό σύστημα χωρίς εξουσιοδότηση, αλλάζει τυχόν κωδικούς και αντιγράφει παράνομα, καταστρέφει ή υποκλέπτει στοιχεία από άτομα ή εταιρείες/οργανισμούς.[6]

DDoS Attack: στόχος αυτής της επίθεσης μπορεί να είναι μια ιστοσελίδα ή ένας διακομιστής. Αυτοί που εξαπολύουν την επίθεση «πλημμυρίζουν» μια τοποθεσία web με τυχαία κυκλοφορία, η οποία προκαλείται από πληθώρα υπολογιστών (bots/botnets). Ως αποτέλεσμα η συγκεκριμένη τοποθεσία είτε αργεί είτε αποτυγχάνει να ανταποκριθεί ολοκληρωτικά.[7]

Phishing: ο εισβολέας προσποιείται ότι είναι έμπιστο άτομο ή οργανισμός και ξεγελάει τα θύματα, ώστε να κλέψει ιδιωτικά δεδομένα, όπως διαπιστευτήρια σύνδεσης ή στοιχεία σύνδεσης πιστωτικών καρτών. Αυτό γίνεται μέσω μηνυμάτων (κυρίως emails), στα οποία δίνουν κακόβουλους συνδέσμους (links) που ανοίγουν οι χρήστες. Η συγκεκριμένη επίθεση εμφανίζεται με πολλούς, έξυπνους τρόπους: ο εισβολέας παριστάνει μια τράπεζα, κάποιον από την εφορία ή από υπηρεσίες ταχυδρομείου κ.λπ.. Το phishing μπορεί να συμβεί στον απλό πολίτη, σε οργανισμούς - κυβερνητικούς και μη - ή σε άτομα που κατέχουν υψηλές θέσεις στην εργασία τους (whale phishing attack)[8].

Malware: ο όρος σημαίνει κακόβουλο λογισμικό και αναφέρεται σε όλες τις μορφές που μπορεί να λάβει, όπως ransomware, Δούρειοι Ίπποι (Trojan horses), σκουλήκια (worms)^[9] κ.λπ..

Δούρειος Ίππος (Trojan Horse):[10] ο όρος χρησιμοποιείται για να περιγράψει μία εφαρμογή, που εμφανισιακά φαίνεται και λειτουργεί κανονικά, αλλά στην πραγματικότητα είναι ένα κακόβουλο λογισμικό που δουλεύει ταυτόχρονα για να βλάψει το σύστημα.

Surface, Deep & Dark Web: ο επιφανειακός ιστός (surface web) είναι εύκολα προσβάσιμος από γνωστά προγράμματα περιήγησης (π.χ. Google Chrome, Mozilla Firefox) και αποτελεί το 5% του Παγκόσμιου Ιστού^[11]. Το βαθύ διαδίκτυο (deep web) αποτελεί το μεγαλύτερο μέρος του Παγκόσμιου Ιστού και περιέχει δεδομένα που δεν είναι προσβάσιμα από τις μηχανές αναζήτησης. Κομμάτι του αποτελεί το σκοτεινό διαδίκτυο (dark web), στο οποίο αποκτά κανείς πρόσβαση από ειδικούς browsers, όπως το TOR. Εκεί μπορεί κανείς να βρει κωδικούς πρόσβασης σε e-banking λογαριασμούς, πορνογραφικά βίντεο ενηλίκων και ανηλίκων, όπλα, ναρκωτικά κ.λπ.^[12]

Μύθοι vs. Αλήθειες

Μύθος #1 Η επιχείρηση είναι πολύ μικρή για να κεντρίσει το ενδιαφέρον των κυβερνοεγκληματιών

Το μέγεθος μιας επιχείρησης δεν έχει σημασία για το εάν αυτή θα μπει στο στόχαστρο μιας κυβερνοεπίθεσης.^[13] Σύμφωνα με το Παγκόσμιο Οικονομικό Φόρουμ, οι μικρομεσαίες επιχειρήσεις αποτελούν το 99% των επιχειρήσεων στην Ευρώπη (2021).^[14] Επιπλέον, έρευνα έδειξε ότι οι μικρομεσαίες επιχειρήσεις είναι τρεις φορές πιθανότερο να στοχοποιηθούν από ότι οι μεγάλες.^[15]

Ο Ευρωπαϊκός Οργανισμός για την Ασφάλεια Δικτύων και Πληροφοριών (ENISA)^[16] δηλώνει μερικούς λόγους στοχοποίησης αυτών των επιχειρήσεων:

• χαμηλή επίγνωση κυβερνοαπειλών,
• ανεπαρκής προστασία για κρίσιμες και ευαίσθητες πληροφορίες,
• έλλειψη προϋπολογισμού για κάλυψη του κόστους μέτρων κυβερνοασφάλειας,
• διαθεσιμότητα εξειδικευμένου προσωπικού σε θέματα κυβερνοασφάλειας,
• απουσία κατάλληλων οδηγιών που να αφορούν και να μπορούν να εφαρμοστούν στις μικρομεσαίες επιχειρήσεις και άλλα.

Μύθος #2 Η επιχείρηση είναι μεγάλη, οπότε είναι και ασφαλής

Όπως προαναφέρθηκε, το μέγεθος μιας επιχείρησης δεν ενδιαφέρει τους κυβερνοεγκληματίες. Σκοπός τους είναι να «χτυπήσουν» όπου μπορούν. Έχουν γνωστοποιηθεί περιστατικά μεγάλων και πασίγνωστων επιχειρήσεων τα δεδομένα των οποίων διέρρευσαν:

• Yahoo!, όπου το περιστατικό έλαβε χώρα στα τέλη του 2014 και επιβεβαιώθηκε από την ίδια την εταιρεία το 2016.[17]
• LinkedIn, 2021^[18]
• Facebook, 2019 και 2021^[19]
• Adobe, 2019^[20]
• Sony, η οποία έχει πέσει θύμα αρκετές φορές στο παρελθόν, με την πιο πρόσφατη διαρροή δεδομένων, να έχει επιβεβαιωθεί από την εταιρεία, ότι έλαβε χώρα τον Σεπτέμβριο 2023.^[21]

Ουσιαστικά όποιος έχει δεδομένα μπορεί να γίνει στόχος.[22]

Μύθος #3 Στην επιχείρηση κάνω χρήση της προσωπικής μου συσκευής

Η μεταφορά της προσωπικής συσκευής στην εργασία μπορεί να είναι οικονομική λύση, αλλά μπορεί να επιφέρει αρνητικές επιπτώσεις,^[23] καθώς είναι πιθανόν να χρησιμοποιηθεί ως είσοδος για τους κυβερνοεγκληματίες.[24] Δεν είναι σίγουρο ότι οι υπάλληλοι θα έχουν (ικανά) antivirus, οπότε αν χακαριστούν αυτοί και συνδεθούν στο σύστημα της εταιρείας, τότε θα χακαριστεί και η εταιρεία.[25]

Μύθος #4 Μόνο τα Windows «πιάνουν» ιούς

Παλαιότερα αυτό ίσχυε, ο λόγος όμως δεν ήταν η μειωμένη ασφάλεια στα Windows και η αυξημένη ασφάλεια σε άλλα λογισμικά (Linux, Mac). Ίσχυε επειδή τα Windows είχαν τη μεγαλύτερη ζήτηση, αφού τα υπόλοιπα λογισμικά τα χρησιμοποιούσε το 1% των χρηστών. Σήμερα, παρατηρείται αύξηση κυβερνοεπιθέσεων και σε άλλα λογισμικά.^[26]

Μύθος #5 Οι ηλεκτρονικές επιστολές (e-mails) και τα λοιπά μηνύματα (sms, Viber κ.ά.) από γνωστούς και φίλους είναι ασφαλή

Αν κάποιος γνωστός έχει αδύναμο κωδικό πρόσβασης, ένας κυβερνοεγκληματίας  μπορεί να αποκτήσει παράνομη πρόσβαση στο σύστημα ή τους λογαριασμούς^[27] ή/και να εγκαταστήσει ερήμην του ατόμου κακόβουλο λογισμικό. Ο επιτιθέμενος θα στέλνει μηνύματα, των οποίων αποστολέας θα φαίνεται ο γνωστός,[28] που μπορεί να περιέχουν ύποπτα αρχεία ή links που θα μολύνουν και τη συσκευή του χρήστη και θα τη καταστήσουν ευάλωτη για μελλοντικές παραβιάσεις.[29]

Κάτι που θα πρέπει να προσέξει ο χρήστης είναι αν το μήνυμα εμπεριέχει κείμενο, το οποίο φαίνεται σαν να μην έχει γραφτεί από το συγκεκριμένο άτομο[30] («περίεργες» επικεφαλίδες, ορθογραφικά και συντακτικά λάθη).

Μύθος #6 Το πρόγραμμα αντιϊκής προστασίας (antivirus) προστατεύει από τα πάντα

Κανένα λογισμικό κατά των ιών δεν μπορεί να προστατεύσει 100% τη συσκευή από κυβερνοεπιθέσεις.[31] Τα λογισμικά θεωρούνται η πρώτη γραμμή άμυνας, αλλά δεν αποτελούν πανάκεια.[32] Στηρίζονται στη συνεχή ενημέρωσή τους, καθώς καθημερινά «κατεβάζουν» τον κατάλογο των νέων ιών και ύστερα ελέγχουν το σύστημα για τυχόν νέες απειλές. Παρόλα αυτά, υπάρχουν ιοί που έχουν διάρκεια ζωής 1 ώρα, πράγμα που σημαίνει ότι το σύστημα μολύνεται χωρίς να το προλάβει το antivirus και να το καταλάβει ο χρήστης/οργανισμός[33]. Η ενημέρωση θα πρέπει να γίνεται τακτικά σε όλες τις συσκευές, καθώς επίσης και στο router.

Παράδειγμα: ομάδα Ρώσων hackers παραβίασε διακομιστές τριών προμηθευτών antivirus. Οι πληροφορίες που υπέκλεψαν είναι προς πώληση στο dark web.^[34]

Μύθος #7 Δεν χρειάζεται τακτικός έλεγχος συστημάτων ή εκπαίδευση. Το τμήμα πληροφορικής (ΙΤ) είναι υπεύθυνο για την ασφάλεια

Το προσωπικό θα πρέπει να εκπαιδεύεται, τακτικά, πάνω στις νέες μορφές κυβερνοεπιθέσεων και στους τρόπους αποφυγής και πρόληψής τους[35]. Τακτικός θα πρέπει να είναι και ο έλεγχος συστημάτων με τη χρήση penetration tests, τα οποία θα  ανακαλύπτουν τυχόν ευπάθειες.[36] Η ευθύνη εναπόκεινται στον καθένα.[37] Το IT τμήμα είναι εκείνο που εφαρμόζει και κάνει ανασκόπηση των πολιτικών ασφαλείας, αλλά δεν μπορεί να τα ελέγχει όλα.[38]

Μύθος #8 Ο εντοπισμός κακόβουλου λογισμικού είναι εύκολος και άμεσος

Οι πιο εξελιγμένοι ιοί πλέον δεν επιβραδύνουν τη συσκευή,[39] σε σημείο που ο χρήστης δεν καταλαβαίνει ότι κάτι πάει λάθος. Οι περισσότεροι βρίσκονται στις συσκευές αποφεύγοντας τον εντοπισμό.[40] Για παράδειγμα, οι δούρειοι ίπποι (Trojan horses) είναι μη ανιχνεύσιμα έως ότου προκαλέσουν μεγάλο πρόβλημα.[41]

Οι κυβερνοεπιθέσεις μπορούν να λάβουν τις εξής μορφές:[42]

• υπερσύνδεσμοι σε «νόμιμα» μηνύματα ηλεκτρονικού ταχυδρομείου (phishing),
• υπερσύνδεσμοι σε ιστοσελίδες που ζητούν από χρήστες/προσωπικό να δώσουν εμπιστευτικές πληροφορίες,
• πλασματικές ιστοσελίδες,
• επισυναπτόμενα αρχεία.

Πλέον οι απάτες phishing έχουν γίνει πιο προσεγμένες και αληθοφανείς.[43] Κατά τη διάρκεια της πανδημίας Covid-19 τα περιστατικά phishing αυξήθηκαν κατά 30% τουλάχιστον. Εξαιτίας της πανδημίας, δουλειές, αλλά και πολλών ειδών δραστηριότητες, για παράδειγμα οικονομικής φύσεως, μεταφέρθηκαν στον ηλεκτρονικό κόσμο. Όταν τόσα στοιχεία εμφανίζονται ηλεκτρονικά και οι υπολογιστές έχουν λάβει ακόμα μεγαλύτερο ρόλο στην καθημερινότητα των πολιτών, είναι λογικό και οι κυβερνοεγκληματίες να προσαρμόζουν ανάλογα τις απάτες τους^[44] (πχ. να προσποιηθούν ότι είναι υγειονομικοί υπάλληλοι, από τον Π.Ο.Υ, το taxisnet κ.λπ.).

Σήμερα, τέτοιες απάτες φτάνουν σε προσωπικούς λογαριασμούς διευθυντών, ακόμα και κυβερνητικών στελεχών. Πιο συχνές είναι οι τραπεζικές απάτες. Παρόλα αυτά υπάρχουν περιπτώσεις που ο επιτιθέμενος ζητά λεφτά, με την απειλή ότι θα κοινοποιήσει βίντεο του θύματος από την κάμερα της συσκευής του την ώρα που επισκέφθηκε μια «ροζ» ιστοσελίδα.[45]

Μύθος #9 Οι απειλές είναι εξωτερικές και διαδικτυακές

Το 75% της διαρροής δεδομένων προέρχεται από τον ίδιο τον οργανισμό.[46] Ένας δυσαρεστημένος ή απολυμένος υπάλληλος μπορεί να δώσει άδεια πρόσβασης στα δεδομένα του οργανισμού.[47]

Μύθος #10 Το σύστημα είναι τέλειο

Κανείς δεν μπορεί να είναι σίγουρος για την κυβερνοασφάλεια.[48] Κάθε μέρα παρουσιάζονται και νέες απειλές και ο χρήστης πρέπει να ενημερώνει το αντιικό σύστημα.[49]
Μύθος #11 Τις ιστοσελίδες των κυβερνοεγκληματιών μπορεί να τις επισκεφθεί ο καθένας

Οι ιστότοποι στους οποίους γίνεται ανταλλαγή προγραμμάτων, εργαλείων, τρόπων παραβίασης, κωδικών πρόσβασης, αλλά και ναρκωτικών, όπλων κ.ο.κ. δεν είναι εύκολα προσβάσιμοι στον απλό χρήστη. Όλα αυτά είναι μέρος του σκοτεινού διαδικτύου (dark web) η πρόσβαση του οποίου απαιτεί ειδικό πλοηγό διαδικτύου (Tor).[50]

Μύθος #11 Ένας πολύπλοκος κωδικός προστασίας (password) προστατεύει

Κανένας κωδικός πρόσβασης δεν προστατεύει στο 100%.[51] Οι κωδικοί πρόσβασης πρέπει να έχουν αρκετούς χαρακτήρες, αλλά το σημαντικό είναι να τους θυμάται ο χρήστης. Πολύπλοκος κωδικός δεν σημαίνει και απαραβίαστος. Με ορισμένες διαμορφώσεις (χρήση ειδικών χαρακτήρων) μια μεγαλύτερη λέξη είναι καλύτερη επιλογή από μια πολυπλοκότερη[52]. Τα προγράμματα παραβίασης κωδικών χρειάζονται πολύ λίγο χρόνο πλέον για να τους «σπάσουν».[53]

Ο χρήστης πρέπει να σιγουρευτεί ότι ο κωδικός του είναι πολύ ισχυρός, να τον αλλάζει τακτικά (ενδείκνυται να γίνεται και σε εβδομαδιαία βάση[54]) και να κάνει χρήση two-factor authentication. Αν πρόκειται για κινητή συσκευή, μπορεί να γίνει χρήση βιομετρικών στοιχείων (αποτύπωμα). Για λογαριασμούς τραπέζης υπάρχει η δυνατότητα ενεργοποίησης αποστολής OTP κωδικού μέσω email ή SMS.

Μύθος #13 Το κυβερνοέγκλημα σχετίζεται μόνο με την κλοπή δεδομένων ή την παραβίαση του συστήματος

Κυβερνοέγκλημα μπορεί να θεωρηθεί και η περίπτωση που ένας εγκληματίας βλέπει στα social media του θύματος ότι αυτό λείπει σε διακοπές και εισέρχεται παράνομα στο σπίτι του με σκοπό να το ληστέψει.

Επιπλέον, στις επιθέσεις DDoS η παραβίαση συστημάτων γίνεται σε πρώτο επίπεδο (δημιουργία υπολογιστών «zombie»). Κατά τη διάρκεια της επίθεσης δεν παραβιάζεται κάποιο σύστημα. Ο κυβερνοεγκληματίας στέλνει πληθώρα εικονικών «επισκέψεων» σε έναν ιστότοπο, μέσω συσκευών που ελέγχει χωρίς τη γνώση των χρηστών (υπολογιστές «zombie»). Ο ιστότοπος δεν μπορεί να ανταπεξέλθει στον αριθμό με αποτέλεσμα να μπλοκάρει και να «πέφτει».[55]

Μύθος #14 Το κακόβουλο λογισμικό (malware) επηρεάζει μόνο ηλεκτρονικούς υπολογιστές και λάπτοπ

Κάθε συσκευή που έχει πρόσβαση στο διαδίκτυο (κινητό, τάμπλετ) είναι ευάλωτη σε κυβερνοεπιθέσεις. Οι κινητές συσκευές είναι ο στόχος για παραπάνω από το 60% των κυβερνοεπιθέσεων.^[56] Αυτές οι συσκευές είναι συχνά αναπόσπαστο κομμάτι της εργασίας και αναψυχής ενός ατόμου, με αποτέλεσμα να περιέχουν προσωπικά και ευαίσθητα δεδομένα.[57]

Μύθος #15 Τα δεδομένα είναι ασφαλή, γιατί γίνεται χρήση του σύννεφου (cloud)

Το «σύννεφο» χρησιμοποιεί το διαδίκτυο για να αποθηκεύσει δεδομένα σε διακομιστές, των οποίων η φυσική παρουσία είναι σε άλλο μέρος της γης. Αυτό καθιστά όμως συνάμα το «σύννεφο» δυνατό να παραβιαστεί. Συνήθως αυτό γίνεται με phishing emails που στέλνονται στο προσωπικό και με τα οποία του ζητούνται στοιχεία σύνδεσης στο σύννεφο.[58]

Δεν πρέπει να χρησιμοποιείται αποκλειστικά το σύννεφο  για την τήρηση αντιγράφων αρχείων. Κατάλληλη είναι η χρήση εξωτερικών αποθηκευτικών μέσων (USB φλασάκια, εξωτερικοί σκληροί δίσκοι) που δεν έχουν πρόσβαση στο διαδίκτυο.

Μύθος #16 Οι χάκερς είναι τρομακτικές φιγούρες/εγκληματίες

Σε γενική βάση χάκερ μπορεί να γίνει οποιοσδήποτε κατέχει γνώσεις υπολογιστών. Το πόσο εξειδικευμένες είναι αυτές οι γνώσεις είναι αυτό που θα καθορίσει και το πόση ζημιά θα προκαλέσει ο επιτιθέμενος.

Αρκετοί από αυτούς βρίσκονται σε οργανώσεις (χρηματοδοτούμενες ακόμα και από κυβερνήσεις) που δουλεύουν για να παραβιάσουν τα δεδομένα χιλιάδων ταυτόχρονα.[59]

Όσοι θέλουν να προκαλέσουν ζημιά μέσω της παράνομης πρόσβασής τους σε συστήματα ονομάζονται black hat hackers. Υπάρχουν όμως και άλλες κατηγορίες. Ενδεικτικά αναφέρονται[60] οι:

• white hat: προσλαμβάνονται από εταιρείες/οργανισμούς για να αξιολογήσουν το σύστημα ασφαλείας και να βρουν τυχόν τρωτά σημεία. Δεν είναι παράνομοι διότι έχουν λάβει άδεια από τον ιδιοκτήτη/κάτοχο του συστήματος·
• gray hat: μοιάζουν με τους white hat με την κρίσιμη διαφορά ότι η πράξη κρίνεται παράνομη γιατί δεν είχαν λάβει άδεια από τον ιδιοκτήτη/κάτοχο του συστήματος. Παρόλα αυτά οι συγκεκριμένοι δεν έχουν σκοπό να προκαλέσουν ζημιά.