Первые методы взломов появились еще до эпохи интернета, их придумали фрикеры, которых иногда даже называют дедушками современных хакеров. Правда, взламывали они не компьютерные, а аналоговые телефонные сети. По легенде, первый фрикер — Джон Дрейпер — нашел в пачке кукурузных хлопьев Captain Crunch свисток, тональность которого полностью совпадала с тоном, используемым аналоговыми телефонными аппаратами для передачи друг другу сигналов. С помощью свистка Джон научился имитировать систему команд, чтобы бесплатно звонить из уличных автоматов в соседние города и штаты.
Спустя некоторое время Дрейпер вместе со своими друзьями Стивом Возняком и Стивом Джобсом изобрели и даже наладили продажу Blue Box — аппарата, который имитировал тоновые команды и позволял пользоваться служебными линиями связи. Например, с его помощью любой мог позвонить в Белый дом. Когда в выпуске Esquire за октябрь 1971 года вышла статья «Секреты маленькой синей коробки», многих последователей Дрейпера арестовали. Однако на тот момент никаких законов о защите информационных систем не существовало, поэтому всех их вскоре освободили.
Поначалу термин «хакер» совсем не ассоциировался с преступниками. В 60-х хакерами называли топовых программистов, которые легко могли внедриться в ПО, чтобы исправить ошибку операционной системы, сбросить забытый пользователем пароль или улучшить производительность программы. Существовал неписаный закон: хакер не должен причинять вред. Все изменилось в 80-е, когда несколько подростков из клуба бойскаутов IBM, назвавшиеся 414s, взломали Лос-Аламосскую национальную лабораторию в Нью-Мехико (занималась ядерными исследованиями), онкологический центр в Нью-Йорке, школу Милуоки и несколько других государственных учреждений. О парнях, которые хакнули серьезные правительственные объекты, сидя в гараже, тут же узнали все — они попали на первые полосы газет и под пристальный контроль ФБР. Подростки признали свою вину и согласились, что взломы были опрометчивым юношеским поступком, поэтому им удалось отделаться всего двумя годами условно и штрафом в 500 долларов.
А вот реальный срок за компьютерное преступление впервые присудили легендарному Кевину Митнику. В 1983-м этот одаренный юноша из США взломал сеть Пентагона и противовоздушной обороны Колорадо, получив доступ к предшественнице интернета — сети ARPANet, которую использовала армия, крупные корпорации и университеты. Митнику дали шесть месяцев исправительной колонии для молодежи. После выхода на свободу он удалил материалы о своей судимости из баз данных правоохранительных органов и увел все деньги со счета судьи, вынесшего ему приговор. Казалось бы, на этом можно остановиться, но Митник продолжил нарушать цифровые границы и только после второго тюремного срока полностью перешел на светлую сторону, став экспертом по информационной безопасности.
В арсенале современных хакеров множество самых изощренных инструментов и методов взлома. Они организуются в преступные группировки, используют вредоносные ссылки, могут месяцами шпионить за своими жертвами и даже получать доступ к сети с помощью умных устройств. Их интересует любая персональная информация, которую пользователь оставляет в сети, включая имя, дату рождения, адрес проживания, геолокацию, биометрию, личные и рабочие файлы. Из этих данных киберпреступник может составить распорядок дня пользователя, узнать его интересы и предпочтения, круг близких знакомств и даже получить доступ к инфраструктуре компании, в которой работает жертва.
Хакнуть Uber и признаться службе поддержки
В сентябре 2022 года юный хакер взломал компанию Uber и получил доступ к исходному коду сервиса. При этом преступник не прятался, а напрямую в рабочем чате в Slack рассказал о том, что в компании произошла утечка данных. Участники диалога не восприняли это сообщение всерьез и, вместо того чтобы позвонить в службу безопасности, стали отвечать на сообщение смайликами и насмехающимися реакциями.
Кроме того, хакер рассказал, что ему 18 лет и он проник в сервис от скуки. В ходе расследования главным подозреваемым стал 17-летний парень из Оксфордшира (Лондон), помимо кибератаки на Uber, ему предъявили обвинения во взломе компании Rockstar Game. Незадолго до инцидента с сервисом такси в сеть утекли скриншоты и видеоролики игрового процесса GTA 6. Пока неизвестно, удалось ли правоохранителям доказать его вину, но сам хакер отрицает содеянное.
Эксперт курса «Специалист по информационной безопасности» в «Нетологии» и руководитель направления обеспечения информационной безопасности внутренних активов
«Представьте молодого студента с неокрепшим разумом, которому в институте рассказывают про способы взлома, подбора паролей, криптографии. И тут же говорят: „Так делать можно только на работе и только на виртуальной машине“. Естественно, ему приходит в голову проверить, как это работает на практике, желательно в реальных условиях. Такие экспериментаторы — первая большая категория тех, кто использует знания в информационной безопасности, но преступает черту, не задумываясь, что эта черта вообще есть и за ее нарушение может грозить уголовное наказание», — комментирует Ирина Подборская.
Такие хулиганы не преследуют никакой «философской» цели, кроме желания насолить и посмеяться, а их проделки редко удаются, но по масштабу, резонансу и зрелищности иногда затмевают другие киберпреступления.
Мошенничество с NFT-обезьянами
Все тем же летом 2022 года под удар попали любители знаменитых NFT-обезьян. Хакеры взломали официальный аккаунт компании BAYC и разместили фишинговый пост, который призывал пользователей регистрироваться на новом сайте, где им достанется бесплатный NFT-рисунок. Правда, вместо подарка доверчивые юзеры обнаружили кражу всех своих криптовалютных ресурсов на общую сумму в 3 млн долларов.
«Хакеры часто провоцируют жертв на необдуманные действия. В этом случае пользователи клюнули на нечто ценное, что отдают бесплатно. Бывает, что мошенники от лица родственника или знакомого просят перевести деньги или где‑то проголосовать. В итоге доверчивый пользователь забывает о цифровой гигиене и попадает в ловушку, — добавляет Подборская. — Чтобы обезопасить себя, нужно в первую очередь убедиться, что по ту сторону экрана не самозванец. И, конечно, установить хороший антивирус, который реагирует на подключение различных макросов и активацию дополнительных скриптов».
Арсенал цифровых жуликов разнообразен: рассылка писем с опасными ссылками (фишинг), маскировка под сотрудников безопасности, коллег, родственников или друзей и прочие хитрости. В итоге жертвы, сами того не зная, помогают преступникам обворовать себя. Обманом и психологическими манипуляциями киберпреступники добывают у пользователей необходимую информацию. Такой метод называется социальная инженерия, его злоумышленники используют в 88% своих атак.
Шантаж за секреты поп-див
В 2020 году группа хакеров REvil украла у юридической фирмы Grubman Shire Meiselas & Sacks 756 гигабайт документов и потребовала в обмен на молчание 21 млн долларов. В то время клиентами компании были Бритни Спирс, Джей Зи, Ники Минаж, Леди Гага, Элтон Джон, Роберт Де Ниро и многие другие. В результате взлома хакеры обнаружили соглашения о неразглашении, контракты, а также личные переписки адвокатов со своими звездными подопечными. Фирма отказалась от выкупа, а хакеры, разозлившись, повысили сумму до 42 млн долларов и начали публиковать украденную информацию. До сих пор неизвестно, какие последствия репутации компании нанес этот шантаж. Но история REvil закончилась в январе 2022 года, когда их арестовали сотрудники ФСБ. В Москве, Санкт-Петербурге, Московской, Ленинградской и Липецкой областях задержали 14 членов этой банды.
«Я не знаю ни одной истории, где финансы решили бы вопрос шантажа, поэтому главное — ни в коем случае не переводить деньги, — отмечает Подборская. — Как правило, за первой транзакцией следует просьба заплатить еще больше. Если столкнулись с вымогателем, после того как пройдет первая шоковая реакция, нужно сразу обратиться в компетентные органы, которые попытаются выяснить, сколько злоумышленников, откуда они работают и какими методами пользуются».
Шантажировать могут не только публикацией внутренних документов, но и Роскомнадзором. Некоторые преступники делают «склейки» из старых баз персональных данных, утекших в сеть, и грозят руководству компаний, что отправят информацию об утечке в компетентные органы. В этом случае хакерам совершенно не важно, насколько актуальна информация из их документов, потому что многим компаниями проще заплатить, чем разбираться с Роскомнадзором и другими регуляторами — прокуратурой и ФСБ.
Большой криптокуш
История крупнейшей кибератаки на криптовалютную биржу длилась целых шесть лет и закончилась в 2022 году. Еще в далеком 2016-м злоумышленникам удалось похитить биткоинов на 4,5 млрд долларов с гонконгского онлайн-сервиса Bitfinex. С адреса-получателя украденных средств небольшие суммы выводились через один из крупнейших маркетплейсов даркнета AlphaBay. После закрытия этого сервиса правоохранительные органы получили доступ ко внутренним журналам транзакций, что и помогло выйти на подозреваемых.
За многомиллиардной кражей стояла молодая супружеская пара: он — российский программист, криптоинвестор и техностартапер из Кремниевой долины, а она — американская селф-мейд-предпринимательница с собственным бизнесом, агентством копирайтинга. Улов этих partners in crime был таким огромным, что за шесть лет они успели отмыть только 20% награбленного. В их нью-йоркской квартире обнаружили 40 тыс. долларов, более 50 запароленных электронных устройств и сумку с надписью «одноразовые телефоны». В ходе следствия выяснилось также, что пара накануне поимки собиралась переехать в Россию.
«Выявить злоумышленников удается очень редко, особенно если работала группировка. Надежда остается только на то, что они допустят ошибку, а правоохранительные органы не спустят все на тормозах, — комментирует Подборская. — К тому же, когда дело касается криптовалюты, возникают дополнительные сложности, ведь ее невозможно отследить, у нее нет истории принадлежности к какому‑то конкретному человеку, и мошенник с легкостью может вывести ее, не оставив цифрового следа».
Легче заранее оградиться от действий хакеров и принять меры для защиты собственных данных, чем потом искать злоумышленников. Во время взломов опытные киберпреступники прячут концы, чтобы запутать группу информационной безопасности: очищают журналы посещений, удаляют метаданные и другие сетевые артефакты, меняют информацию критически важных документов, маскируя их, чтобы никто не заметил подвоха.
Взлом Rutube
В 2022 году хакерская группировка Anonymous атаковала Rutube. В результате взлома было поражено более 75% баз данных и инфраструктуры основной версии сайта и 90% резервных копий и кластеров для восстановления баз данных. Казалось, что видеохостинг уже не восстановить, но спустя трое суток «простоя» он вновь заработал.
Anonymous, самые известные в мире хактивисты, — цифровые анархисты, преступники, цель которых не заработать денег, а донести свою идею: будь то политическая философия, защита прав человека и борьба за социальную справедливость или обеспечение свободы информации. Одни считают их Робин Гудами и идеалистами, другие — кибертеррористами. За время своего существования Anonymous взломали Visa, Mastercard, Amazon, PlayStation Network, PayPal и даже сайт Ватикана.
Современные хактивисты борются за анонимность и конфиденциальность частных лиц в интернете и при этом сражаются с правительствами и крупными корпорациями, воруя данные, чтобы показать всему миру их «настоящее лицо». Кроме DDoS-атак, способных парализовать работу сотен людей, они используют дефейс — публикуют послания на взломанных сайтах с призывами обратить внимание на ту или иную проблему.
«Атакой на Rutube Anonymous показали, что попытки управлять информацией бесполезны, выступили цифровыми анархистами, заявив, что необходима абсолютная свобода слова, — говорит Подборская. — Понятно, что большинство молодых людей согласны с этим. Благодаря им уже 20 лет группировка развивается, расширяется и привлекает все больше новых последователей».
Белые хакеры: кто стоит на страже цифровых границ?
Выявить взлом и защититься от него так сложно, что зачастую для поимки хакера нужен еще один хакер. Принцип «думай как преступник» отлично описывает занятие специалистов по информационной безопасности: они точно так же ищут «дыры» в безопасности сетей, но, в отличие от киберпреступников, работают по контракту, ничего не крадут и никого не шантажируют. Вот лишь некоторые виды белых хакеров.
Bug Bounty (от англ. «охотник за ошибками») — выявляет «уязвимости нулевого дня» — угрозы, которые пока неизвестны разработчикам и отсутствуют в банках возможных рисков. Заказы для таких специалистов публикуются на специальных платформах: HackerOne, Bugcrowd, SafeHats и Synack.
Pentester (от англ. «тестировщик на проникновение») — при помощи определенных средств и методологий проверяет, какие распространенные уязвимости есть в инфраструктуре компании. Специалистам баг-баунти платят только за конкретную найденную уязвимость, а классическим пентестерам за комплексную проверку системы безопасности.
Forensics (от англ. «криминалист») — дорогостоящий специалист, который занимается анализом произошедших инцидентов. Он узнает, какие системы безопасности были задействованы, что пострадало, как купировать угрозу и восстановить данные.
Специалисту по информационной безопасности недостаточно умения кодить на одном из языков программирования. Важно постоянно следить за изменениями в законодательстве и быть хорошим технарем, чтобы понимать как правовые меры соотносятся с определенными сетевыми технологиями, вовремя реагировать и грамотно предотвращать угрозы.
Зарплата белого хакера в среднем начинается от 120 тыс. рублей в месяц и доходит до нескольких сотен тысяч долларов в год. Крупные корпорации готовы платить еще больше. Дело не только в сложности работы, но и в дефиците кадров в данной области. Высокий спрос связан не столько с оттоком ИТ-специалистов, сколько с участившимися случаями кибератак: лишь за первую половину 2022 года в России произошло порядка 60 крупных утечек персональных данных, из‑за этого в сети появились более 230 млн записей с личной информацией граждан. Среди компаний, пострадавших от хакеров, были операторы связи, онлайн-магазины и службы доставки, медицинские центры, онлайн-кинотеатры и видеохостинги, авиа- и ж/д перевозчики и другие.
