Cyber

Home Cyber

Cyberchłopcy z ferajny

3
cyber

I dziewczyny oczywiście też, bo przecież mamy równość, także w cyber ryzyku, gdzie współczesnym archetypem hackera stała się niedawno milenijna Elka Salander. Wreszcie, nie bez powodu wychodzą nam spod pióra te filmowo-powieściowe reminiscencje, bo mówiąc o cyberryzyku zbyt małą wciąż mówimy i rozumiemy, kto i dlaczego popełnia cyber czyny, nie zawsze przecież też cyberkryminalne. Co prawda pierwszy z brzegu zapytany, o jakich cyber przestępcach mowa, orzeknie zaraz „hackerzy” i utwierdzają nas w tej uproszczonej wizji cyber świata media i telewizyjni speakerzy, czytający bezmyślnie z prompterów przygotowane przez ghost writerów treści. Ale, już ktoś obeznany z tematem oburzy się usłyszawszy w dzienniku, że „hackerzy” zniszczyli czy ukradli dane, bo przecież tak postępują „crakerzy”, a prawdziwy haker swoją etykietę ma i przestępcą nie jest, choć po prawdzie czasami staje się nim lub od czasu do czasu, nim bywa.

Hackerami nie są również „script kidd-y”, najniższy organizm w świecie cyber czynów; to ktoś kto
kupuje lub inną drogą zdobywa gotowe skrypty, napisane przez innych programy umożliwiające mniej lub bardziej zaawansowane atakowanie systemów. Dla szpanu, dla nauki, albo nawet z nudów, po szkole. Analizując problem od strony jego „ludzkich” źródeł trzeba też pamiętać, że neofici cyberświata bardzo szybko się uczą i po opanowaniu coraz wyższych poziomów cyber wtajemniczeń niechybnie stają przed pokusami jasnych i ciemnych stronach cyber Mocy. Więc…

Zacznijmy od tych „lepszych” cyberczyńców, a przynajmniej tych, których motywację są czystsze, chociaż i tu nie do końca wiadomo. Mamy więc różnych hacktywistów walczących w cyberprzestrzeni ze złem tego świata, jak WikiLeaks czy Snowden, którego ucieczka przez siepaczami z FBI zagnała aż pod opiekuńcze skrzydła FSB. Są i Anonymousi, choć już tu próby zdefiniowanie kim są i czego chcą są mocno utrudnione. Dalej mamy klasycznych whistleblowerów ujawniających dane o przestępczych działaniach, jak dzielny pracownik znanego banku, który ujawnił informacje o „optymalizujących” się w Szwajcarii (między innymi polskich ) bogaczach zupełnie za darmo. Co prawda, jak donoszą media dopiero po tym gdy żaden rząd nie chciał wypłacić mu spodziewanej gotówki…

Mówiąc o ciemnych i jasnych stronach cybermocy trzeba więc być przygotowanym na to, że z natury rzeczy się one przenikają. O! Nie można też zapomnieć o motywach politycznych, bo cyber bronie już teraz zajęły pierwszorzędowe miejsca w światowych arsenałach. Przecież już starożytni teoretycy wojny podkreślali, że informacja ma kluczowe znaczenie dla ostatecznego zwycięstwa, więc szpiegują się i włamują dokładnie wszyscy naokoło. Nawet polskie służby rozpisują przetargi publiczne na wytworzenie wirusów, a cyber świat obiega niedawno informacja, jak to włamano się do znanej stajni koi trojańskich Hacking Team z Milanu. Tamże nasze centralne antykorupcyjne kupowało cyber rumaki za ca. 250 tysięcy euro, co można podobno prześledzić na ujawnionych w necie przez niezidentyfikowanych hakerów-hakerów fakturach.
Mamy więc dzisiaj cyber armie i to dosłownie, jak na przykład Syryjska Armia Elektroniczna wspierająca tamtejszego dyktatora, która ma na koncie ataki na czołowe światowe media, a nawet podobno dlaczegoś na FIFA. Jest znana na świecie Koreańska Cyber Armia, walcząca pod sztandarami Wielkiego Wodza, Programisty i Najukochańszego Hackera. Ta z kolei odnotowuje kilka sławnych nacięć na klawiaturach, jak to Sony Pictures w zemście za wyprodukowanie parodii na temat Wielkiego Brata. A całe Hollywood zadrżało z podziwu na wieść, jaką gigantyczną i darmową reklamę zgotowały kolejnemu „dziełku” krainy snów północnokoreańskie cyberkompanie uderzeniowe.
Oczywiście sprawiedliwszy świat i toczone o niego brutalne polityczne walki to jedno, a konkretny pieniądz (także robiący karierę w wirtualnym świecie bitcoin), to drugie. Kwitnie więc „uczciwa” cyberprzestępczość o tyle, że tu nikt nie ma złudzeń, o co chodzi. Mamy więc i cyber freelancerów którzy realizują swoje cyberzdobycze indywidualnie albo wystawiają na cyber kryminalny rynek, który istnieje i kwitnie. 

Może tysiąc skradzionych numerów kart kredytowych z PIN codami? Proszę bardzo! Kto da więcej? A może paczuszkę danych osobowych skradzionych w Ameryce (lub gdzie indziej), tylko „n” dolarów za jedną, dostawa natychmiastowa, najświeższy towar! Są pakiety usługowe! Na przykład 1 godzinny DDoS (atak „zapychający” serwery ofiary), a może 1 tygodniowy, ceny już od 30 dolarów!
Nic więc dziwnego, że przy tak wielkim rynku cyber towarowo – usługowym nie może również zabraknąć zorganizowanych cybergangów i cyberband. Tu prym wiodą nasi sąsiedzi ze wschodu i dalej, których… póki co w tym felietonie nie będziemy analizowali, a w każdym razie przed jego ukazaniem się w starym, bezpiecznym druku, którego póki co, choć nigdy nie wiadomo, zhakować się nie da.

Cyber felieton ukazał się w Gazecie Ubezpieczeniowej z dnia 19 sierpnia 2015 roku (link)     

Cyberataki w Bangladeszu

0
cyberataki

Cyberataki wchodzą jak się wydaje na coraz to nowe bardziej zaawansowane poziomy, bo jak donoszą właśnie rozliczne źródła niezidentyfikowani hackerzy wyprowadzili 101 milionów dolarów (USD 101 000 000 !!!) z rezerw banku centralnego Bangladeszu zdeponowanych w… amerykańskim Banku Rezerwy Federalnej! To się dzieje naprawdę!

Jak się dowiadujemy, pieniądze Bangladesh Bank zostały przetransferowane następnie na Filipiny, gdzie co najmniej 80 milionów jest “still outstanding” , czyli komletnie nie wiadomo gdzie. Doszło przy okazji, co w sumie nie dziwi przy takiej przewałce rodem z Hollywood do afery prawie politycznej w Bangladeszu między bankiem centralnym, a tamtejszym ministrem finansów, który publicznie oskarżył okradzionych o niekompetencje.

Zespół dochodzeniowych konsultantów z USA, który powołano i opłacono zapewne słono, inwastyguje sprawę, przy czym Fed umywa ręce od oskarzeń, bo jak się dowiadujemy, zlecenia płatności zostały odpowiednio potwierdzone za pomocą kodów SWIFT-a.

Sprawa jest w toku, nikt dziś nie jest bezpieczny, nawet banki centralne, a nawet pieniądze w samych Fed-zie, cale szczęście złota w For Knox nie da się zhakować, choć kto wie, jak tak dalej pójdzie tylko Bruce Willis może nas uratować, który jak wiadomo z tego rodzaju wydarzeniami radzi sobie bezkompromisowo i skuteczne, to gorzka ironia oczywiście…

Dołącz do 512 profesjonalistów.
Zamów cykliczny bezpłatny Newsletter.

Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w formularzu subskrybcji dla potrzeb niezbędnych do wysyłki Newslettera Ryzykonomii (zgodnie z Ustawą z dnia 29.08.1997 roku o Ochronie Danych Osobowych; tekst jednolity: Dz. U. z 2002r. Nr 101, poz. 926 ze zm.).

Konferencja “Cyberryzyko…”

2
Konferencja Cyberryzyko

Konferencja “Cyberryzyko…” Bierzemy udział. I ty możesz jeszcze dołączyć ! 
Więcej informacji na stronie Konferencji (kliknij tutaj)

Konferencja Cyberryzyko

 

Ryzyko internetu rzeczy (i wszechrzeczy)

0
ryzyko internetu rzeczy

Kiedy parę tygodni temu przyszedł do mnie dwukrotnie zawyżony rachunek za prąd pomyślałem: oho! jaki piękny przypadek na ryzyko Internetu Rzeczy. No, może trochę koloryzuję to zadowolenie, ale najnowocześniejsze „sprytne” liczniki prądu, które jak Polska długa i szeroka instalują zakłady energetyczne, oprócz wielu korzyści mogą być przyczyną błędnych zdalnych odczytów. Nawiasem mówiąc dyrektywy unijne zobowiązują Polskę do wymiany 80 % liczników prądu na „smart meters” już do 2020 roku. Nawiasem podwójnym mówiąc, to ryzyka z „inteligentnym licznikami” wychodzą już na etapie wdrażania tego mega projektu. Zupełnie niedawno media doniosły o dużym sporze gospodarczym pomiędzy jednym z operatorów a dostawcą licznikowych rozwiązań, gdzie przedmiotem sporu był „protokół komunikacyjny”, czyli właśnie właściwości odczytu liczników na odległość. A spór dotyczy, bagatela 310 tysięcy zainstalowanych liczników.

Ale wracając do mojego małego case study, to tym razem okazało się, że to akurat błąd ludzki (zresztą każdy błąd jest ludzki, należałoby dodać). Nie zmartwiło mnie, że kolejne przypadki ryzyka związanych z Internetem rzeczy wypadnie mi trochę poczekać, bo zapewne niedługo.

IOT na 9 000 000 000

Internet Rzeczy (Internet of Things, IoT) to w istocie niezbyt precyzyjnie zdefiniowany termin; zazwyczaj pod tym pojęciem rozumie się różnego rodzaju przedmioty użytku prywatnego lub gospodarczego, które są podłączone do Sieci. Szacuje się, że takich „przedmiotów” w 2013 było już ponad 9 miliardów, w roku 2020 będzie 20 miliardów, rynek IoT jest już na dzisiaj warty ponad 200 miliardów dolarów. Nie bez powodu więc pojawia się nawet inna koncepcja Internetu Wszechrzeczy, Internetu Wszystkiego (Internet of Everything). Nie wiem jak Czytelnikowi, średnio mi się taki taka przyszłość podoba.

Podoba się jednak czy nie, to tak jest i już i nawet zaryzykować można prognozę, że choć źródła mówią o udziale Internetu we Wszystkim na poziomie 50 % w wspomnianym 2020 to zaryzykujemy, że pewnie sięgnie procent 99,9.

Stuxnet i inni

Uinternetowienie rzeczy to cicha rewolucja, która jednak bardzo przyśpiesza, co również powoduje, że wiele ryzyk z nią związanych jest wciąż niedostrzegana i zupełnie nie zarządzana. Ryzyko internetu rzeczy jest wręcz sowjego rodzaju czarnym, choć już znanym łabędziem.
A już przecież pojawiają się pierwsze czarne jaskółki zagrożeń i ryzykonomiczne studia przypadków związane z IoT. Jakiś czas temu głośna była sprawa z rzekomym przejęciem kontroli nas sterami odrzutowca pasażerskiego przez dowcipnisia, jako „demonstrator” ryzyk IoT podawane są różne elektryczne black-outy, a nawet katastrofa tamy Taum Sauk w Stanach,  gdzie zawiodły systemy sterownicze. Zupełnie realny jest przykład wirusa Stuxnet zapuszczonego przez „nieznanych sprawców” do irańskiego programu nuklearnego z zupełnie materialnymi zniszczeniami. Natomiast, co do możliwych przyszłych manifestacji ryzyk interesu rzeczy, no tu już można sypać jak z rękawa. Ataki na pompy insulinowe, przejęcie kontroli nad samochodami, „zwykłe „cyberataki”, ataki o charakterze militarnym, ataki na sterowniki urządzeń przemysłowych i tak dalej i tak dalej.

Oczywiście identyfikacja ryzyka będzie inna dla sprzężonego z Internetem ekspresu do kawy (już są!), a inna dla elektrowni jądrowej, a nawet szczytowo-pompowej. Choć, jakby pomyśleć, że wszystkie ekspresy do kawy odmawiają na całym świecie jednocześnie posłuszeństwa o 8 rano, to skutki mogłyby być zaprawdę, równie katastrofalnie. Wolne żarty!

Ryzyko internetu rzeczy chadza parami

Co jednak najważniejsze, w Internecie Wszech(Rzeczy) znajdujemy mieszaninę chyba wszystkich znanych i nieznanych na świecie ryzyk. Bo są i techniczne, i cyber, i reputacyjne, i compliance, i środowiskowe, i finansowe i reputacyjne. I wszystkie mogą się urealnić na raz, prawdziwy Perfect Storm o zgrozo!

Co najgorsze, jak się wydaje większość potencjalnym „ofiar” zupełnie nie zdaje sobie sprawy z mnogości ich połączeń ich Rzeczy z Internetem, nie mówiąc o rodzaju zagrożeń. Konia z rzędem temu, kto zidentyfikował wszystkie rodzaje połączeń z siecią, które występują w jego biznesie zarówno pośrednie, jak i bezpośrednie – bo przecie mamy całą gamę ryzyk w łańcuchach dostaw. Odpowiednia identyfikacja zagrożeń, ich analiza i ewentualne sposoby postępowania z ryzykiem Rzeczy to chyba w ogóle, a na pewno w Polsce czarna magia. No, może częściowo zaadresowana w ramach cyber ryzyka i pewnie tylko w finansach i energetyce. gdzie ryzyko internetu rzeczy jest już chyba dostrzegane.

Cała temat zagrożeń z IoT jest wciąż traktowany jako rodzaj futurologii, niestety problem jest jak najbardziej realny i już wszechobecny. Jak „świeży” jest to temat z punktu widzenia jego nie-zaadresowania świadczy chociażby fakt, że 23 wiodących ubezpieczycieli w 2015 (sic) roku zawiązało zespól roboczy, think tank, który ma zająć się analizą tego niezwykle wielowątkowego dla ubezpieczeń problemu.

Także, jako rzekł poeta „przyszłość to jest dzisiaj tylko cokolwiek dalej”, rozumiał chłop dobrze risk menadżement… A my przejęci pisaniem o Wszechrzeczy idziemy na małą przebieżkę po lesie w wysłużonych butach sportowych. Niepodłączonych do Internetu, jeszcze…

Tekst ten ukazał się w Gazecie Ubezpieczeniowej z dnia 30.05.16 

Ransomware – ryzyko rozpoznane?

0
ransomware ryzyko

Ransomware ryzyko to ma coraz większe znaczenie w obszarze cyber security. Mówiąc po laicku i dla laików, to złośliwe oprogramowanie, które po zagnieżdżeniu się w naszym komputerze, szyfruje (koduje, ankryptuje) nasze (cenne) dane żądając wpłaty opłaty odblokowującej, po prostu okupu (ransom). Może być on włacony na przykład na otwarte w tym celu konto-słup albo co zdaje się również popularne wplacone przez ofiarę w bitcoinach.

Cyber-wymuszanie okupu to niestety coraz bardziej popularne cyberprzestępstwo. Wcześneij głośna w Polsce była sprawa pewnej kancelarii prawnej, która okupu nie zapłaciła, co prezypłaciła ujawninieniem danych swoich klientów w internecie, to jeszcze inne zagrożenie związane z tym przestępstwem.

Kilka dni temu w mediach pojawiła się też informacja o zhakowaniu pewnego portalu towarzysko – erotycznego kamerkowego (taka dziwna defincja skądś) gdzie zażądano wypłaty wszystkiego 1 miliona złotych, a część użytkowników jest podobno szantażowana ujwanieniem swoich zdjęć rodzinie, znajomym i zapewne teściowym.

No więc nikt nie jest dzisiaj bezpieczny ale branżowe cyberportale podają, że jakby co pojawiło się światełko w tunelu dla potencjalnych ofiar, czylu nas wszystkich, oprogramiowanie (znowu!) które rozpoznaje potencjalne ransomware. Tamże link do portalu gdzie można wgrać próbki ransomware (rozumiemy np. z otrzymanego feralnego maila) i potem “postępować zgodnie z wskazówkami”.

Poniżej załączamy stosowany link do tego mamy nadzieję pomocnego serwisu anty ransomware, dla naszych Czytelników i siebie , ad acta:

 

Wschodzące pokemony w Ubezpieczeniowej.

0
wschodzące pokemony

W najnowszej Gazecie Ubezpieczeniowej ukazał się nasz kolejny artykuł w papierowej Ryzykonomii dotyczący nowych developmentów różnych ryzyk szybko wschodzących – na przykładzie znanych już wszystkim, szalonych pokemonów. Wschodzące pokemony…Nawiasem mówiąc w Berlinie ostatnio będąc, zauważyłem właśnie typowe zgrupowanie osób polujących chyba na jakś zgraję pokemonów, dziwaczna sprawa naprawdę.

W artykule opisujemy ciekawy i całkiem serio przykład:

Nawet amerykańska US Army dostrzegła już problem nie tylko ostrzegając własnych żołnierzy przed rozbiciem nosa w pogoni za pokemonem na przepustce, ale zauważając również, że jest to dobry pretekst dla szpiegów różnej maści, fotografujących od niechcenia na tle pokemonów B-52 z głowicami jądrowymi.

I znowu przykład, tym razem z Indonezji: tamtejsze wojsko pojmało na kilka godzin francuskiego turystę amatora pokemonów. Zapędził się biedak na tereny wojskowe, został zwolniony. Tym razem.

Także czytajcie Ryzykonomię także na papierze, oczywiście Gazetę Ubezpieczeniową całą też, polecamy !

http://www.egazety.pl/opoka/e-wydanie-gazeta-ubezpieczeniowa.html

Fala cyberataków globalnie czyli nieuchronne

0
fala cyberataków

Fala cyberataków globalnie>>>
Jak donoszą wczoraj i dzisiaj wszystkie media świata – fala cyberataków na całym świecie. Chyba pierwsza taka globalna. Atakowane są urzędym firmy a nawet szpitale. Dotknęła co najmniej 70 krajów świata (dane BBC), w tym podobno, szczególnie właśnie Wielką Brytanię.

Tam między innymi doszło da zablokowania (?) systemów informatycznych szpitali, co miało zmusić je nawet do odwoływania operacji i problemów z obsługą ruchu ambulansów (sic).  Wynikało to między innymi z uniemożliwieniem przez malware dostępu do danych pacjentów. W tym historii choroby, zapisanych leków etc. Ataki mają też charakter ransomware, między innymi dane szpitali zostały zablokowane, zaszyfrowane i pojawiły się żądania przelewów po kilkaset tysięcy dolarów okupu.

U źródeł tego ataku, ma leżeć przeciek około 5 tygodni temu do WikiLeaks programu napisanego w FBI. Który miał służyć oczywiście do zupełnie innych szczytnych celów ( nie nie szczytnych pewnie też). A tak, w jego posiadanie weszły osoby niepowołane.

Co jeszcze ciekawsze według ekspertów, słabości najbardziej popularnego oprogramowania, przez które komputery były infekowane, zostały przez producentów już usunięte. Natomiast, prawdopodobnie instytucje, które padły jego ofiarą nie uaktualniały odpowiednio swoich systemów. Potwierdza to informacje, o których pisała już Ryzykonomia wcześniej. A mianowicie, że w ponad 80 % przypadków ataków cyber w ogóle można im było łatwo zapobiec bo i/lub w organizacji była o nich informacja i/lub siły i środki do zapobieżenia !

I dlatego skromna, nie cybernetyczna Redakcja Ryzykonomii o tym między innymi pisze, że problemem nie jest jakaś mega wiedza i wyszukane umiejętności tylko niska kultura zarządzania ryzykiem. A to przecież problem nie techniczny, tylko…. ORGANIZACYJNY !!!

Mamy wrażenie, że to może być jeden z największych problemów z cyberatakami, że zagrożenie to jest traktowane silosowo i pozostawiane informatykom. Nie mają oni jednak narzędzi organizacyjnych, budżetowcy, ludzkich do wpływania na realną, całościową zmianę profilu cyber ryzyka organizacji. Dopóki zarządzający nie zrozumieją, że to proces całościowy i że człowiek jest zawsze najsłabszym ogniwem, nic tu się nie zmieni…

 

Ataki na IOT

0
ataki na IoT

Ciekawe podsumowanie analizy ataków na IoT (Internet of Things). Pisaliśmy o tym na Ryzykonomii wielokrotnie (tutaj). Niewątpliwie w nadchodzących latach źródło trudnych do przecenienia ryzyk. No, i hasła trzeba zmieniać….

https://digitalandmore.pl/bezpieczenstwo-urzadzen-internetu-rzeczy-raport/