Hogyan különböztethető meg egy jószándékú és egy rosszindulatú hekkertámadás? Hogy lesz valakiből hekker? Mennyire kell paranoiásnak lennünk az online térben? Két magyar etikus hekker mesélt a róluk kialakított hollywoodi képről is a Forbes Tech Summit színpadán.
„Mikor elkezdtem hekkerek társaságába járni, konkrétan belém állt a paranoia. Annyira egyszerűen és könnyedén mesélnek arról, hogyan törnek fel mindent, amit te biztonságosnak hiszel, hogy a legpicibb anomáliára is azt hiszed, hogy épp meghekkelik a gépedet” – vezette fel Topolay Gábor, a Forbes újságírója a beszélgetést, ahol a Forbes Tech Summit közönsége is meggyőzödhetett az állítás valóságáról.
Meglátni, mi az mi másként működhet
„Ráállt az agyam, hogy meglássam, mi az, ami másként működhet. Hogyan lehet valamit máshogy megcsinálni, nem úgy, mint ahogy a többség teszi? Ezt csak így lehet” – mondta Szöllősi Péter, a Black Cell Magyarország Offensive Security üzletágának vezetője a kezdetekről. Jelenleg etikus hekkerként vállalati megbízásokon dolgozik, szakterülete a social engineering.
„Szinte mindig a párkapcsolat vagy a pénz áll a háttérben, mi más okozná a legtöbb konfliktus az ember életében?”
– meséli Silur, kriptográfus, etikus hekker és kutató a privát megkereséseiről, azonban Facebook-profil feltörést már nem szokott vállalni. Szöllősivel ellentétben ő nem rendelkezik hivatalos papírral, tevékenységével korábban már foglalkoztunk a Forbes.hu-n.
Fotók: Fekete Csaba (7 kép)
„Kiberhírszerzés, pszichikai manipuláció. Alapvetően az emberek, a munkavállalók hekkelése” – foglalja össze munkájának lényegét Szöllősi. A feladatkörébe tartozik, hogy ellátogat a megrendelő irodájába, ahol egyetlen dolga van: hozzáférni a rendszerhez úgy, hogy a munkavállalók ne jöjjenek rá. A terepmunka során hamis személyazonossággal, a cég munkatársait tudatosan manipulálva tudja ezt végrehajtani. Ez hosszú kutatómunkát igényel egy-egy terepmunka előtt, meg kell ismernie azokat a feltételeket és akadályokat, amiket megkerülve sikeresen eléri, hogy az általa hozott pendrive-ot bedugják egy céges számítógépbe. Ha ez megvan, az etikus hekker percek alatt hozzáfér a cég érzékeny adataihoz.
„Hiába van valakinek 300 milliós rendszere, csillagrombolója, ha a nap végén a munkavállaló lesz a gyenge láncszem.”
Szöllősi azt mondja, mindig kiköti, hogy az átvert munkavállalót ne érhesse retorziót, az egész támadási kísérletnek az a lényege, hogy a becsapás után mindannyian tanuljanak majd belőle.
„Nem azért csinálom, hogy bárkit is bántsak.”
Szokott lenni bűntudata, de nem tartja etikátlannak a munkáját, hiszen a megrendelőnek is érdeke, hogy biztonságban maradjanak az adatai „Egy kibertámadáskor nemcsak az adataink sérülnek, hanem sajnos a mentálhigiénia is. Ez ugyanolyan, mintha fizikailag megtámadnának, annak is van egy traumatikus lenyomata, és bizony ugyanez történik a digitális támadás során is.”
Nem mindegy, hogy hol van meghúzva a határ
„Egy hivatásos megbízatásnak akkor van vége, amikor a hekker bejutott a rendszerbe, míg egy black-hat hekker életében (tehát a rosszindulatú hekker – a szerk.) csak ott kezdődik – mondja Silur, majd hozzáteszi: a meló csak 20 százaléka az, hogy betör valaki a rendszerbe és megszerzi az adatokat.” Innen több irányba ágazhat egy eset, ezért érdekes a napokban kirobbant KRÉTA körüli botrány is, mivel eddig csak az adathalászat tényéről nyertünk tudomást.
„Nem mindegy, hogy hol van meghúzva a határ. A mostani KRÉTA-ügynél is hiába mondták az elkövetők, hogy nem szivárogtatták volna ki a megszerzett adatokat, de azért kiadták a forráskódot, ami nem feltétlenül elég, de jó alapot adhat. Az, hogy valami jogos, nem biztos, hogy igazságos is és fordítva” – foglalta össze Szöllősi.
Szöllősi a beszélgetés végén azt tanácsolta a közönségnek, hallgassanak a megérzéseikre.
„Hallgatni kell arra a csengőre, ami jelzi azt, hogy valami nem oké.”
A szakember szerint ha gyanúsat tapasztalunk a számítógépünkkel kapcsolatban, érdemes odafigyelni rá és gyanakvónak maradni. „Kérdezzük meg a munkatársunktól vagy otthon a párunktól, hogy szerinte is fura-e, amit látunk? Ha azt mondja, hogy nem, rákattintotok és kiderül, hogy adathalász linkről van szó, akkor benéztétek. De összességében érdemes a legtöbb esetben feltételezni, hogy valaki rosszat akar nekünk”
