Online krádeže citlivých údajů: dobrý byznys pro hackery

Tento sílící trend několika posledních let potvrzují průzkumy – s krádeží důvěrných informací má zkušenost každý desátý obyvatel západní Evropy a USA. Krádeže identit a citlivých informací nejsou na Internetu ničím novým. Důvěrná osobní data jsou pro zloděje vždy vítaným artiklem, ať už je prodají jako zboží, nebo je využijí k vlastnímu obohacení.

Krádeže identity a citlivých údajů patří mezi nejzávažnější útoky prováděné online. Podle červnové zprávy americké federální služby Internet Crime Complaint Center, IC3, mezi nejčastější problémy na webu patří krádeže identity, zneužití platební karty či bankovního účtu. Střední výše nahlášené škody je podle IC3 270 dolarů. Údaje vycházejí z podnětů, které byly nahlášeny IC3 podvedenými uživateli.

Krádež důvěrných informací může mít mnoho podob

Samotná virtuální identita, kterou uživatelé používají v prostředí Internetu, není nebezpečná z hlediska ochrany osobních údajů. Nebezpečí vzniká tehdy, když chce někdo záměrně získat informace za účelem vydávání se za někoho jiného.

V elektronickém světě se krádeží identity rozumí zejména neoprávněné užívaní nekalým způsobem získaných hesel, kódů, uživatelských jmen, případně i bezpečnostních předmětů včetně platebních karet a elektronických průkazů. Smyslem je provedení transakce – elektronické komunikace jménem jiné osoby, zpravidla za účelem obohacení (převod finančních prostředků, získání chráněných informací), ale i například za účelem poškození dobrého jména (použití firemního e-mailu).

Nejcitlivěji je tato problematika vnímána ve finančním sektoru, kde terčem zájmu útočníka jsou přihlašovací a ověřovací údaje s cílem neoprávněně manipulovat s finančními prostředky oběti. To ovšem neznamená, že by se jiných oblastí problém netýkal. Stejně tak se může jednat o možné zneužití přístupu k uživatelským účtům poskytovatelů telekomunikačních služeb, utilit, ale i databázových celků veřejné správy (katastry, evidence) s dálkovou formou přístupu. Samostatnou kapitolou by bylo zneužití elektronického podpisu při podání (daňového přiznání, správní řízení), podvržení právních úkonů činěných elektronicky, uzavírání spotřebitelských smluv a specificky smluv o finančních službách prostředky elektronické komunikace na dálku. Jedná se o vážná rizika v oblasti bezpečí klientských dat či finančních prostředků, která ovlivňují i důvěryhodnost elektronické komunikace.

V dnešní době sféra hackingu dospěla do dalšího stupně: hackeři mohou hledat důvěrné informace ve veřejně přístupných online profilech uživatelů. Lidé tráví stále více času v blozích, online komunitách a na stránkách společenských sítí, jako jsou MySpace, Facebook, Hi5 nebo Tagged. Uživatelé si zde tvoří vlastní profily a často v nich prezentují své koníčky, domácí mazlíčky, oblíbené celebrity nebo týmy – a příslušná slova se běžně používají také jako hesla. Uživatelé sociálních sítí jsou zvyklí na neformální komunikaci a nedovedou posoudit legitimnost komunikující strany nebo např. hypertextových odkazů a ve své důvěřivosti se mohou stát obětí podvodu.

Podobně tomu může být při účasti v online diskusních skupinách, blozích nebo při komunikaci přes instant messengery, jako je ICQ či Jabber. Tato prostředí přinášejí pocit nezávazné konverzace, a mohou tak být zdrojem citlivých informací. Někdy i zdánlivě základní informace mohou hackerům stačit ke krádeži citlivých osobních údajů. Tak jako v reálném světě záleží na nás, komu otevřeme dveře, s kým se bavíme a komu důvěřujeme, záleží i v online světě na nás, s kým chceme komunikovat a jaké informace mu poskytneme. Online svět je svět tak trochu pro sebe a citlivé osobní údaje do něj nepatří.

Nelze nezmínit i další formu získání důvěrných informací – proniknutí do firemní sítě zvenku nebo ztrátu firemních notebooků apod.

Útočníci využívají celou škálu nástrojů

Způsobů, jak odcizit počítačovou identitu, je hodně. Útočníci využívají rozmanité prostředky, od konvenčních hrozeb, jako jsou viry a trojské koně, až po spyware či robotické sítě v kombinaci s technikami sociálního inženýrství. Mezi nejčastěji používané cesty, jak odcizit snadno a rychle osobní údaje, patří škodlivý kód typu keylogger, který monitoruje stisky kláves. Podle společnosti McAfee množství těchto kódů vzrostlo od roku 2004 do roku 2006 o 250 procent.

Dalším velmi oblíbeným způsobem, jak ukrást osobní údaje uživatelů Internetu, je phishing, resp. pharming. V souvislosti s tím se zvětšuje množství falešných webových stránek (zejména bankovních a nákupních webů) a rozšiřuje se mnoho typů škodlivého sociálního inženýrství – ovlivňování a přesvědčování lidí s cílem oklamat je a navodit situaci, v níž člověk jedná jinak než za normálních okolností. Podvodníci mají své aktivity dobře promyšlené a mohou úspěšně používat takové způsoby manipulace, které zatím nejsou uživatelům příliš podezřelé.

Efektivní je i pouhé pasivní sledování uživatelů a jejich zvyklostí speciálním softwarem – spywarem a využití těchto znalostí k vlastnímu prospěchu.

Ukradené „kreditky“ lze koupit za dolar

Kolik bude stát vaše odcizená „identita“, pokud bude nabídnuta na specializovaných serverech, kde se s kradenými údaji obchoduje? Možná budete zklamáni, jedná se o levné zboží. Získat a koupit důvěrné informace není těžké ani drahé. Firma Symantec odhaduje, že zločinci prodali během druhého pololetí loňského roku skoro pět tisíc odcizených čísel kreditních karet za cenu od jednoho do šesti dolarů.

Počítačoví zločinci dále nabízejí zcizená čísla amerického sociálního pojištění, kódy PIN ke kreditním kartám, seznamy funkčních emailových adres nebo čísla bankovních účtů. Další položkou na prodej jsou např. přístupová data ke kontům služby PayPal. Na ruském serveru brute.ru se dají koupit uživatelská čísla ICQ, v nabídce jsou i poměrně zajímavá unikátní ICQ čísla. Více než polovina specializovaných serverů, které se specializují na prodej osobních údajů, se nachází v USA, dále pak ve Švédsku a Kanadě.

       

Závěr

Hackeři pracují méně nahodile a vyvíjejí stále nové způsoby ve snaze zcizovat údaje, které mohou zneužít ve svůj prospěch. Počet případů ukradených informací stoupá úměrně s rostoucími službami na Internetu. Předpovědi odborných firem varují – útoky budou v budoucnu sofistikovanější a cílenější.

Existuje nějaké řešení, jak se proti tomu bránit? Možností je několik, od použití vhodných technologických nástrojů až po použití obyčejného selského rozumu. Opatrné, neukvapené a promyšlené jednání na Internetu by mělo být samozřejmostí. Pokud se budete držet dobře známého hesla „dvakrát měř, jednou řež“, riziko krádeže identity bude podstatně menší.