CYBERPUŁAPKA? ESTONIA, GRUZJA, POLSKA. (Aleksander Ścios)

"

Ten cytat z kwietnia 2007 roku pochodzi z wystąpienia Samiego Saydjari, szefa organizacji Professionals for Cyber Defense, przed Amerykańską Komisją Bezpieczeństwa Wewnętrznego. Wystąpienie Saydjari'ego miało miejsce w przededniu wydarzeń, które zwróciły uwagę świata na zagrożenie płynące z cyberprzestrzeni. Kilka dni później, 27 kwietnia 2007 roku ofiarą cybernetycznych ataków na niespotykaną dotąd skalę stała się Estonia.

Zmasowane cyberataki były odwetem za przeniesienie pomnika Żołnierzy Armii Czerwonej z centrum Tallina na podmiejski cmentarz wojskowy. Gdy w całym kraju wybuchły zamieszki, inspirowane przez mieszkających w Estonii Rosjan, sieć teleinformatyczna Estonii została zaatakowana i doprowadzona do stanu krytycznego. Zablokowano strony rządowe, kancelarii prezydenta, głównych gazet, padły systemy bankowe oraz wewnętrzna sieć estońskiej policji. Estończycy zostali odcięci od dostępu do informacji w Internecie, a także, od dostępu do banków i pieniędzy. Skutkiem ataku cybernetycznego było całkowite sparaliżowanie bankomatów, poczty elektronicznej, portali internetowych i sieci komórkowych. Zmusiło to rząd Estonii do przejścia na porozumiewanie się za pomocą łączności radiowej.

Funkcjonowanie administracji państwowej, w dużym stopniu zinformatyzowanej stanęło pod znakiem zapytania. Według słów estońskiego ministra obrony: "pierwszy raz zdarzyło się, żeby cyberataki stanowiły poważne zagrożenie dla bezpieczeństwu całego narodu." Władze Estonii zastanawiały się nad odwołaniem do artykułu 5. Traktatu Waszyngtońskiego, mówiącego o wzajemnej pomocy państw członkowskich NATO w razie ataku na terytorium jednego z nich. Premier Estonii Andrus Ansip pytany o przyczyny zdarzenia stwierdził: „komputery, które wykorzystano w ataku, miały adres administracji prezydenta Putina. Akcja przeciwko Estonii była doskonale zsynchronizowana – w tym samym czasie demonstranci atakowali naszą ambasadę w Moskwie i przedstawicielstwo linii lotniczych. A oficjalna delegacja rosyjska, która odwiedziła Tallin, stwierdziła, że rząd Estonii powinien się podać do dymisji.”

Zjawisko cyberwojny, czyli wykorzystania Internetu jako przestrzeni agresji motywowanej politycznie, nie jest niczym nowym. Prócz Estończyków, przekonali się o tym również Gruzini, gdy rosyjski atak na ich system teleinformatyczny, zsynchronizowany z atakiem militarnym pozbawił kraj możliwości korzystania z Internetu.

Rosyjscy hakerzy złamali wówczas zabezpieczenia Amerykanów, aby w ten sposób zablokować najważniejsze gruzińskie serwery. Na wznowienie 20 stron internetowych gruzińscy informatycy potrzebowali tygodnia. W tym czasie wojska rosyjskie posunęły się w głąb Gruzji, wygrywając nie tylko pod względem militarnym, ale także informacyjnym, gdyż rząd w Tbilisi nie mógł poinformować świat o bieżących wydarzeniach.

Ataki cybernetyczne w celach militarnych znane są już od lat 90. Podczas operacji Pustynna Burza w Zatoce Perskiej hakerzy zdołali złamać zabezpieczenia komputerów należących do Pentagonu. Ich łupem padły wówczas plany strategiczne ataku na Iran. Sprawców nigdy nie złapano. 19 września 1995 roku haker złamał zabezpieczenia komputerów francuskiej marynarki wojennej i wykradł sygnatury akustyczne. Znaczniki te pozwalały rozpoznać każdą pływającą jednostkę francuską. Jeszcze groźniej zrobiło się w roku 2001, gdy haker, łamiąc zabezpieczenie, uzyskał dostęp do sieci amerykańskiej marynarki wojennej. Włamywacz przejął kontrolę nad informacjami dotyczącymi systemu GPS oraz obroną strategiczną USA. Zdobył także tajne kody umożliwiające kierowanie statkami kosmicznymi, satelitami oraz pociskami. Nigdy nie ujęto osoby odpowiedzialnej za to włamanie.

Tylko w ub.r. hakerzy włamali się do tak pilnie strzeżonych rejonów sieci jak system energetyczny USA i komputery Departamentu Obrony, zaangażowane w Joint Strike Fighter (projekt budowy nowego samolotu wielozadaniowego wart 300 mld dol.). W amerykański Dzień Niepodległości, 4 lipca hakerzy przypuścili podobny atak jak w Estonii i Gruzji na serwery Białego Domu, Departamentu Bezpieczeństwa Wewnętrznego, Narodowej Agencji Bezpieczeństwa, Giełdy Nowojorskiej, Nasdaq oraz takich firm jak Amazon i Yahoo.

Państwa Zachodu zdają sobie sprawę z realnych zagrożeń, jakie niesie cyberwojna. Opublikowany w marcu br. Raport komisji ds.UE brytyjskiej Izby Lordów ostrzega przed atakiem cybernetycznym i postuluje ścisłą współpracę z NATO w celu przygotowania się na odparcie ataku ze strony Rosji i Chin. Dokument uwypukla niebezpieczeństwo i skutki ataku na sieć internetową, telefonię komórkową i bankowość.

Podczas cybernapaści na Estonię i Gruzję, rosyjscy agresorzy posłużyli się brutalną, lecz skuteczną formą ataku o nazwie DDoS (Distributed Denial of Service). Polega ona na zalewaniu upatrzonych serwerów gigantyczną ilością danych, co powoduje ich przeciążenie, a w efekcie doprowadza do blokady. Przypadek Estonii został potraktowany z całą powagą przez dowództwo NATO. W konsekwencji w Estonii powołano instytucje ds. ochrony cybernetycznej - Cooperative Cyber Defence Centre of Excellence – nazywaną w Tallinie K-5., co miało zapobiec atakom w przyszłości.

Warto zauważyć, że w przededniu tragedii smoleńskiej 10 kwietnia, również w Polsce miały miejsce niepokojące zdarzenia, które ze względu na rozmiar i charakter wolno łączyć z doniesieniami o atakach cybernetycznych.

Na dzień przed katastrofą – 9 kwietnia doszło do poważnych awarii teleinformatycznych w dwóch największych bankach - PKO BP i Pekao SA. Tego samego dnia problemy z bankowością internetową zanotował również Alior Bank. Przez kilka godzin klienci tych banków byli pozbawieni dostępu do swoich kont internetowych.

Ponowna awaria na wielką skalę nastąpiła trzy dni później, w poniedziałek 12 kwietnia. Przestały działać serwisy Pekao i Alior Banku. Choć władze Alior Banku twierdziły, że awaria wystąpiła tylko w czasie 30 minut, z doniesień internautów wynikało, że problemy z logowaniem do serwisu istniały przez cały dzień. W oficjalnych komunikatach banki starały się raczej bagatelizować problem, nazywając zdarzenia „chwilowymi niedogodnościami”. Klientom nie wyjaśniono wówczas przyczyn awarii.

Na trzy przed katastrofą prezydenckiego samolotu, 7 kwietnia 2010 r. na stronach internetowych Rządowego Zespołu Reagowania na Incydenty Komputerowe CERT.GOV.PL pojawił się komunikat o atakach ukierunkowanych na pracowników instytucji administracji publicznej. CERT.GOV.PL apelował o zachowanie nadzwyczajnych środków ostrożności przy przeglądaniu poczty internetowej zatytułowanej „The annual Cybersecurity meeting on April 05-08”, której nadawcy podszywając się pod Ministerstwo Obrony Estonii, przesyłali plik PDF, które po otwarciu wykorzystując nie załatane luki w programie Adobe Acrobat Reader infekowały komputer złośliwym oprogramowaniem.

24 kwietnia 2010 roku pojawiła się informacja o poważnych problemach z dostępem do usług operatora abonentów sieci komórkowej Era. Awaria sieci nadajników miała dotyczyć zachodnio-południowej Polski, jednak sygnały o problemach z nawiązywaniem i odbieraniem połączeń napływały z całej Polski. Paraliż telekomunikacyjny, wywołany awarią trwał przez cały dzień.

Ponowne kłopoty z bankowością internetową zaistniały na początku maja br. i dotknęły miliony klientów m.in Banku CitiHandlowego, ING Banku Śląskiego, Kredyt Banku, mBanku oraz Polbanku. Również w przypadku tych awarii klientów zapewniano, że „przejściowe utrudnienia w realizacji transakcji nie mają wpływu na bezpieczeństwo środków”.

Choć żaden z banków nie ujawnił prawdziwych przyczyn tak spektakularnych zdarzeń, można podejrzewać, że doszło do ataku typu DDoS – czyli zasypania komputerów bankowych olbrzymią ilością pakietów internetowych. Do tego celu służą najczęściej komputery, nad którymi przejęto kontrolę przy użyciu specjalnego oprogramowania. Atak rozpoczyna się, gdy komputery zaczynają jednocześnie zasypywać system ofiary fałszywymi próbami skorzystania z usług, jakie oferuje. Dla każdego takiego wywołania atakowany komputer musi przydzielić pewne zasoby, co przy bardzo dużej ilości żądań prowadzi do ich wyczerpania, a w efekcie do przerwy w działaniu lub zawieszenia systemu.

Tę właśnie metodę ataku zastosowano w Estonii i w Gruzji, powodując paraliż najważniejszych serwerów..

Nie wiemy – w jakim stopniu poważne awarie sieci bankowych i telekomunikacyjnych wolno łączyć z tragedią z 10 kwietnia. Jeśli natomiast wykluczymy przypadkowy charakter zdarzeń, można się zastanawiać – czemu miałyby służyć i w jakim celu zostały wywołane?

Przede wszystkim trzeba zauważyć, że po 10 kwietnia musiało dojść do krytycznego osłabienia wielu ważnych ośrodków decyzyjnych (BBN, Kancelaria Prezydenta, NBP, Sztab Generalny WP). Z całą pewnością, mogło mieć to wpływ na funkcjonowanie systemów zabezpieczeń i łączności stosowanych prze te instytucje.

Niewykluczone zatem, że ataki na sieci bankowe mogły stanowić rodzaj testu, podczas którego analizowano procedury alarmowe i reakcje służb odpowiedzialnych za bezpieczeństwo teleinformatyczne. Ich ponowienie, już po 10 kwietnia byłoby logiczną konsekwencją tego rodzaju testu, gdy w nowej, krytycznej sytuacji powtórnie sprawdzono reakcje na zagrożenia cyberatakiem. Celem ataku mogło być również wprowadzenie lub wykradzenie danych oraz złamanie zabezpieczeń, co w efekcie pozwoli w przyszłości na przejęcie kontroli nad poszczególnymi elementami infrastruktury.

Z całą pewnością, awarie bankowości internetowej miały wpływ na destabilizację systemu finansowego, przepływ środków i dokonane w tych dniach transakcje. Według raportu Rady Bankowości Elektronicznej przy Związku Banków Polskich liczba klientów korzystających z tego typu usług przekroczyła już 11 milionów, z czego 6,4 miliona to klienci aktywni Atak na sieć największego banku detalicznego, w którym ponad 6 milionów Polaków posiada konta, musi więc stanowić wydarzenie istotne również dla bezpieczeństwa państwa.

W związku z komunikatem CERT.GOV.PL z 7 kwietnia, mówiącym o atakach ukierunkowanych na pracowników instytucji administracji publicznej, nie wiadomo: jakie były następstwa rozprzestrzenienia złośliwego oprogramowania oraz, czy pozwalało ono przejąć kontrolę nad komputerami instytucji państwowych lub uzyskać dostęp do tajnych informacji? Można przypuszczać, że przesyłki od nadawcy podszywającego się pod Ministerstwo Obrony Estonii trafiały do instytucji administracji centralnej, w tym polskiego Ministerstwa Obrony Narodowej.

Czy wolno zatem wykluczyć, że wszystkie te zdarzenia na niespotykaną dotąd skalę, pojawiające się tuż przed katastrofą prezydenckiego samolotu, a następnie w kilka dni po tragedii - nie były rodzajem wstępnych „testów” polskiego systemu zabezpieczeń, nie służyły przejęciu ważnych danych i nie stanowią zagrożenia, w związku z planowaną cybernapaścią?

Warto też pytać: co polskie służby - w tym ABW - odpowiedzialne za zapobieganie zagrożeniom cybernetycznym zrobiły do tej pory, by wykluczyć taki związek przyczynowo – skutkowy i zapobiec groźbie ponownych ataków?  

Artykuł opublikowany w „Gazecie Finansowej” z dn.28.05.2010 r.

http://cogito.salon24.pl/187651,cyberpulapka-estonia-gruzja-polska