Κυβερνοασφάλεια: Ποιος πληρώνει όταν μια επίθεση παραλύει την οικονομία;

«Από την κυβερνοασφάλεια στην κυβερνοοικονομία: Προστατεύοντας το χρηματοπιστωτικό οικοσύστημα». Ακούς ή διαβάζεις τον τίτλο του θέματος και στρέφεις το βλέμμα αλλού – είναι δύσκολο. Μα -πλέον- αφορά τους πάντες. Δεν χρειάζεται να παραβιαστεί η τράπεζά σου για να κλαπούν τα στοιχεία της κάρτας σου. Μπορεί να κάνεις τις αγορές σου σε ένα πραγματικό ηλεκτρονικό κατάστημα, εκεί όπου ψωνίζεις κανονικά, κι ένα κακόβουλο λογισμικό να τα συλλέγει την ώρα που πληρώνεις.

Ούτε χρειάζεται να επιτεθεί κάποιος σε χιλιάδες επιχειρήσεις για να διακόψει τη λειτουργία τους - αρκεί να πλήξει έναν κοινό προμηθευτή τους. Κι, όπως έδειξε το περιστατικό της CrowdStrike, μερικές φορές δεν χρειάζεται καν επίθεση: ένα ανθρώπινο λάθος μπορεί να προκαλέσει προβλήματα σε τράπεζες, αεροπορικές εταιρείες και νοσοκομεία.

Αυτό ήταν το θέμα που συντόνισα στο Cyber Security Forum: Τα ερωτήματα είναι απολύτως πρακτικά: πόσο ασφαλείς είναι οι συναλλαγές μας, πόσο γρήγορα μπορεί να εξαπλωθεί μια διακοπή λειτουργίας και ποιος πληρώνει τον λογαριασμό;

Στο πάνελ συμμετείχαν ο Γεώργιος Μπανάβας, επικεφαλής του Περιφερειακού Γραφείου Θεσσαλονίκης της Επιτροπής Κεφαλαιαγοράς, η Κέιτι Ροκ, διευθύντρια Κυβερνοασφάλειας και Πληροφοριών Απειλών της Mastercard, ο Ρίτσαρντ Μίους, ανώτερος διευθυντής Τεχνολογίας και Στρατηγικής Ασφάλειας της Akamai, που συμμετείχε μαζί με τη συνεργάτιδα εταιρεία ATCOM, και ο Κώστας Βούλγαρης, επικεφαλής της Ομάδας Εργασίας Ασφάλισης Κυβερνοκινδύνων της Ένωσης Ασφαλιστικών Εταιρειών Ελλάδος και στέλεχος της AIG.

Η απάτη αρχίζει πριν από την πληρωμή

«Οι κυβερνοεγκληματίες δεν διαχωρίζουν τις κυβερνοεπιθέσεις από τις εκστρατείες απάτης - κι ούτε εμείς θα έπρεπε να το κάνουμε», είπε η Κέιτι Ροκ. Από τη σκοπιά της Mastercard, η απειλή δεν περιορίζεται στις ίδιες τις υποδομές πληρωμών. Εκδηλώνεται και νωρίτερα, όταν ο πελάτης πείθεται ότι βρίσκεται σε ασφαλές περιβάλλον ή ότι επικοινωνεί με κάποιον που δικαιούται την εμπιστοσύνη του. 

Η ίδια περιέγραψε δύο τρόπους κλοπής στοιχείων: Στον πρώτο, κακόβουλο λογισμικό εισάγεται σε αυθεντικές ιστοσελίδες ηλεκτρονικών αγορών και υποκλέπτει τα δεδομένα των καρτών. Στον δεύτερο, οι δράστες κατασκευάζουν μια ιστοσελίδα που μοιάζει με εκείνη ενός πραγματικού οργανισμού, προσελκύουν τα θύματά τους και συλλέγουν απευθείας τις πληροφορίες που εκείνα καταχωρίζουν. Η πλαστοπροσωπία μπορεί να αφορά την ίδια την επιχείρηση ή ανθρώπους της.

Η τεχνητή νοημοσύνη αυξάνει την κλίμακα και την ταχύτητα αυτών των ενεργειών. Σύμφωνα με τη Ροκ, περίπου το 65% των καρτών των οποίων τα στοιχεία κλέβονται στο διαδίκτυο εμφανίζονται προς πώληση μέσα σε 24 ώρες. Η Mastercard χρησιμοποιεί, από την πλευρά της, τεχνητή νοημοσύνη για να εντοπίζει ταχύτερα τις κάρτες που έχουν παραβιαστεί. «Τελικά, είναι ένα παιχνίδι γάτας και ποντικιού», σχολίασε.

Η εικόνα που έχει η εταιρεία από το παγκόσμιο δίκτυο πληρωμών της μπορεί να αποκαλύψει εκστρατείες απάτης μεγάλης κλίμακας και να δώσει χρήσιμα σήματα στις διωκτικές αρχές. Αυτές τις πληροφορίες, εξήγησε η Ροκ, χρειάζεται να μοιράζονται οι επιχειρήσεις με τους τεχνολογικούς παρόχους και τις διωκτικές αρχές.

Η πιο πιθανή είσοδος είναι ένα κενό που έμεινε ανοιχτό

Ο Ρίτσαρντ Μίους ανέφερε αρχικά ένα σενάριο που θυμίζει τεχνολογικό θρίλερ: να αλλοιώσει κάποιος τα δεδομένα ενός μοντέλου τεχνητής νοημοσύνης, επηρεάζοντας αποφάσεις και επενδύσεις. Η πιθανότερη είσοδος των επιτιθέμενων, όμως, κατά την εκτίμησή του, βρίσκεται σε πολύ πιο συνηθισμένες αδυναμίες: έναν διακομιστή απομακρυσμένης πρόσβασης που δεν έχει ενημερωθεί ή μια εκτεθειμένη ιστοσελίδα χωρίς επαρκή προστασία.

Οι οργανισμοί καλούνται να διορθώνουν ευπάθειες σε μεγάλο αριθμό συστημάτων, με ρυθμούς που δυσκολεύονται να ακολουθήσουν.

«Αν έχω χίλια μηχανήματα που χρειάζονται ενημέρωση, δεν μπορώ να τα ενημερώσω μέσα σε μια νύχτα, αλλά οι επιτιθέμενοι μπορούν να δημιουργήσουν έναν τρόπο εκμετάλλευσης μέσα σε μια νύχτα». Το διάστημα ανάμεσα στην αναγνώριση μιας αδυναμίας και στη διόρθωσή της είναι χρόνος που μπορεί να αξιοποιήσει ο δράστης. Γι’ αυτό χρειάζεται ιεράρχηση: πόσο προσβάσιμη είναι η ευπάθεια, αν υπάρχει ήδη γνωστός τρόπος εκμετάλλευσής της και ποια προσωρινά μέτρα μπορούν να περιορίσουν τον κίνδυνο. 

Στη συζήτηση για την εξάρτηση των τραπεζών από λίγους μεγάλους τεχνολογικούς παρόχους, ο Μίους υποστήριξε ότι η συγκέντρωση δεν είναι καινούργια. Υπήρχε και πριν από τριάντα χρόνια. «Αυτό που έχει αλλάξει τώρα είναι η ταχύτητα»: ένα πρόβλημα σε μεγάλο προμηθευτή μπορεί να πλήξει πολλούς οργανισμούς σχεδόν αμέσως.

Παράλληλα, υπερασπίστηκε το πλεονέκτημα της κλίμακας των μεγάλων παρόχων, οι οποίοι διαθέτουν ανθρώπους, τεχνογνωσία και εικόνα των επιθέσεων που ένας μεμονωμένος οργανισμός δύσκολα μπορεί να αποκτήσει.

Ο κανονισμός και η πραγματική αντοχή

Ο Γεώργιος Μπανάβας, από την πλευρά του, έθεσε μια επιφύλαξη: η δυνατότητα διασποράς του κινδύνου δεν σημαίνει ότι είναι εύκολη ή οικονομικά προσιτή. Για μια τράπεζα, ένα χρηματιστήριο ή ένα κεντρικό αποθετήριο τίτλων, η υποστήριξη κρίσιμων λειτουργιών από δεύτερο πάροχο υπολογιστικού νέφους είναι ακριβή και σύνθετη υπόθεση.

«Ο κίνδυνος συγκέντρωσης στο υπολογιστικό νέφος είναι μια ευπάθεια». Και οι εξαρτήσεις δεν σταματούν στον προμηθευτή με τον οποίο έχει υπογραφεί μια σύμβαση: συνεχίζονται στους υπεργολάβους του.

Ο ευρωπαϊκός κανονισμός DORA βρέθηκε στο επίκεντρο. Το ερώτημα προς τον εκπρόσωπο της Επιτροπής Κεφαλαιαγοράς ήταν αν έχει ήδη ενισχύσει την ανθεκτικότητα των χρηματοοικονομικών οργανισμών ή αν έχει κυρίως προσθέσει υποχρεώσεις συμμόρφωσης.

«Δεν είναι ένας κανονισμός συμμόρφωσης· είναι ένας κανονισμός ανθεκτικότητας», απάντησε κι εξήγησε ότι οι αναφορές περιστατικών και οι πληροφορίες για την αλυσίδα προμηθευτών επιτρέπουν στις εποπτικές αρχές να χαρτογραφήσουν τις εξαρτήσεις στο χρηματοπιστωτικό σύστημα. Μια επιχείρηση βλέπει το εσωτερικό της. Ο επόπτης οφείλει να βλέπει τη μεγαλύτερη εικόνα: ποιοι χρησιμοποιούν τις ίδιες υπηρεσίες, πού συγκεντρώνονται οι κίνδυνοι και πώς μια αστοχία μπορεί να μεταδοθεί.

Για την ελληνική κεφαλαιαγορά, η εκτίμησή του ήταν ότι η ετοιμότητα έχει βελτιωθεί. Η ανθεκτικότητα, όμως, «δεν είναι ένας προορισμός, αλλά μια συνεχής διαδρομή». Απαιτούνται ασκήσεις προσομοίωσης, σύνθετα σενάρια, σχέδια απόκρισης και διαρκής αυτοαξιολόγηση.

Πόση ζημιά αντέχει η ασφάλιση;

Ο Κώστας Βούλγαρης συστήθηκε ως εκπρόσωπος μιας «τελευταίας γραμμής άμυνας». Μπορεί, όμως, να μπει τιμή στον κυβερνοκίνδυνο; «Μπορούμε να τον τιμολογήσουμε. Δυστυχώς, ακολουθεί ένα “αλλά”», απάντησε. Στην ασφάλιση πυρός υπάρχουν δεδομένα δεκαετιών. Στον κυβερνοκίνδυνο, ακόμη και τα διαθέσιμα στοιχεία παλαιώνουν γρήγορα, καθώς η τεχνολογία, οι επιθέσεις και οι κανονιστικές απαιτήσεις αλλάζουν.

Η τιμή εξαρτάται και από το τι κάνει η ίδια η επιχείρηση. Ο ίδιος στάθηκε στην πολυπαραγοντική ταυτοποίηση σε όλα τα συστήματα, στην εκπαίδευση του προσωπικού και στα αντίγραφα ασφαλείας.

«Κατά τη γνώμη μου, η ηλεκτρονική μάθηση δεν είναι εκπαίδευση», είπε, επιμένοντας ότι η εκπαίδευση πρέπει να αποτελεί μέρος της εταιρικής κουλτούρας και πραγματική επένδυση. Αντίστοιχα, η εκτέλεση μιας διαδικασίας αντιγραφής κάθε βράδυ δεν αρκεί: τα αντίγραφα χρειάζεται να είναι πραγματικά εκτός σύνδεσης, να διατηρούν προηγούμενες εκδόσεις και να μην είναι προσβάσιμα στους επιτιθέμενους.

Το δυσκολότερο ερώτημα αφορά μια καταστροφή που πλήττει πολλούς ταυτόχρονα. «Σε αντίθεση με έναν σεισμό, όπου τουλάχιστον ελπίζω ότι δεν μπορούμε να έχουμε έναν παγκόσμιο σεισμό, μπορούμε να έχουμε ένα παγκόσμιο κυβερνοπεριστατικό». Ανέφερε το NotPetya και την CrowdStrike, υπενθυμίζοντας ότι στη δεύτερη περίπτωση δεν υπήρξε επίθεση, αλλά ανθρώπινο λάθος.

«Τι σας κρατάει ξύπνιους;»

Στο κλείσιμο, ζήτησα από καθέναν να κατονομάσει την απειλή που τον κρατά ξύπνιο. Ο Μίους έστρεψε την προσοχή στους εργαζομένους που χρησιμοποιούν προσωπικούς λογαριασμούς τεχνητής νοημοσύνης για τη δουλειά τους. Σύμφωνα με πρόσφατη ανάλυση που επικαλέστηκε, αυτό αφορά περίπου το 50% των χρηστών μέσα σε οργανισμούς.

Το ερώτημά του ήταν τι ανεβάζουν εκεί: μήπως ακόμη και τη βάση δεδομένων του ανθρώπινου δυναμικού, προσπαθώντας απλώς να κάνουν καλύτερα τη δουλειά τους;

Η Ροκ μίλησε για την προσωπική ευθύνη όταν πατάμε έναν σύνδεσμο ή δίνουμε τα στοιχεία της κάρτας μας σε κάποιον που μας φαίνεται αξιόπιστος. Ο Μπανάβας για μια ταυτόχρονη επίθεση σε πολλούς χρηματοοικονομικούς οργανισμούς, με συστημικές συνέπειες. Ο Βούλγαρης μίλησε για τη βεβαιότητά μας ότι αυτά συμβαίνουν στους άλλους: «Παρά το πόσο μιλάμε για όλους αυτούς τους κινδύνους, δεν φαίνεται να τους πιστεύουμε πραγματικά».

Συνεχίζουμε να θεωρούμε ότι συμβαίνουν στους άλλους, στους λιγότερο έξυπνους ή λιγότερο προετοιμασμένους. Ότι η επόμενη επιχείρηση που θα παραβιαστεί δεν θα είναι η δική μας.