Bekövetkezett az, amire számítógépes biztonsági szakértők még gondolni sem mertek: egymás után, dominóként dőltek össze a világháló legnagyobb elektronikus kereskedelmi fórumai. A Yahoo!-val kezdődött. Február 6-án az óriás portál három órán keresztül állt bénultan. A következő napon – mindössze órákkal tőzsdei bevezetése után – a kiskereskedelemben utazó Buy.com társaságot érte utol a végzet. Aztán este sor került az eBay, az Amazon.com és a CNN honlapjaira is. A következő reggelen a káosz tovább gyűrűzött az E*Trade online brókercég és mások felé: internetes lapjaik forgalma gyakorlatilag megbénult.
Mindez talán egyetlen szuper-hacker műve volt? Az ügyet vizsgáló nyomozók egyelőre nem tudják – vagy nem árulják el. De a szakembereket a felelős személy vagy csoport kiléténél jobban aggasztja, milyen könnyedséggel hangolták össze és vezényelték le a támadássorozatot. Minden jel arra utal, hogy valaki otthona melegében üldögélve, néhány billentyű lenyomásával súlyos zavart kelthet az elektronikus kereskedelemben.
SAKK ÉS MATT. A szakemberek szerint az egész annyira egyszerű, hogy az már ijesztő: az offenzívához használt szoftver használata könnyű, és a világháló számtalan földalatti hacker lapján gond nélkül beszerezhető. A letöltés után a rövid programot számítógépek garmadájára csempészik fel a világ minden pontján. Sakk. Aztán csak egy gombnyomás és az összes ilyen PC akcióba lép: újra és újra egy egyszerű információkérést küldenek a kiszemelt honlapnak – másodpercenként több százszor. Matt. Hiába minden bonyolult tűzfal, behatolást érzékelő rendszer, titkosítás és biztonsági előírás, az elektronikus boltok egy-kettőre áldozatául esnek ennek a viszonylag egyszerű eljárásnak. Mint amikor többen egyszerre tárcsázzák ugyanazt a telefonszámot, s mindannyian foglalt jelzést hallanak. “Ilyen nagyságrendben ilyesmit eddig még nem tapasztaltunk, nemcsak az EBay-nél, de máshol sem” – állítja Margaret C. Whitman, a társaság vezérigazgatója.
A támadók sem a website-ot nem törték fel, sem adatokat nem tettek tönkre, sem hitelkártyaszámokat nem loptak – legalábbis ez idáig. Ám ezzel a pokolian egyszerű trükkel mégis sikerült átmenetileg megbénítani a kereskedelmet a világháló legnagyobbjai közé tartozó több portálon, nekünk szegezve a kérdést: Mennyire sebezhető az internet? Veszélyeztethetik az ehhez hasonló akciók az idén várhatóan 450 milliárd dollár kereskedelmi forgalmat lebonyolító világháló robbanásszerű növekedését? “Odakint már egy ideje háború folyik, legfeljebb eddig rejtve maradt” – mondja James Adams, a cyberfenyegetésekre specializálódott Virginia állambeli iDEFENSE egyik alapítója. “Most ébredtek rá széles körben az emberek a háló sebezhetőségére, és arra, hogy mibe is keveredtünk, amikor gondolkodás nélkül beneveztünk az információs szupersztráda gyorsasági versenyébe.”
Persze még a legdörzsöltebb “cyberkopók” sem állítják, hogy a net egyik napról a másikra hervadásnak indulna az ilyen kalózakciók miatt. De az elmúlt napok eseményei után a napnál is világosabb: az internetes vállalatoknak legalább annyi gondot kell fordítaniuk honlapjaik és hálózataik védelmére, mint arra, hogy azokat összekössék vásárlóikkal, ellátóikkal és beszállítóikkal – valamint velünk. Íme a közelmúlt történéseinek hevenyészett listája: decemberben 300 ezer hitelkártyaszámot loptak el az online zenekereskedést folytató CD Universe-től. Még márciusban az elektronikus levelező rendszereken végigsöprő, s azokat világszerte megbénító Melissa vírus mintegy 80 millió dolláros kárt okozott. Ugyanabban a hónapban a felbérelt hackerek beismerték, hogy feltörték az AT&T, a GTE és a Sprint távközlési óriások rendszereit, többek között olyan hívókártya számokért, amelyek végül olasz szervezett bűnbandák kezébe kerültek. Az FBI a telefontársaságoknak okozott kárt 2 millió dollárra becsülte.
A szélessávú kapcsolatok mindennapossá válásával még súlyosabbá válhat helyzet. A világhálót többé nem alkalmanként, tárcsázással érjük el – a háló állandóan be lesz kapcsolva, hasonlóan a telefonhoz. Meglehet, ez zene az elektronikus kereskedők füleinek, de a vásárlókra valódi veszélyt az jelenthet, ha a cybercsalók úgy járhatnak ki-be számítógépes rendszerünkben, ahogy kedvük tartja. Addig keresgélnek majd, amíg egy védelem nélküli gépet nem találnak.
A legnagyobb fenyegetés – bármilyen elkeserítő is – belülről jön. A nyomozó hatóságok becslései szerint a betörések mintegy 60 százalékát belső alkalmazottak követik el.
A szomorú igazság az, hogy a számítógépes hálózatok könnyen hozzáférhető belépési pontok a bosszúszomjas alkalmazottak, kémek, tolvajok, “szociopaták” és unatkozó tinédzserek számára. Ha már egyszer bejutottak a vállalat belső hálózatába, szabadon garázdálkodhatnak az ott található szellemi tulajdonnal vagy adatokkal, munkafolyamatokat akadályozhatnak, vagy akár teljesen tönkretehetnek egy adott üzletet vagy karriert. “Ez én felfogásom szerint minden internetes tranzakció potenciális célpont” – vallja Paul Field, a számítógépes kalózból lett biztonsági tanácsadó.
Egy kis felfordulást szeretne kelteni? Biztonsági szakértők szerint mintegy 1900 website-ról tölthetőek le – ingyen – azok a digitális eszközök, amelyek segítségével bárki szimatolhat mások gépén, azt lefagyaszthatja, átveheti felette az irányítást vagy megszerezheti minden egyes billentyűleütés másolatát. Steve O’Brien, az illetéktelen behatolások felderítésével és biztonsági megoldásokkal foglalkozó, marylandi székhelyű cég, az Info-Ops.com információs műveletekért felelős alelnöke szerint a számítógépek feltörésének módozatai napról napra fejlődnek. A növekvő veszélyért O’Brien nemcsak a hacker-csoportokat, de a programok megállíthatatlan terjedését is okolja. Ami egykor ritkaságnak számított – ma naponta legalább három új rosszindulatú szoftvert vagy sebezhető programpontot fedez fel.
KITÁRT AJTÓK. A bűnüldözők azonban készek felvenni a harcot. Február 9-én, egy sebtében összehívott washingtoni sajtókonferencián Janet Reno amerikai igazságügyi miniszter könyörtelen fellépést ígért a cyberbűnözők ellen. “Megtaláljuk a felelősöket, s bíróság elé állítjuk őket” – ígérte, garantálandó, hogy “az internet biztonságos hely maradjon az ott üzletet kötők számára.” Ron Dick, az országos infrastruktúra-védelmi központ számítógépes nyomozási és műveleti részlegének vezetője szerint azonban a kormány önmagában nem képes megteremteni és fenntartani az internet biztonságát. A vállalatoknak is éberen kell őrködniük számítógépeik felett, hogy a hackerek ne tudják azokra – alattomosan – a későbbi támadások kiindulópontjául szolgáló programokat telepíteni. “Ahhoz, hogy az internet biztonságos hely legyen, mindenkinek ki kell vennie a maga részét az ilyen eszközök eltávolításából – figyelmeztet a szakember -, használatukkal ugyanis még egy 15 éves gyerek is támadást indíthat.”
Sőt, ha az internetelérés a szélessávú kapcsolatoknak köszönhetően állandósul, a fenti korhatárt leszállíthatjuk akár 8 évre is. Az International Data Corporation piackutató cég szerint míg ma 1,35 millió amerikai otthon kapcsolódik így a világhálóra, 2003-ra ez a szám 9 millióra nőhet, és ugyanennyi – vagy még több is – lesz a digitális előfizetői vonal.
Ez széles támadási felületet biztosít a hackereknek. Egy hagyományos telefonos modemmel összekötött személyi számítógép a felhasználó minden egyes hálóra kapcsolódásakor új internetes címet kap. Ez komoly gát az adott gépet az eBay-t, a Yahoo!-t és másokat ért támadáshoz hasonló eszközökkel feltörni és “eltéríteni” igyekvő kalózok előtt. Ezzel ellentétben a kábeles és digitális előfizetői vonalak igen csábítóak a hackerek számára, mivel ezek a gépek folyamatos kapcsolatban vannak a világhálóval, s általában fix, az e-mailekből és a hírfórumokra küldött levelekből könnyen kiolvasható címmel rendelkeznek. A “tűzfal” néven ismert otthoni biztonsági rendszerek minden kábeles és digitális előfizető számára elérhetőek. De amíg ezek használata nem közelíti meg a 100 százalékot, nem akadályozhatják meg a betöréseket.
Az információs háztartási eszközök korának felvirradtával a helyzet tovább romolhat. Számos elemző szerint az Egyesült Államokat már a közeljövőben eláraszthatják a webböngészős televíziók, a hálózatos játékvezérlők, az intelligens hűtőszekrények és a hálóról programokat letöltő webtelefonok. Ezekben az eszközökben erős az internettel kapcsolatban álló processzorok dolgoznak, amelyeket egy támadás során ki lehet használni.
Nem mintha a szélessávú internet felhasználói nem kapcsolódhatnának le a világhálóról. De ahogy egyre több izgalmas lehetőség tárul fel, senkinek sem lesz már ehhez kedve. Folyamatos zene- és videoszolgáltatás, napi 24 órás hírszolgálat és a szélessávú webes integráció sok más fajtája jelenik majd meg. Hogy kihasználják ezek előnyeit, az emberek éjjel-nappal nyitva tartják majd az “ajtókat”.
Semmivel sem rózsásabb a helyzet a vállalatoknál. A rendszerbiztonság náluk jó úton tart afelé, hogy alapvető és drága szükségletté váljon. Az amerikai vállalati szféra tavaly 4,4 milliárd dollárt költött internetes biztonsági programokra, így “tűzfalakra”, behatolásjelző szoftverekre, digitális tanúsítványokra, valamint hitelesítő és engedélyeztető programokra. E kiadások 2003-ra elérhetik a 8,3 milliárd dollárt.
TERJEDŐBEN. A számítógépes bűnözés mégis terjed. Az FBI és a Computer Security Institute 520 vállalatot és intézetet felölelő felmérése során a válaszadók több mint 66 százaléka számolt be számítógépes hálózata illetéktelen használatáról a kérdezést megelőző 12 hónap során. 1997-ben ez még csak 50 százalék volt. És a behatolásoknak immár 57 százaléka volt összefüggésbe hozható az internettel, a két évvel korábbi 45 százalékkal szemben.
Bármilyen nagynak is tűnnek ezek a számok, igazából senki sem tudja, hogy mennyire elterjedt az internetes bűnözés. A legtöbb támadás – biztonsági szakértők szerint akár 60 százalékuk is – észrevétlen marad. Ám még az észlelt támadásoknak is csupán legfeljebb 15 százalékát jelentik a bűnüldöző hatóságoknak. A vállalatok kerülik a nyilvánosságot. Amikor az orosz alvilág hackerek segítségével betört a Citibankba és onnan leemelt 10 millió dollárt – csak 400 ezret sikerült belőle visszaszerezni – a konkurencia a hírt reklámkampányaiban a bank ellen fordította.
Ez tovább nehezíti a hatóságok munkáját. Az elektronikus támadást elszenvedő vállalatok túlnyomó része nem nyilatkozik a sajtónak. Leginkább vevőik bizalmának elvesztésétől és imidzsük sérülésétől tartanak – nem beszélve a támadást majmoló hackerektől való félelemről. A február 8-i és 9-i támadásokat követően az általában bőbeszédű internetes cégvezetők, az E*Trade-től a Priceline.comig, árulkodó hallgatásba burkolóztak. Azok, akiket még nem ért támadás, vonakodtak megszólalni, nehogy ezzel hívják fel site-jukra a figyelmet. A többieknek pedig már elegük volt a nyilvánosságból.
HONLAPELTÉRÍTÉS. A bűnüldözők egyik problémája, hogy a hackerek látszólag mindenütt jelen vannak. Előfordul, hogy úgynevezett számítógépes biztonsági cégeknél dolgoznak. Egyre gyakoribbak a külföldről, különösen a Kelet-Európából induló támadások. A probléma súlyosságát jelzi, hogy az America Online 1996-ban a saját biztonsága érdekében inkább megszakította összeköttetését Oroszországgal. És ha a kalózok miatti aggódás nem volna elég, az online csalások száma is emelkedőben van. A fogyasztók által bejelentett, hamis meggazdagodási lehetőségekkel kecsegtető tervekkel vagy soha meg nem érkezett aukciós tárgyakkal kapcsolatos panaszokkal foglalkozó kereskedelmi hatóság, a Federal Trade Commission (FTC) tavaly 61 pert indított (1994-ig viszont, amikor a háló még gyerekcipőben járt, mindössze egyet). Ez idáig a bírósági eljárások több mint 20 millió dollár fogyasztói kár megtérítését rótták ki, és éves szinten – becslések szerint – 250 millió dollárt meghaladó csalási tevékenységet számoltak fel.
De az FTC nem elégszik meg ennyivel: képviselői februárban szenátusi meghallgatáson vettek részt, ahol a testület költségvetésének növelését szorgalmazták, hogy új internetes stratégiákat dolgozhassanak ki, valamint hogy felvehessék a harcot a cybercsalásokkal szemben. A pénz ahhoz kell, hogy az egyre találékonyabb rendszerek nyomába eredhessenek. Szeptemberben például az FTC olyan portugál és ausztrál személyek ellen indított pert, akik “honlapeltérítést” és “egérrablást” követtek el, amikor amerikai székhelyű website-okat engedély nélkül lemásoltak, s azokhoz megtévesztésig hasonló lapokat regisztráltattak a nagyobb internetes keresőkön. A vádlottak a mit sem sejtő vevőket a honlapokról pornó site-ok láncolatához vezették, s azokból a laikus fogyasztók ki sem tudtak lépni. Az FTC elérte, hogy a bíróság határozatban parancsoljon megálljt a csalásnak, felfüggesztve az alperesek website regisztrációit.
A felügyelő hatóságok szerint a cyberbűnözés virágzásának egyik fő oka az, hogy az emberek sokkal jobban bíznak az internetben, mint amennyire azt ez a rendszer kiérdemli. “Sok hasznos információhoz juthat az ember a hálón, de annak, amit ott tesz, 95 százaléka puszta jóhiszeműségen alapul” – mondja G. Philip Rutledge a pennsylvaniai értékpapír-felügyelet helyettes főtanácsadója. “Ez sajnos utat nyit a csalások előtt.”
Ha a cyberbűnözésnek gátat akarunk szabni, nincs más választás: a biztonságtechnológiának kell az internet következő húzóágazatává válnia.
