Bor Olivér kiberbiztonsági szakértő
Óriási üzlet a kiberbűnözés. Ha önálló ország lenne, a világ harmadik legnagyobb GDP-jével rendelkezne. Egyre szaporodó okoseszközeink pedig egyúttal mind kapuk a külvilágra, azaz támadási felületek. Megkérdeztük minderről Bor Olivér, kiberbiztonsági szakértőt.
A szakember arra figyelmeztetett, hogy mindenki célkeresztben áll. Ráadásul könnyen úgy is támadás áldozatává válhatunk, hogy nem is tudunk róla. Ha tökéletesen biztonságos rendszer nem is létezik, a kiberbiztonsági szakértő adott néhány jó tanácsot, hogyan óvhatjuk meg hálózatba kapcsolt eszközeinket.
Visszatérő tapasztalat, hogy elég okoseszközeink mellett beszélgetni valamiről, az rögvest megjelenik a közösségi médiás hirdetésekben. Tényleg hallgatózhat a telefonunk?
Valójában inkább egy pszichológiai tévhitről van szó. Arról a jelenségről, mint mikor tíz percig egy piros autóról beszélgetünk, majd kilépünk az utcára, és egyből szembe jön egy zöld trabant. Nem azért, mert beszéltünk róla, nem azért, mert lehallgattak, vagy odaküldték. Egyszerűen erre állt rá az agyunk. Szó szerint tehát nem hallgatnak le minket.
Ehelyett azonban az online viselkedésünket figyelik meg és elemzik. Honnan rendelünk, mit olvasunk, mire kattintunk, meddig nézzük, mit lájkolunk, milyen applikációt használunk, merre járunk, mire kerestünk rá, és így tovább. Technikailag elméletileg lenne lehetőség a lehallgatásra, de a mikrofon vagy kamera használata hirdetési, marketing vagy nem engedélyezett célra jogilag tilos. Ráadásul további korlátot jelent, hogy ha valaki tényleg a nap 24 órájában több millió ember mikrofonjának hangját figyelné, az óriási erőforrást, irgalmatlan nagy adatforgalmat jelentene, nem beszélve a jogi kockázatokról.
A hálózatokba kapcsolt eszközök száma óvatos becslések szerint is meghaladta a 21 milliárdot, néhány éven belül 50 milliárdra nőhet. Ezek is jelenthetnek biztonsági kockázatot?
Hogyne. Ami hálózatra van kapcsolva, az kapu a külvilág irányába. Akár még a robotporszívónk is. No nem fog elindulni sehova sem, mint egy terminátor. Meg sem kell mozdulnia, de az azonosítóit, kapacitását már fel tudják használni egy túlterheléses támadáshoz. Ezeknél ugye a támadó minél nagyobb forgalmat akar irányítani a célkeresztbe került rendszer irányába, hogy az összeomoljon. Könnyen lehet, hogy tudtom nélkül a saját eszközeim is részt vesznek benne.
Gondoljunk csak bele. Az okosporszívóm a házam teljes alaprajzát ismeri, ami értékes adat lehet. Sok esetben nem is tőlem akarnak kicsikarni valamit, de az adataimat már fel tudják használni, például marketingcélokra. Vagy egy másik példa. Megfertőzik az okosórámat, ami az otthoni hálózatról tovább fertőzi a munkahelyi számítógépemet, és akár már bent is vannak a vállalati infrastruktúrában. Ez bevett gyakorlat. Évente több százmillió IoT-eszközökhöz köthető kibertámadást azonosítanak.
Hogyan tudunk ez ellen védekezni?
Gyakran magát az otthoni hálózatot sem védjük megfelelően. Ugyanarra csatlakoztatjuk az összes eszközt: a céges laptopot és telefont, a televíziót, a hűtőt, a számítástechnikai eszközöket. Közben persze a vendégeink első kérdése is mindig az, hogy mi a WiFi jelszó? Az effajta központosítás kockázatos, ezért érdemes szétválasztani a hálózatokat.
Statisztikák szerint ez egyelőre nem bevett szokás: a háztartások 65–70 százaléka nem szegmentál. Az én becslésem szerint a valódi arány még ennél is kiábrándítóbb. Fontos megemlíteni, hogy bármilyen új eszközt vásárolunk, ne felejtsük el megváltoztatni a gyári jelszavát. Rendszeresen frissítsünk. A kamera és a mikrofon hozzáférését, ahol nem szükséges, tiltsuk le. A legfontosabb azonban, hogy kétfaktoros hitelesítést alkalmazzunk.
Nem létezik gyárilag sebezhetetlen eszköz?
Valójában a kibertámadások jelentős része valamilyen emberi mulasztáshoz köthető. Ezért kellene az úgynevezett kiberhigiéniás készségeknek olyan napi rutinná válnia, mint amilyen a fogmosás. Nem bízhatunk minden védekezést a gyártóra vagy éppen az államra. Persze hibrid a modell. Az államnak szabályozásokat kell kialakítania, amelyre reagálnia kell a szolgáltatóknak is.
Mára elindultunk az úgynevezett security design irányába, aminek lényege, hogy már a fejlesztés kezdetétől foglalkoznak a biztonsággal. Tökéletesen biztonságos rendszer viszont nincs és nem is lesz. A pajzson a rést legfeljebb szűkíteni lehet. Ebben a macska-egér versenyben sajnos a kiberbűnözők mindig előttünk járnak egy lépéssel.
Mindenki célkeresztben áll?
Igen, mindenki potenciális célpont. Sok ember hamis biztonságérzetet táplál, amikor azt hiszi, nem lehet érdekes a kiberbűnözőnek, hiszen például nincs spórolt pénze vagy különösebb adatai. Teljesen lényegtelen, hogy valaki fontos embernek tartja magát vagy sem. Akinek van okoseszköze, van közösségi média profilja, attól már van mit ellopni.
Ahogyan már említettem, a támadásokat ugyanis nem feltétlenül arra használják fel, hogy pénzt zsaroljanak ki. Bár erre is akad bőven példa. Okoseszközeink erőforrásait felhasználhatják támadásokhoz vagy például kriptobányászatra. Megszerzett adatiammal bűncselekményeket követhetnek el a nevemben, vagy olyan dezinformációs műveletekben vethetik be, ahol a nevünkben bejegyzést lájkolhatnak. Sőt, a mai világban deepfake technológiával még hitelt is felvehetnek a nevünkben. A leggyakoribb támadási forma azért még mindig az, hogy valamilyen ismert szolgáltató nevével élnek vissza, hogy rávegyenek adataim megadására, hogy aztán pénzzel megrövidítsenek, vagy hozzáférjenek a pénzemhez.
A csalás pszichológiai módszere, hogy olyan helyzetbe hozzanak, ahol gyorsan, a perc tört része alatt kell döntést hoznom. Feltételezik, hogy a digitális térben könnyebben követek el olyan felelőtlen dolgot, amelyet élőben nem tennék meg. Hiszen ugyan az utcán kinek adnám meg a PIN-kódomat? Az online térben viszont másképpen gondolkodunk.
