САМО В ПИК: Шеф на хакерите в България: Атаката срещу НАП е лесна дори за ученик! Неграмотността на служителите във фирми и институции отваря вратите за пробиви
ПИК с нов канал в Телеграм
Последвайте ни в Google News Showcase
Ниското ниво на компютърна грамотност сред служителите на компании и институции е основната причина хакерските атаки у нас да са лесни като детска игра. Това коментира пред ПИК в ексклузивно интервю експертът Мирослав Стефанов, управител на Клъстер „Информационна Сигурност“ към Асоциацията по киберсигурност от Съюза за стопанска инициатива и заместник-председател на Българската асоциация на сертифицираните етични хакери. По думите му дори ученик би могъл да се справи с атака, каквато е направена в сайта на НАП.
- Г-н Стефанов, вие сред най-известните представители на т.нар. етични хакери в България. Познавате ли арестувания за атаката срещу НАП Кристиан Бойков?
- Лично не го познавам. Запознат съм с факта, че преди е правил пробив и в Министерство на образование, но доколкото разбрах целта му тогава не е била злонамерена.
- Вие как оценявате атаката? Има ли подобни проблеми и в други институции?
- Ние правим от Асоциацията по киберсигурност семинари за информационна сигурност заедно с Агенцията за малки и средни предприятия, на които демонстрираме различни видове хакерски атаки и на тях показваме, че това далеч не е трудно.
Доста е лесно да се направи една хакерска атака, защото малко фирми в България спазват Закона за киберсигурността. В него правилата са отлично уредени и ако се спазваше, нямаше да имаме такива проблеми.
Според този закон един път в годината всички институции и фирми в определени сектори трябва да преминават одит по киберсигурност. Той включва и пенетрейшън тейстинг, което представлява опит за пробив отвътре и отвън с хакерски инструменти. Тогава се вижда каква е уязвимостта и на рутери, и на сайтове, без значение. Този одит завършва с доклад, който отчита какви са слабостите и как да бъдат отстранени.
Това обаче не спазва у нас, да не говорим, че трябва да се прави вече и два пъти годишно, тъй като нещата се променят доста по ускорено в този сектор.
В САЩ има строги правила по отношение на институции. Разпоредено е за няколко ай пи адреса, които са държавни, дори само ако някой опита да провери защитата им, моментално да бъде задържан. Това означава, че дори някой хакер просто да ги сканира дали имат уязвимости, без да се опита да проникне, след минутиму чукат на вратата службите.
У нас няма такива защитени адреси.
- Какво означава да бъде само проверена уязвимостта, без да се прониква?
- Хакерите могат само да сканират дадена система и да видят дали има уязвимости в нея, вратички, през които да се влезе. И ако има такива вече е въпрос на това дали си етичен хакер или не, за да влезеш и да се възползваш или да вредиш.
- Правят ли се такива годишни одити на институциите?
- Има закон, а дали се правят не знам. Ние само организираме обучителни семинари, но не сме били ангажирани с подобна дейност. Законът обаче ги задължава да правят, и вероятно го правят, друг е въпросът как.
- Скъпа ли е тази услуга и до колко е ефективна и надеждна?
- Много фирми не могат да си позволят да наемат специалист, защото това са високоплатени експерти. Има над 77 международни сертификата за киберсигурност и само сертифицирани хакери могат да гарантират сигурност. Иначе всеки може да звънне на някоя компания и за 5 лева да предлага одит, но той няма да е надежден, а може и да е рисков.
Същото е в институциите – ако експертите, които правят тези одити, не са международно сертифицирани, няма гаранция, че правят одитите надеждно и ще издържат атака.
- А каква е ролята на самите служители в институциите, защото се говореше в този случай и за възможен вътрешен пробив?
- Вътрешен пробив е най-честият случай, но това не означава, че някой прави нещо злонамерето сред служителите. Означава, че те заради незнание, или неумение за боравене с даден софтуер, може да отварят врати зза достъп на хакери в системата. Това може да стане дори през един незащитен рутер, например. Или един непроверен мейл.
Това се случва много често в български фирми и е главно заради факта, че се ползва нелицензиран софтуер. Когато ти качиш една програма, изтеглена от някой торент, в нея вече има зададен код за достъп от вън и вкарвайки я в мрежата си, вече цялата система става уязвима.
- Като ви слушам осватам с впечатление, че лесно е направена в такъв случай хакерската атака в НАП, така ли е?
- Не знам как е действано там, но от това, което чета, разбирам, че е доста лесно. Подобни пробиви помаг да се направят дори от непрофесионалисти. Има дори в „Ютюб“ много клипчета, които показват как се прави такъв тип атака. Дори ученик би се справил с това.
- Но не са ли защитени тези данни, те все пак касаят милиони граждани, фирми?
- Трябва да се спазва Закона за киберисигурност и тогава няма да има проблеми. Ние постоянно организираме такива семинари и виждаме колко е ниска културата.
Затова 80% от хакерските атаки стават отвътре навън заради човешка грешка, която води до някаква уязвимост. Затова трябва да има сериозно обучение и ограмотяване на тези служители. Това е най-належащо и основно.
Затова когато стане някаква хакерска атака, първо това проверяваме.
За да помогнем на компаниите, сме направили и една застрахователна полица, към която действа телефон и на него безплатно предлагаме консултации как да се защитиш или какви мерки да вземеш, как да действаш, ако те хакнат.
- Означава ли това, че е имало определена уязвимост в НАП, за да бъде хакната толкова лесно?
- Хакерите сканират. Те ползват различни инструменти, с които се правят и пенетрейшън тестовете, за да видят каква е узвимостта. И ако видят, че има някакви дупки, образно казано, за пробив в системата, могат да влязат. Но ако тези дупки се откриват навреме и се запушват, те няма как да влязат или поне това ще е изключително трудно и ще могат да го направят само единици хакери на високо ниво.
- Службите и МВР бързо намериха хакера, как се случва това, какви следи остават?
- Има софтеури, които могат да проследят това. Ние също веднага предложихме нашата помощ. Това са системи за компютърна криминалистика. Може да се хване всичко – дали дадена информация е изпратена на мейл, или е изнесена на флашка, това се проследява.
В случая не е станало нищо фатално, защото са взети ЕГН-та или подобна информация, която доскоро дори свободно се разпространяваше.
Но е показателна, че е настъпил моментът държавата да обърне внимание на проблема, защото следващата атака може да е много по-сериозна. В света се води кибервойна и ние няма как не бъдем засегнати. Трябва да започнем да взимаме мерки, с които да си вдигнем нивото на защита.
- Как ще коментирате първоначалните коментари, че става дума за руски хакери и участие на руски сайтове?
- Има една държавна институция – СЕРП, която следи киберпространството – айпи адресите, къде има атаки, откъде се атакува. Например, за 2017 г. ако са били 370 хиляди атаките, през 2018 г. скачат на 680 хиляди, а сега само от началото на годината до май месец са 1,7 млн. атакуваните айпита в България.
Това показва, че тепърва се развиват такива хакерски действия и затова държавата и фирмите трябва да вземат мерки. И е достатъчно само да зпазват този закон, който достатъчно добре е определил какно трябва да се направи.
- А предвидените наказателни мерки дали са достатъчно. За подобна атака, като тази в НАП, се предвиждат от 5 до 8 години затвор, докато в САЩ например киберпрестъпленията се третират като тероризъм?
- Законодателството в САЩ е много по-жестоко, защото те отдавна водят тази война. Има и присъди от по 200 години.
Реално подобни атаки с източване на данни могат да се третират и като рекет, защото данните могат дасе ползват за много неща. Затова такива престъпления са сериозни.
- Покрай този случай доби популярност термина „бели“ хакери, правилен ли е той или трябва да се каже „етичен“ хакер?
- И двата не са грешни. Хакерите се делят на черни и бели, като има и сиви, които са между едното и другото. Сивите хем помагат, но в същото време искат нещо в замяна.
Черните вредят и се делят на няколко други групи – политически атаки, финансови, рекет и т.н.
Белите са тези, които са етични имат международен серфитикат – сертифициран етичен хакер. Те защитават, правят тестове, помагат да се подобри сигурността.
Иначе всички хакери използват едни и същи инструменти. В единия случай обаче е, за да се защитава мрежата, а в другия е, за да я нападаш.
