Ljudi koriste isto korisničko ime i lozinku na različitim internet stranicama...

Izvor: AP Photo

Šteta zbog računarskog kriminala, samo u Nemačkoj, procenjuje se na više od 20 milijardi evra, a u svetu na gotovo 300 milijardi. Sa druge strane, većina neovlašćenih upada u tuđe računare mogla bi da se spreči.

Kod većine korisnika postoji svest o opasnosti od hakerskog upada u njihov računar. Sumnjičavi su ako elektronskom poštom dobiju neku spam poruku. Znaju da bi u dodatku mogao da bude neki virus ili trojanac. Ali, zaista opasni napadi na tuđe računare danas se događaju na drugi način, kaže stručnjak za računarsku informatičku Ben Vilijams. On za firmu NCC-Group sprovodi takozvane penetracione testove na programima najpoznatijih proizvođača. Pokušava, dakle, da kao haker „upadne" u programe. I to mu gotovo uvek uspeva. Na primer na servere elektronske pošte.

„Kao haker moram tačno da znam koji je proizvod instaliran na serveru i koju internet-adresu ima taj proizvod. Do tih informacija mogu da dođem tako što pošaljem elektronsku poruku korisnicima koji uopšte ne postoje. Kad ona dođe do firme, prolazi kroz zaštitne filtere, ukoliko ne bude prepoznata kao opasnost", kaže Vilijam.

Poruka upućena nepostojećem korisniku tako prolazi do internog mejl-servera, a onda je on šalje nazad pošiljaocu jer ne može da pronađe primaoca. „Kad se elektronsnska poruka vrati, pogledam podatke koji su u njoj". Trik se sastoji u tome što je poruka poslata unutar sistema, od servera do servera. I svaki je server u naslovu (headeru) ostavio svoje informacije. „Tako mogu da otkrijem adrese pojedinih firewallova, e-mail-filtera i tako dalje, o kakvim se proizvodima radi i koja je verzija instalirana. Sve to mi pomaže u planiranju napada", kaže Vilijams.

Za ugrožene firme postoji rješenje: elektronska poruka upućena nepostojećem korisniku ne bi smela da prođe kroz spoljnu granicu računarske mreže tog preduzeća. A to je moguće samo ako je tamo već instaliran filter koji prepoznaje koji korisnici zaista postoje i koji ne propušta poruke upućene nepostojećim korisnicima.

Ali to najčešće nije slučaj pa Vilijams dolazi do željenih informacija. Tako može da nastavi napad. Sledeći korak je phishing-napad. Za to koristi činjenicu da administratori elektronske pošte svoje servere po pravilu opslužuju preko jedne internet-stranice. Zato mora da ih vešto zavara. „Moram da navedem nekog internog korisnika da klikne na link u elektronskoj poruci. Njega sam posebno napravio za tog korisnika. On bi trebalo da poseti internet-stranicu koju sam tako programirao da pomaže u napadu na određeni proizvod."

Iza lažne internet-stranice krije se mali nevidljivi program – takozvani skript. Ako je administrator slučajno u isto vreme ulogovan na mejl-server, taj skript napravi poseban ulaz za hakera. Ali, kako Vilijams navede načelno vrlo sumnjičavog administratora da klikne na neki link?

„Mogu na primer da se žalim da mi njegov sistem šalje previše spema", objašnjava taj haker po dužnosti svoju taktiku. „Ili mogu da tvrdim da pokušavam da pošaljem elektronsku poruku njegovom odeljenju za marketing koje nikako ne stižu. I onda napišem: 'Ovde su dodatne informacije'. Ako administrator klikne na taj link, ja preuzimam kontrolu nad njegovim filterom za elektronsku poštu."

Još jednostavnije je uradila grupa hakera „LulzSec", bliska anarhističkoj grupi „Anonymous". „LulzSec" je 2011. godine upala u računare brojnih finansijskih i vladinih institucija, među kojima su bili i američki Senat i tajna služba CIA.

„U gotovo svim slučajevima koje sam video, radilo se o višestrukom korišćenju istih šifara. Ljudi koriste isto korisničko ime i šifru na različitim internet-stranicama", kaže Majkl Mekendrjus, danas privatni savetnik za bezbednost. On je svojevremeno, kao specijalni agent FBI, gonio hakere iz grupe „LulzSec". Iznenadilo ga je to koliko korisnici različitih računarskih sistema olakšavaju hakerima posao, piše DW portal.

Ako na primer neki policajac istu šifru koristi za forum svog sportskog društva, koji je slabo zaštićen, kao i za pristup osetljivim podacima o nekoj istrazi, on hakerima olakšava posao. „Nažalost, globalni problem je to što su ljudi pomalo lenji", kaže Mekendrjus. „Lakše je da se zapamti jedna nego 12 šifara. Ako za sve stranice koristim samo jednu, to je, istina, meni laške, ali isto tako i kriminalcima."

Tako je bilo i sa hakerima „LulzSec: „čim su prodrli u jedan server elektronske pošte, iskoristili su još jednu slabu tačku. „Napadači su nalogu elektronske pošte izdali komandu: 'Sve što dođe na ovu adresu pošalji dalje'. Oni uopšte više nisu morali da budu unutra u sistemu." Tako su hakeri automatski dobijali kopije svih elektronskih poruka koje su slate dotičnom korisniku na bilo koji nalog.

I tako su lako došli do novih šifara. Na mnogim stranicama, naime, šifra može da se promeni samo ako se navede elektronska adresa. „Mnoge firme zato zahtevaju da se odgovori na još neka pitanja", napominje stručnjak za bezbednost Mekendrjus. „Ali, odgovore na mnoga od tih pitanja hakeri lako mogu da pronađu. Gde ste odrasli? Koje je devojačko ime vaše majke? Ime kućnog ljubimca? Sve to može da se pronađe ako je to korisnik objavio na internetu."

To je razlog zašto takve informacije ne bi trebalo objavljivati na „Fejsbuku" ili na porodičnom blogu. Oprez je glavna stvar na internetu, kaže Ben Vilijams. Ali, on nema iluzija, jer, ljudi su ipak samo ljudi. „Kod phishing-napada koje sam sproveo, uvek mi je uspevalo da navedem članove IT-odeljenja da izvedu kodove ili da čak otkriju šifre. To što neko radi u informatičkom odeljenju ne znači da ne može da se nasamari".