Ransomware je i u 2023. bacao prijeteću sjenu u svijetu cyber sigurnosti, ugrožavajući organizacije svih veličina i matičnih sektora. Međutim, okruženje u kojem se prijetnje softverom za iznudu danas realiziraju značajno je izmijenjeno pojavom Ransomware-as-a-Service (RaaS) ekosistema koji funkcioniraju kao nezakonita, ali lukrativna varijacija na popularne as-a-service poslovne modele

Piše: Mirza Bahić ; E-mail: mirza.bahic@asadria.com

Poslovni svijet ima svoje zakonitosti i one su u njegovom sjenovitom segmentu jednako primjenjive kao i u onom legalnom. Ako je broj incidenata povezanih s ransomwareom rastao za 20%, odnosno 62% u intervalima 2019–2020. i 2020–2021, i laicima je bilo jasno da cijela stvar „radi“ i da broj aktera zbog toga stabilno raste. S druge strane jednadžbe, paralelno je rastao i prosječni iznos otkupnine i to za preko 200% u istom intervalu, što je pokazalo da ovi napadi danas privlače ne samo više aktera – nego i nude atraktivnu zaradu u formi kolača čiji je rast teško ignorisati.

Šta se dešavalo paralelno s ovim trendom? Puno toga, rekli bi mnogi, ali će se u mnoštvu događaja rijetko ko sjetiti renesanse poslovnog modela as-a-service (kao usluga) u kojem se nešto što zanima kupca (softver, infrastruktura, videonadzor) prezentira u formi usluge koja se pruža s centralne lokacije, obično na pretplatnoj osnovi. Zato je bilo samo pitanje vremena kada će ovaj ekosistem zaživjeti i u mračnijim kucima interneta gdje se poslovima iznude sada žele baviti i laici koji tu uslugu pribavljaju od cyber kriminalaca.

Uspon RaaS ekosistema

Riječ „laik“ ovdje je ključna za razumijevanje ove pojave jer je u donedavnoj prošlosti pokretanje ransomware napada zahtijevalo naprednu tehničku ekspertizu. Nosioci ovih aktivnosti bili su profesionalni hakeri koji su brusili svoje vještine u svijetu nedostupnom osobi koju danas zovemo „korisnik“ RaaS-a. Tu se, pak, javila potreba za „demokratizacijom“ svijeta cyber kriminala gdje su se neke mudre glave dosjetile da prepišu model pretplate na napade i ponude ga pojedincima s minimalnim tehničkim znanjem, ali s ogromnom željom da izvode nekada složene i skupe napade ransomwareom. Ubrzo je došlo do razvoja pravog RaaS ekosistema u okviru kojeg se napadi ransomwareom nude kao usluge korisnicima. Izolirane grupice hakera zamijenili su pravi biznisi s preko 100 „zaposlenih“, uključujući programere, menadžere, pregovarače i pomoćno osoblje.

Ransomware napad „za ponijeti“

Na vrhu piramide su administratori, koji kupcu daju pristup zlonamjernom softveru i infrastrukturi za njegovu pohranu i implementaciju. Oni pružaju i podršku tokom svih faza pregovora sa žrtvama ransomware napada. Kupcima su, pri tom, dostupni različiti paketi usluga, uključujući namjensku web lokaciju na kojoj će se prezentirati informacije ukradene od žrtve i online portal preko kojeg se „upravlja“ žrtvama ransomware napada i dorađuje korišteni softver. Ni komunikacijska komponenta nije zapostavljena, tako da se kupcu ustupa stranica za stupanje u vezu sa žrtvama, uključujući i slanje direktnih poruka. Pri tom, sami administratori obično nisu uključeni u samo izvođenje napada, nego rade na „procenat“ dobijene otkupnine.

I reputacija ovdje igra važnu ulogu, jer će etablirane hakerske grupe same dobijati ponude od kupaca za svoje usluge i jačati svoj profil unutar RaaS ekosistema. Za manje poznate hakerske grupe tu su prodavci i preprodavci koji upravljaju cijelim procesom preko foruma i djeluju kao posrednici između kupaca i izvođača radova.

Brokeri, partneri i žrtve u RaaS ekonomiji

U RaaS svijetu ključne su još dvije uloge za funkcioniranje sistema pružanja usluga. To su brokeri i partneri. Partneri su osobe koje koriste ransomware napade za dobijanje pristupa mreži ciljane organizacije. Za izvođenje napada oni će, jednostavno, plasirati ransomware koji je kupljen ili iznajmljen preko brokera na RaaS forumima. Opcije za plaćanje su fleksibilne i obuhvataju isplatu naknade ponuđaču RaaS usluga ili podjelu zarade od isplaćene otkupnine. Ako napad bude uspješan, partner će ukradene informacije postaviti na portal i što prije uspostaviti komunikaciju sa žrtvom kako bi se povećala vjerovatnoća da će otkupnina biti plaćena prije nego što nadležni organi budu upozoreni na napad.

Uloga brokera u modelu RaaS jednako je važna, jer ove osobe pomažu napadaču da uđe u infrastrukturu ciljane organizacije kroz identifikaciju njenih ranjivih tačaka. Brokeri su finansijski motivirani i zarađuju prodajom obavještajnih podataka i softvera i alata za daljinski pristup, koji pomažu hakerima da pristupe korporativnim mrežama i što bolje iskoriste njene ranjivosti.

Na dnu ove detaljno razrađene piramide su žrtve napada koje čine osovinu cijelog poslovnog modela. Ovi subjekti silaze u podzemni svijeta RaaS-a u nadi da će povratiti kompromitirane podatke i mrežne resurse za otkupninu, računajući na „poštenje“ napadača. Iako postoje slučajevi u kojima su hakeri primili uplatu bez vraćanja pristupa kompromitiranom resursu, vjerovatnoća za ovaj scenarij je nešto manja, a razlozi su prvenstveno marketinškog karaktera. Jednostavno, u svijetu RaaS-a, reputacija je sve i uzimanje otkupnine bez davanja nečega zauzvrat značilo bi bespotrebno otežavanje saradnje sa žrtvama budućih napada.

RaaS model je snizio barijeru za ulazak u svijet cyber kriminala, omogućavajući čak i pojedincima s ograničenim iskustvom u kodiranju da izvode ransomware napade

Pojeftinjenje i pojednostavljenje napada

RaaS model ušao je u arenu kibernetičkog kriminala prije samo nekoliko godina, ali njegovi efekti se već snažno osjećaju u svakom kutku svijeta. Već u 2020. izvještaji su pokazivali da gotovo dvije trećine analiziranih ransomware napada uključuju organizacije koje koriste RaaS modele. U 2023. broj žrtava RaaS napada u prvoj polovici godine porastao je za 45% u odnosu na isti period 2022, dok je broj RaaS grupa skočio za 11%. Razlozi za ove trendove su mnogostruki. Kao prvo, RaaS model je drastično spustio barijeru za ulazak u svijet cyber kriminala, omogućavajući čak i pojedincima s ograničenim iskustvom u kodiranju da izvode napade. Tu je i pad cijena resursa potrebnih za izvođenje napada jer neke podružnice plaćaju samo 40 dolara mjesečno za pristup ransomware alatima.

Osim toga, uspon kriptovaluta omogućio je da ova platežna sredstva postanu primarni metod za plaćanje otkupnine. Brzina i tajnovita priroda transakcija anonimnim valutama učinila ih je idealnim medijem za aktere u svijetu RaaS-a. Napori u borbi protiv RaaS grupa su sve veći, ali je jednako velika i finansijska motivacija za sve koji na mala vrata žele ući u ranije nedostupan svijet cyber kriminala. Kako se okruženje RaaS prijetnji razvija, od suštinskog je značaja za organizacije da ostanu svjesne ove prijetnje i prilagode joj se u vidu implementacije robusnih mjera cyber zaštite za svoju digitalnu imovinu i mrežne resurse.

S prelaskom u digitalnu eru cyber sigurnost se našla na digitalnim linijama fronta, čije su bojišnice danas razvučene duž satelitskih mreža, jata dronova i nadzornih kamera. U savremenom ambijentu ratovanja cyber sigurnost se pojavila kao ključna determinanta uspjeha ili neuspjeha

Piše: Mirza Bahić; E-mail: redakcija@asadria.com

Aktuelni sukob Ukrajine i Rusije naglasio je važnost inovativnih sigurnosnih rješenja na modernim ratištima, posebno onih u kibernetičkom segmentu. Zapravo, ratne okolnosti poslužile su kao prva masovna demonstracija važnosti zaštite mirnodopskih resursa od hakerskih napada, u prvom redu satelita, dronova i nadzornih kamera.

Kao novina u svijetu cyber ratovanja već na početku konflikta našao se satelitski internetski sistem Starlink, milijardera Elona Muska, koji je Ukrajini omogućio da rastjera informacijski mrak usred kontinuiranih napada na njenu telekomunikacijsku infrastrukturu. No, nakon ograničavanja podrške Ukrajini da iskoristi Starlink za planirani napad na Krim, javila se sumnja u Muskove tvrdnje da se tako sprečava “svjetski rat” i počelo se pričati o problemima koje Starlink ima s ometanjima iza kojih stoji cijeli kompleks ruskih sistema za elektronsko ratovanje.

 Starlink na udaru

Ukrajinska služba sigurnosti (SBU) otkrila je da ruske obavještajne službe koriste prilagođeni zlonamjerni softver (malver) za infiltriranje na Android uređaje kako bi dobili neovlašteni pristup satelitskim podacima Starlinka. Tableti i mobilni uređaji našli su se na udaru zlonamjernog softvera poznatog kao Malware 4. STL, koji ove platforme iskorištava za daljinsko prikupljanje podataka sa Starlink sistema. Ovaj softver je to radio putem API funkcija, a stručnjaci za cyber sigurnost su početnu tačku za infiltraciju malvera pronašli u zarobljenim tabletima na bojnom polju.

Nakon što je identificirala najmanje deset različitih tipova softvera koji ciljaju Starlink, služba sigurnosti je izdala upozorenje vojnicima da na računare koji koriste Starlink terminale za pristup internetu instaliraju poseban antihakerski softver. Iako SBU tvrdi da su ove “ilegalne aktivnosti” sada zaustavljene, nije tajna da je nakon ovog otkrića ostala zabrinutost zbog obima pristupa kompromitiranim podacima i mogućih implikacija po buduće korištenje Starlinka. Zapravo, već su se u 2022. počeli javljati glasovi upozorenja na potencijale hakera da iskoriste ranjivosti u Starlinkovoj infrastrukturi i dobiju neovlašteni pristup osjetljivim podacima koji se prenose putem satelitske komunikacije.

Sigurnosni istraživač Lennert Wouters tada je identificirao slabu tačku koju je moguće iskoristiti i uz obični modificirani čip sastavljen od komponenti čija cijena ne prelazi 25 dolara. Riječ je o napadima ubacivanja pogrešaka (engl. fault injection), koji zaobilaze Starlinkove sigurnosne mjere i infiltriraju se u njegove sisteme. Iako je Starlink objavio javno ažuriranje kao odgovor na Woutersove nalaze, ovaj stručnjak je naglasio da bi otklanjanje ovakvog vida temeljne ranjivosti zahtijevalo razvoj potpuno novih verzija čipova za satelitske terminale kao i uvođenje strožijih mjera cyber zaštite u satelitskoj komunikaciji.

Pomoć u ključnoj bici

U medijima su se također javili izvještaji da je Rusija testirala sistem elektronskog ratovanja u svemiru nazvan 14Ts227 Tobol s ciljem ometanja komunikacije pomoću Starlinka. Spekulacije su išle dovoljno daleko da se Tobol, zajedno s ruskim satelitskim ometačem Tirada-2 montiranim na kamion, danas smatra presudnim faktorom u prekidima komunikacije sa Starlinkom tokom ključne bitke kod Bahmuta u ljeto ove godine.

U odsustvu traganja za trajnijim rješenjem u ratnim uvjetima, Ukrajini je od zemalja NATO-a obećana dodatna podrška za informatičku zaštitu vojnih komunikacijskih sposobnosti. Švedska kompanija Satcube 100 tako bi trebala isporučiti prenosive satelitske internetske terminale, koji nude veću pouzdanost i otpornost na cyber napade u odnosu na Starlink. Kao odgovor na prepoznate slabosti do tada nepobjedivog sistema, i Starlink je implementirao program plaćenog lova na bugove, nudeći novčane nagrade u rasponu od 100 do 25.000 dolara istraživačima sigurnosti koji prepoznaju slabosti u njegovim satelitskim sistemima. Iako se sistem nagrađivanja za uočene bugove i ranije koristio kako bi se tzv. etički hakeri ohrabrili da pronađu i prijave ranjivosti, potencijalni izazovi leže u kontroli aktivnosti ovih aktera koji po samoj prirodi svog poziva djeluju nezavisno od bilo kakvog sistema nadzora.

 Da li je satelit vojna ili civilna meta?

Nalazi ukrajinskih sigurnosnih stručnjaka u vezi sa slabostima Starlink sistemima samo su naglasili strateški značaj satelitskog interneta u modernom ratovanju. No, to nije jedini problem u borbi za zaštitu satelitskih sistema od cyber napada. S obzirom na to da njegova matična kompanija SpaceX ima gotovo monopolistički status na globalnom tržištu satelitskog interneta, sve je veći pritisak u pravcu jačanja međunarodne saradnje u reguliranju i nadzoru ovih sistema. Uprkos tome, i tu su se ubrzo javili veliki problemi u pogledu definiranja statusa satelitskih sistema kao vojnih ili civilnih meta u cyber ratu.

Činjenica je da učešće privatnih tehnoloških kompanija u pitanjima od nacionalne sigurnosti povlači mnoštvo izazova kada je u pitanju tretiranje satelitske mreže kao važeće mete u informatičkom ratu. Primjer je situacija u kojoj privatni subjekti, poput Starlinka, nude civilnu tehnologiju koja praktično preko noći postaje vitalna za vojne operacije u zonama sukoba.

Starlinkova tehnologija je na početku bila klasificirana isključivo kao civilna, zaobilazeći ograničenja izvoza i zahtjeve propisa o međunarodnom prometu oružjem (ITAR). Međutim, situacija se dramatično promijenila kada je ukrajinska vojska počela koristiti civilnu tehnologiju za vojnu komunikaciju. Tako se, smatraju neki, tehnologija prvobitno namijenjena za civilnu upotrebu pretvorila u oružje informatičkog rata. Logičan tok budućeg djelovanja bio bi da se Starlink sada klasificira kao tzv. tehnologija dvostruke namjene, koja je podložna ITAR-u i ograničenjima izvoza u vojne svrhe.

U protivnom, odsustvo primjene propisa o vojnom izvozu znači da privatne tehnološke kompanije mogu donositi jednostrane odluke o isporuci i uslovima pružanja svojih usluga tokom rata. Ovaj nedostatak regulatornog nadzora može dovesti i do nepredvidivih ishoda i strateških ranjivosti, poput situacija u kojima uprava kompanije može osujetiti izvođenje operacija na terenu prema vlastitom nahođenju i procjenama, kao u Muskovom slučaju.

Bitka za nadzorne kamere

Potreba za brzim pribavljanjem i širenjem informacija u vanrednim okolnostima nije ograničena samo na satelitske mreže. Ona je ključna za izvođenje aktivnosti svih zaraćenih strana koje kibernetički rat jasno označe kao dio svoje šire vojne strategije. U ukrajinskom ratu obje strane angažiraju timove hakera i specijalnih snaga za informatičko ratovanje da jedni drugima prodiru u sisteme, sarađuju s vojnim osobljem na terenu i bolje iskoriste dostupne civilne tehnologije, poput nadzornih kamera.

Naprimjer, ukrajinski timovi redovno učestvuju u hakiranju videonadzornih kamera na okupiranim teritorijama kako bi nadgledali kretanje ruskih trupa. Oni, istovremeno, šalju dronove kamikaze da onesposobe ruske kamere koje nadziru ukrajinske aktivnosti. Kao odgovor, ruski hakeri su u više situacija uspjeli dobiti neovlašteni pristup privatnim sigurnosnim kamerama u ukrajinskim kafićima, koristeći ih za prikupljanje obavještajnih podataka o vojnim konvojima koji prolaze u blizini ovih objekata. U fokusu njihovih napada našle su se i nadzorne kamere koje lokalne vlasti i privatna preduzeća koriste da prate dešavanja u svom najbližem okruženju.

IT vojska Ukrajine poduzela je opsežnu operaciju detekcije sigurnosno kompromitiranih web-kamera unutar zemlje. Njihov primarni cilj je spriječiti ruske snage da steknu uvid u kretanje ukrajinskih trupa, posebno u vrijeme planiranih ofanzivnih operacija. U tu svrhu, pokrenut je program “lova na kamere” u okviru kojeg se sigurnosne eksperte i druge pojedince nagrađuje za identifikaciju i prijavu IP adresa i ranjivih tačaka javnih kamera nadležnim tijelima.

Prema ovom kolektivu, hakirane javne web-kamere već su nanijele dovoljno štete odbrani zemlje jer su preko njih praćene aktivnosti vezane za sisteme protivzračne odbrane i transporta vojne opreme. Prema pisanju tamošnjih  medija, ruske snage su navodno iskoristile hakirane web-kamere za identifikaciju zemlja-zrak raketa Patriot, koje su u maju napadnute u Kijevu.

 Je li državna strategija važnija od tehnologije?

Konflikt u Ukrajini ne predstavlja samo eskalaciju tradicionalnih vojnih operacija nego i višestruki rast obima aktivnosti iz oblasti informatičkog ratovanja. Ipak, ono što izdvaja ovaj svojevrsni prvi moderni kibernetički sukob velikih razmjera je svojevrsni paradoks koji prati i plijeni pažnju sigurnosne javnosti i struke. Riječ je o paradoksalnom nesrazmjeru između intenziteta poduzetih operacija cyber ratovanja i njihovih ishoda.

Tačnije, uprkos povećanoj učestalosti cyber napada, nije došlo do pojave teških gubitaka resursa ili potpunog kraha informatičke mreže zaraćenih strana. Ovaj zagonetni trend privukao je pažnju stručnjaka iz Centra za strateška i međunarodna istraživanja, koji njegove ishode pripisuju promjeni paradigme nacionalne kibernetičke zaštite koju je Ukrajina prepisala od iskusnijih zemalja, uz izvlačenje vrijednih pouka iz iskustva u borbi s ruskim cyber napadima u 2014. i 2016. godine.

Prema izvještaju Centra za 2023, moguće objašnjenje za relativnu neefikasnost ruskih cyber poduhvata leži u fokusu na aktivnu odbranu koji Ukrajina vodi unutar domena kibernetičkog ratovanja. Kombinacija inovativnih doprinosa privatnog sektora, orkestriranih državnih napora i evolucije ukrajinske cyber doktrine pomjerili su klatno ravnoteže u korist koncepta cyber odbrane.

Ukrajinska odbrambena strategija u cyber ratu tako se fokusirala na nekoliko ključnih elemenata: proaktivne mjere zaštite potencijalnih meta, uspostavu intenzivne saradnje s međunarodnim sigurnosnim subjektima i brzo suzbijanje prijetnji kroz praćenje kritičnih mreža. Zemlja je 2016. godine i prije invazije donijela nacionalnu strategiju cyber sigurnosti, koja je dala prioritet jačanju redundantnosti i otpornosti podataka uz proširenu primjenu enkripcije.

Značajan potez bilo je i šire korištenje usluga hostinga trećih strana, odnosno za premještanje podataka i usluga izvan geografskih granica zone sukoba. Ovaj inovativni pristup uveden je s ciljem kompliciranja i ograničavanja planiranja cyber napada druge strane, a metod je pokazao kako i manje zemlje mogu dizajnirati digitalnu infrastrukturu i sisteme podataka uz pomoć eksternih pružatelja usluga, čime se minimizira podložnost napadima i povećava otpornost na njih.

Ipak, manje optimistični među sigurnosnim ekspertima smatraju da je dosadašnje relativno odsustvo spektakularnih cyber napada u ovom ratu tek posljedica činjenica da Rusija svoje ciljeve cyber ratovanja ostvaruje i korištenjem konvencionalnih vojnih efektiva za razaranje komunikacijske infrastrukture. Pri tome, sofisticiraniji alati za cyber napade, upozoravaju oni, mogu biti jednostavno čuvani u zalihi za velike cyber napade na komunikacijske sisteme zemalja koje podržavaju Ukrajinu, a u slučaju eskalacije sukoba.

 Lekcije za budućnost

Rat u Ukrajini stavio je u prvi plan ulogu cyber sigurnosti u savremenom ratovanju. Nove strateške efektive cyber ratovanja, uključujući inovacije kao što je Starlinkov satelitski internetski sistem i mjere nacionalne informatičke odbrane koje uključuju eksterne usluge hostinga, naglašavaju važnost zaštite digitalne imovine u suočavanju s kibernetičkim prijetnjama. Ovaj sukob služi kao važan podsjetnik na trajno promijenjeni ambijent cyber ratovanja, u kojem se ne samo tradicionalna infrastruktura već i dronovi i web-kamere nalaze na meti hakerskih aktivnosti. Naučene lekcije trebale bi pomoći u pripremi novih odbrambenih strategija i pristupa međunarodnoj saradnji kako bi se zaštitila mirnodopska kritična infrastruktura.

 Kako su Amazon, Cloudflare i Google pomogli Ukrajini

Zanimljivo je napomenuti da su se nakon izbijanja sukoba brojne međunarodne kompanije okupile u naporu da ojačaju cyber otpornost Ukrajine. Naprimjer, prema podacima Microsofta, sinteza obavještajnih podataka o kibernetičkim prijetnjama i fokus na zaštitu krajnjih tačaka znatno su ojačali odbranu od ruskih hakerskih napada. Dalje, sposobnost Ukrajine da svoju digitalnu infrastrukturu rasprši u oblak pokazala se kao važna strategija u odolijevanju koordiniranim napadima na tamošnje podatkovne centre. U ovom pristupu, Amazon Web Services (AWS) odigrao je ključnu ulogu, osiguravajući kontinuitet dostupnosti usluga za potrebe ukrajinske vlade. Istovremeno, i Cloudflare i Google su proširili svoje usluge cyber zaštite na ključne ukrajinske organizacije. Shodno tome, odbrana ukrajinske nacionalne cyber domene transformirana je u zajednički transnacionalni poduhvat koji uključuje doprinose i privatnih i državnih subjekata.

 Dronovi kao dvosjekli mač u kibernetičkom ratu

Dronovi su revolucionirali cyber ratove današnjice, omogućavajući zaraćenim stranama da prikupljaju opsežne podatke iz različitih izvora, uključujući internet, radio-frekventne prijenose i informacije o GPS praćenju. No, pored praćenja aktivnosti protivnika i učešća u akcijama na terenu, dronovi su se našli u areni cyber rata zbog svoje sposobnosti da ometaju komunikacijske mreže i kanale i tako umanje dotok ključnih informacija potrebnih za lansiranje hakerskih napada na vojnu i ključnu infrastrukturu.

Ipak, primjena dronova za operacije kibernetičkog ratovanja nije prošla bez potencijalnih izazova. Kako je pokazao rat u Ukrajini, sami dronovi podložni su hakiranju ili preuzimanju. U tom slučaju, hakirani dron nudi pristup osjetljivim informacijama potrebnim za pokretanje napada na digitalnu infrastrukturu protivnika. Kod zarobljavanja, odnosno hakiranja dronova, brzina je od esencijalne važnosti jer je zadatak vojnih cyber timova da iz njih izvuku što više podataka i, pri tome, što duže prikriju činjenicu da im je dron pao u ruke i da više nije u službi originalnih korisnika. Zato su i ruske i ukrajinske obavještajne službe premjestile neke od svojih elitnih cyber timova blizu linija fronta radi lakše koordinacije s vojskom i bržeg direktnog pristupa zarobljenim neprijateljskim uređajima prije nego što se otkrije da su kompromitirani.

Hrvatsku sigurnosnu zajednicu i javnost neugodno je iznenadio prijedlog novog Zakona o kibernetičkoj sigurnosti, prema kojem bi Obavještajno-sigurnosna agencija mogla krovno nadzirati cyber sigurnost kompanija i ustanova, uz paralelni neograničen pristup osjetljivim podacima

Piše: Mirza Bahić; E-mail: mirza.bahic@asadria.com

 Hrvatsku posljednjih mjeseci potresa svojevrsni regulatorni skandal, koji je pravo osvježenje u odnosu na standardne dnevnopolitičke trakavice. Glavnu ulogu igra Sigurnosno-obavještajna agencija (SOA) koja, prema jednom taboru, priprema preuzimanje pristupa povjerljivim poslovnim podacima pod firmom implementacije novog Zakona o kibernetičkoj sigurnosti. Oponenti, s druge strane, tvrde da je prijedlog zakona koji bi Sabor trebao prihvatiti do kraja godine najava “ulaska Hrvatske u 21. stoljeće” kada je u pitanju cyber zaštita. Je li istina na sredini i mogu li obje strane biti upravu, ma kako rovovski ukopane u svoje suprotstavljene stavove o novom zakonu?

Šta nudi novi zakon?

Novi Zakon o kibernetičkoj sigurnosti predviđa uvođenje centraliziranog pristupa kontroli cyber sigurnosti za koji bi bila nadležna hrvatska Sigurnosno-obavještajna agencija. Zakon se nalazi u završnoj fazi izrade, a pokrenuta javna rasprava do sada je iznjedrila stotine komentara. Država u ulozi predlagača navodi da je riječ “samo” o primjeni Evropske direktive o cyber sigurnosti NIS2 na nivou EU-a.

Podsjetimo se, NIS2 stavlja obavezu pred države članice da na nacionalnom nivou kreiraju tijela nadležna za sigurnost mrežnih i informatičkih sistema, kao i za razmjenu informacija o zaštiti kritičnih sektora kao što su energetika, zdravstvo, finansije, transport, komunalije i digitalna infrastruktura.

I tu, zapravo, nastanu problemi s tumačenjem jer SOA, prema novom zakonu, treba dobiti diskreciona ovlaštenja da odredi koje su institucije ili kompanije kritične ili važne za cyber sigurnost, obavezujući ih da na svoje mreže instaliraju opremu koju ona odobri. Na taj način SOA će dobiti pravo da nadgleda hiljade kompanija i pravnih lica. Skepsa javnosti dodatno je porasla nakon najave da država namjerava klasificirati značajan broj privatnih kompanija kao dio “kritične infrastrukture”.

Sistemi za cyber zaštitu pod nadzorom

Kritičari prijedloga zakona strahuju da bi ovaj potez jednoj nacionalnoj obavještajnoj agenciji mogao dati neograničen pristup osjetljivim podacima hiljada privatnih kompanija. Marko Rakar, informatički ekspert, najglasniji je kritičar novog zakonskog rješenja. Prema njemu, SOA ne bi smjela dobiti regulatorne odgovornosti u ovoj oblasti zbog “sukoba interesa”. Rakar navodi da se u drugim zemljama Unije regulativom kibernetičke sigurnosti obično bave specijalizirana državna tijela (Irska, Estonija, Finska i Njemačka i druge zemlje), ali ne i obavještajne agencije.

One su, po njemu, po samoj definiciji netransparentne u svom radu i obično ne rade s pravnim licima obuhvaćenim novim zakonom. Prema procjenama stručnjaka, njihov broj će u privatnom sektoru skočiti za više hiljada, a svima za nepridržavanje novog zakona prijete kazne i do deset miliona eura.

Ukoliko ovu oblast preuzme SOA, smatra Rakar, obavještajne agencije iz drugih zemalja od nje mogu tražiti usluge u okviru kojih bi agencija mogla špijunirati strane državljane ili subjekte pod krinkom provođenja zakona. “U okviru implementacije zakona može se vrlo lako dogoditi da istovremeno imamo situaciju gdje SOA nadzire kibernetičku sigurnost nekakve tvrtke ili ustanove, a paralelno ima apsolutni pristup podacima koji su od nekakvog obavještajnog značaja za, primjerice, SOA-u”, smatra Rakar.

Pravni problemi?

Njegovo mišljenje dijele i oni koji smatraju da je prijedlog zakona upitan i sa pravne strane, a ne samo tehničke ili sigurnosne. Marko Porobija, advokat specijaliziran za oblast sigurnosti, kaže da se zaštita od cyber napada treba strogo odvojiti od nadzora za civilne potrebe kako bi se spriječile situacije u kojima SOA i tuži i sudi subjektima koje nadzire. “To je kao da se naša firma otvori u SAD-u i da NSA bude njihov regulator”, navodi Porobija, dodajući kako je nezamislivo da se, npr., strane farmaceutske kompanije nađu u situaciji da im provjeru sigurnosnog sistema za cyber zaštitu radi tajna služba zemlje domaćina.

Osim toga, kritičari upućuju na još jednu sumnjivu stavku u prijedlogu zakona – izostanak odredbe člana 2 tačke 2 iz same Direktive, u koju se predlagači kunu kao uzor. Riječ je o stavki prema kojoj se iz primjene Direktive izuzimaju različita tijela, posebno ona iz oblasti nacionalne i javne sigurnosti i odbrane, što, po njima, diskvalificira SOA-u iz igre. Izostavljanjem ove stavke iz prijedloga, obavještajci bi, u teoriji, dobili pravo nadzora i nad tijelima za krivično gonjenje. To je posebno zabrinjavajuće jer SOA za svoj rad, tehnički i pravno, ne odgovara građanima Hrvatske nego političkim i državnim strukturama.

“Štiti, a ne nadzire”

U SOA-i, u međuvremenu, u spomenutom prijedlogu zakona ne vide ništa sporno. Glavni argument obavještajaca je da SOA neće postati vrhovni regulator cyber sigurnosti u Hrvatskoj, nego tek “koordinator”. Zapravo, uloga agencije većinski se treba temeljiti na organiziranju i koordinaciji provedbe mjera cyber sigurnosti.

Kao krunu svojih napora u ovoj oblasti, SOA navodi vlastiti centralizirani sistem SK@UT, koji služi za otkrivanje, rano upozoravanje i zaštitu od državno sponzoriranih cyber napada u više od 60 državnih tijela u Hrvatskoj. Budući Nacionalni centar za kibernetičku sigurnost SOA-e, prema novom prijedlogu zakona, samo bi trebao proširiti postojeći kišobran na privatne kompanije na način da ih “štiti, a ne nadzire”.

Ivan Malenica, ministar pravosuđa i uprave, navodi da je ovaj zakon “veliki korak naprijed, s obzirom da će on obuhvatiti puno više subjekata koji će biti obavezni poduzimati određene mjere iz područja kibernetičke sigurnosti”. Premijer Andrej Plenković cijelu priču vješto odvodi na mlin aktuelnih geopolitičkih trvenja i opisuje kibernetički prostor ne samo kao “prostor ratovanja” nego i poslovanja i funkcioniranja digitalnog društva u kojem uloga države mora biti “ključna”.

Šta će reći Evropa?

Njegovo mišljenje o ulozi države ne dijele u Gongu, organizaciji civilnog društva koja je Evropskoj komisiji za “Evropu prilagođenu digitalnom dobu” poslala dopis u kojem upozorava da novi prijedlog zakona predstavlja prekoračenje ovlaštenja obavještajnih službi i udar na “demokratske standarde” pod egidom zaštite cyber sigurnosti. Bez obzira na intonaciju saopćenja s obje strane ograde, činjenica da se dijalog uopće odvija govori o potrebi da se pitanje cyber sigurnosti iz akademsko-tehničkih sfera spusti u najširi javni prostor.

Ekstremni vremenski uslovi, kao što su uragani i poplave, dobro su poznati fenomeni koji pustoše infrastrukturu i ugrožavaju stanovništvo. Manje očigledan, ali ništa manje destruktivan je i utjecaj ovih pojava na globalnu cyber sigurnost, s kojom plešu u začaranom krugu

Piše: Mirza Bahić; E-mail: redakcija@asadria.com

Eskalacija ekstremnih vremenskih prilika, rast nivoa mora i otapanje globalnog ledenog pokrivača postali su više od puke brige za okoliš. Ove pojave su danas i katalizatori rasta broja cyber napada širom svijeta, što je izazov za pojedince, organizacije i države jer traži dublje razumijevanje složenog odnosa između ova naizgled nepovezana fenomena.

Ekstremno vrijeme i cyber sigurnost su povezani

Nije neobično da ekstremni vremenski događaji mogu nanijeti veliku štetu infrastrukturi, uključujući onu informatičku, centre podataka, servere i ključne sisteme. Osim što uzrokuju poremećaje u kvalitetu internetske veze i dostupnosti usluga cyber zaštite, fizička oštećenja IT infrastrukture otvaraju mogućnosti za cyber kriminalce koji koriste novonastale sigurnosne rupe da dobiju neovlašteni pristup resursima ciljane organizacije.

Nakon klimatskih katastrofa kritična sigurnosna infrastruktura je obično ozbiljno ugrožena, što povećava ranjivost organizacija i pojedinaca na cyber napade. Pored infiltracije u prateće sisteme i baze podataka, kriminalci iskorištavaju prateći haos i konfuziju u situacijama klimatoloških katastrofa kako bi pokrenuli i ekvivalente phishing napada, uz preuzimanje uloga humanitarnih organizacija koje prikupljaju donacije za pomoć tokom katastrofa. Uz manjak vremena za provjeru kredibiliteta ovakvih subjekata, situacije poput sve češćih poplava ili tornada su idealno vrijeme i za lažno predstavljanje s ciljem iskorištavanja spremnosti ljudi da pomognu stradalnicima pogođenih katastrofom. Na taj način napadači ne samo da obmanjuju žrtve nego i kradu lične podatke i informacije o identitetima legitimnih institucija koje pružaju pomoć u ovim situacijama.

Nadalje, neumitni rast nivoa mora predstavlja dodatne izazove za menadžere cyber sigurnosti. Obalne regije i ostrvske države posebno su podložne naglom rastu nivoa voda, što dovodi u opasnost kritičnu infrastrukturu, uključujući centre podataka i komunikacijske mreže. Plavljenje ovih vitalnih komponenti otvara širok prostor za napade koje cyber kriminalci koriste za infiltriranje u sisteme, krađu informacija i remećenje pružanja osnovnih usluga.

Ograničavanje resursa za odgovor na prijetnje tokom katastrofa

U međuodnosu klimatskih promjena i sigurnosti postoji i njegova “ciklična” strana jer je sama cyber sigurnost u velikoj mjeri zavisna od dostupnih IT resursa. Pristup istima danas je često ograničen upravo zbog klimatskih promjena, a povećana glad za resursima za borbu protiv cyber napada, ironično, dovodi i do pojačanog globalnog zagrijavanja i pratećih ekstremnijih vremenskih uslova. Kako mnoga društva kaskaju u kreiranju izvora obnovljive energije, energijski intenzivna priroda same cyber zaštite zapravo doprinosi pogoršanju klimatskih uslova kroz veću potrošnju energije i tako generisanju intenzivnijih toplotnih emisija.

S druge strane, ekstremni vremenski uslovi izazvani klimatskim promjenama potkopavaju napore timova usmjerenih na zaštitu korisnika od informatičkog kriminala. Naprimjer, nepredvidivi uragani razaraju sigurnosnu infrastrukturu jer ometaju pružanje osnovnih usluga cyber zaštite na koje se oslanjaju brojni korisnici i organizacije. Kako korisnici u vremenu katastrofe moraju birati između gašenja kritičnih zaštitnih sistema i gubitka energije, oni ostaju bez sloja zaštite koji ih inače upozorava na infiltraciju napadača i njihovog softvera.

Klimatski neštetni izvori energije kao nove mete

Učinci klimatskih promjena na cyber sigurnost su višeslojni i ne moraju biti direktno povezani sa gubitkom informatičkih resursa, prekidom dostupnosti sigurnosnih usluga i pokušajima prevara. Same klimatske promjene su već kreirale ogromnu potražnju za obnovljivim izvorima energije jer energetska postrojenja poput solarnih i vjetroelektrana ne povlače emisije ugljičnog dioksida i drugih gasova koji izazivaju efekat staklenika. Kako sistemi obnovljivih izvora energije postaju okosnica ekonomskih aktivnosti, oni se sve više percipiraju kao privlačne mete za razne cyber kriminalce. Brža tranzicija ka tzv. zelenoj energiji kao odgovor na klimatske promjene neizbježno će otvoriti dodatne sigurnosne praznine, pružajući kriminalcima neograničen izvor ranjivih sistema u čijoj odbrani često nemamo dovoljno iskustva. No, postoji li balansirano rješenje koje može smanjiti rizik od poplave cyber napada u vrijeme kada i one fizičke već nanose dovoljno globalne štete?

Razumijevanje međuodnosa kao ključni prvi korak

Za efikasnu borbu protiv dvoglave prijetnje klimatskih promjena i cyber kriminala, organizacije moraju bazirati svoju strategiju na analizi globalnih trendova.

Za početak, provođenje redovnih procjena cyber rizika je prvi korak u identifikaciji potencijalnih prijetnji u odnosu na vremenske prilike koje dominiraju u korisnikovoj operativnoj regiji. Nakon temeljite evaluacije sistema i mrežnih resursa organizacije, ovi subjekti moraju razraditi robusne planove odgovora na klimatske incidente i održavati stanje pripravnosti za otklanjanje pratećih sigurnosnih rizika povezanih s njima, poput prestanka napajanja i prekida internetske veze, oštećenja informatičke infrastrukture, gubitka pristupa sigurnosnim uslugama i pokušajima prevara.

Ulaganje u savremenu tehnologiju cyber sigurnosti će, pored standardnih mjera, tražiti dodatni fokus na stavke poput energijske efikasnosti te otpornosti i redundancije u slučaju otkazivanja ključnih IT resursa. Kako su klimatske promjene problemi od nacionalnog, pa i transnacionalnog značaja, samo je pitanje vremena kada će odgovarajuće najbolje prakse biti donesene na ovim nivoima. U međuvremenu, organizacije će same morati razraditi protokole cyber zaštite u okolnostima ekstremnih vremenskih prilika. To se posebno odnosi na razvoj protokola za zaštitu osjetljivih podataka i održavanje funkcionalnosti i autonomije odbrambenih sistema u kriznoj situaciji.

Efikasan pristup cyber sigurnosti može pomoći i u smanjenju neizbježne štete koja nastaje zbog ekstremnih klimatskih uslova i suziti manevarski prostor profiterima na ovom tipu nesreća, među kojima su i nepoželjni akteri iz kibernetičkog svijeta.

Kako je popularni ChatGPT nedavno doživio i svoju povredu podataka, Europol i sigurnosne kompanije su ga stavile pod lupu kao potencijalnog saveznika, ali i sumnjivo lice u virtuelnom perimetru cyber sigurnosti 

Piše: Mirza Bahić; E-mail: mirza.bahic@asadria.com

Istraživačka kompanija OpenAI potvrdila je nedavno da je u martu 2023. svepopularni ChatGPT, bot vještačke inteligencije, posredno odgovoran za povredu podataka usljed buga koji je omogućio curenje privatnih podataka korisnika. Objelodanjene informacije uključivale su imena pretplatnika, e-mail i fizičke adrese te posljednje četiri cifre i datumi isteka kreditnih kartica.

 Curenje ličnih i finansijskih podataka 

Povreda podataka dovela je i do prekida rada ChatGPT-a, a korisnici čiji lični podaci nisu bili ugroženi mogli su barem vidjeti tuđe upite za razgovor sa vještačkom inteligencijom unutar svoje aplikacije. Kompanija OpenAI je povredu podataka pripisala bugu u Redis biblioteci otvorenog koda. Kao dodatnu mjeru kontrole štete po ugled popularnog bota, OpenAI je obavijestio javnost da će lično kontaktirati sve korisnike čiji su finansijski podaci objelodanjeni tokom incidenta. Dakle, slučaj je zatvoren i svi su sretni? Ne bi se reklo.

 Italija gasi ChatGPT, EU radi na krovnom zakonu

Da je 2023. počela loše za servis koji je uveden tek u novembru 2022. godine, pokazala je i odluka italijanske vlade da ugasi ChatGPT zbog potencijala platforme da ugrozi privatnost svojih korisnika. Početkom aprila italijanska organizacija za zaštitu podataka naredila je kompaniji OpenAI da privremeno prestane s obradom podataka tamošnjih korisnika zbog istrage o kršenju evropskih propisa o privatnosti. U obrazloženju je navedeno da je do povrede podataka došlo jer je korisnicima omogućeno da vide dijelove razgovora koje su drugi korisnici vodili sa chatbotom. Za tu vrstu masovnog prikupljanja i obrade ličnih podataka za sada nema pravne osnove, naveli su italijanski regulatori. Zbog ovakvog zadiranja u privatnost korisnika kompanija OpenAI rizikuje da se suoči sa kaznom od 20 miliona eura. Italija nije jedina zemlja čiji su se regulatori našli u neobranom grožđu kada je u pitanju brzi tempo napredovanja vještačke inteligencije i implikacija ovog trenda po društvo.

Evropska unija trenutno radi na krovnom zakonu o vještačkoj inteligenciji koji će imati i svoju sigurnosnu komponentu, uz fokus na zaštitu privatnosti korisnika. To se vidi kao srednje rješenje u odnosu na zabranu ChatGPT-a koja je danas na snazi u zemljama poput Kine, Irana, Sjeverne Koreje i Rusije. Mana ovakvog pristupa je činjenica da bi evropski zakon o AI-ju mogao stupiti na snagu tek za nekoliko godina, kada će ova tehnologija već evoluirati do neprepoznatljivosti.

 Upozorenja iz Europola

Možda će zakonodavci reagirati brže ako ozbiljnije shvate upozorenja o ChatGPT-u koja je u martu ove godine iznio Europol. Prema njima, kriminalci su već dobro upoznati s mogućnostima ovakvih platformi vještačke inteligencije za svoje ciljeve. U prvom redu, riječ je o njegovom korištenju za phishing te širenje dezinformacija i malvera. Kriminalci bi kao prvi korak mogli koristiti ChatGPT da znatno ubrzaju proces istraživanja u oblastima koje ne poznaju dovoljno. Bot im tu može lako pomoći da kreiraju uvjerljive tekstove za uvlačenje žrtvi u prevarantske sheme te dati im informacije koje se tiču terorizma, cyber kriminala i ilegalnih aktivnosti. “Iako ChatGPT koristi zaštitne mjere kao što su moderiranje sadržaja i odbijanje davanja odgovora na pitanja opisana kao opasna ili pristrasna, napadači ih mogu lako zaobići pametnim instrukcijama datim AI-ju”, smatraju u Europolu. Pri tome se sposobnost chatbota da oponaša stilove pisanja nameće kao važan alat za buduće phishing napade. Zbog prividne autentičnosti pratećeg sadržaja, korisnici će biti skloniji da kliknu na lažne linkove koji traže ostavljanje ličnih podataka.

Koristeći ChatGPT, čak i napadači kojima engleski ili neki drugi jezik nisu maternji mogu kreirati besprijekorne i naizgled legitimne e-mailove. Istovremeno, kreiranje ovakvih poruka pomoću ChatGPT-a je jako brz i masovan proces, uz personalizaciju sadržaja prema imitaciji tona, stila i detalja dobijenih iz prikupljenih ličnih podataka o žrtvi.

I dezinformacije i kodovi

Sposobnost ChatGPT-a da brzo proizvede tekst koji zvuči autentično čini ga idealnom platformom za širenje propagande i dezinformacija uz relativno malo truda. ChatGPT se može koristiti i za pisanje kompjuterskog koda, posebno za tehnički manje potkovane kriminalce koji ne poznaju kodiranje, a žele ga iskoristiti za infiltraciju na željeni sajt, navodi Europol. Protivmjera je, savjetuju stručnjaci Europola, podizanje svijesti o potencijalnoj zloupotrebi ChatGPT-a kako bi se osiguralo pravovremeno zatvaranje zakonskih i tehnoloških rupa prije nego što one otvore šire prečice za cyber kriminal.

 Pozitivna strana

No, batina i u ovoj utrci u naoružanju ima dva kraja, tako da nezanemariv dio cyber zajednice vidi ChatGPT i kao saveznika u borbi protiv kriminala. Etički hakeri već koriste postojeće AI alate za pomoć u izradi izvještaja o cyber ranjivosti, kreiranje uzoraka koda i prepoznavanje ključnih trendova u velikim skupovima podataka. Ono u čemu AI, uključujući i ChatGPT, zaista može pomoći sigurnosnim timovima jeste brzina kao ključni sastojak u upravljanju ranjivostima. Isto tako, taman koliko ChatGPT može pomoći napadačima u kreiranju autentičnih phishing poruka, isti potencijal se može iskoristiti i za prepoznavanje ovih sadržaja. S vremenom će, smatraju zagovornici AI-ja, ChatGPT biti koristan alat da se utvrdi je li neki sadržaj za koji se sumnja da je phishing generisan s malicioznom namjerom ili je autentičan. Osim toga, ChatGPT već u ovoj fazi može postati i vrijedan alat u “ratnim igrama” u kojima se simuliraju hakerski napadi i odbrana od njih.

ChatGPT kao defanzivni igrač

U okviru simulacija koje je radilo više cyber kompanija, ovaj bot je, naprimjer, dao detaljne odgovore na upite o slabostima u softveru koji administratori često koriste za testiranje sigurnosti sistema, kao što je Nmap. ChatGPT je u tim situacijama čak davao i napredne sugestije o poželjnim skriptama za ažuriranje odbrane, sve uz ilustracije u vidu napisanih linija koda. Kako cyber napadi postaju češći i složeniji, AI alati kakav je ChatGPT mogu biti i dvanaesti igrač u preopterećenim IT timovima, prvenstveno jer su sposobni obraditi ogromne količine podataka i predviđati trendove na osnovu njih. Uz napredak komplementarnih tehnologija mašinskog učenja i obrade prirodnog jezika, ovaj proces će biti još brži i pomoći će u jačanju ugleda ChatGPT-a i srodnih sistema kao potpornog stuba cyber zaštite umjesto imidža distopijskog saveznika visokotehnološkog kriminala.