Od lodówek w supermarketach po berlińską sieć landową: cyberataki coraz częściej paraliżują infrastrukturę krytyczną. Ethical hacker tłumaczy Euronews, jak namierza luki i czemu człowiek bywa najsłabszym ogniwem.
Po atakach na lodówki w supermarketach nieznani hakerzy wzięli teraz na cel także służby krwiodawstwa. Przerwy w chłodzeniu sprawiły, że część pobranej krwi stała się bezużyteczna. Jeden z tzw. ethical hackerów w rozmowie z Euronews tłumaczy, jak specjaliści próbują wykrywać luki w zabezpieczeniach, zanim wykorzystają je przestępcy.
REKLAMA
REKLAMA
„W ostatnich dwóch tygodniach mieliśmy do czynienia z wyjątkowo dużą liczbą spektakularnych przypadków, jakiej wcześniej nie notowaliśmy nawet w ciągu całego roku” – mówi Marco Di Filippo, ekspert ds. cyberbezpieczeństwa w firmie Whitelisthackers. Jest tzw. ethical hackerem (po niemiecku: „ethischer Hacker”) i na zlecenie firm sprawdza poziom bezpieczeństwa ich systemów IT.
W ostatnim czasie zajmował się wieloma sprawami. Od wycieku maili AfD, przez luki bezpieczeństwa w Revolut i w języku skryptowym PHP, w którym napisano wiele stron internetowych, aż po ataki na chłodnie. Według raportu „Bundeslagebild Cybercrime 2025” Federalnego Urzędu Kryminalnego, w 2025 roku szkody gospodarcze sięgnęły 202,4 mld euro.
Jeden klik otworzył hakerom drzwi do sieci landu Berlin
O cyberataku na sieć landu Berlin z sierpnia 2026 roku Di Filippo mówi, że to szczególnie problematyczny przypadek. Można go było uniknąć. Sprawcy żądali okupu w wysokości 30 bitcoinów (około 2 mln euro), jednak Senat Berlina konsekwentnie odmówił. Ostatecznie w darknecie opublikowano 1,4 mln poufnych plików.
Powodem była luka w cyfrowym systemie. Grupa ransomware „Rhysida”, stojąca za atakiem, wykorzystała niewiedzę konkretnej osoby. „Ofiara została zwabiona na stronę internetową i miała potwierdzić, że jest człowiekiem. Ta metoda ataku nazywa się ClickFix. Każdy to zna: trzeba wpisać liczby, połączyć obrazki albo rozwiązać zadanie matematyczne, żeby potwierdzić, że nie jest się botem” – wyjaśnia Di Filippo.
Na stronie poproszono ofiarę o wykonanie określonej kombinacji klawiszy, wklejenie komendy i naciśnięcie Enter. „W ten sposób ofiara sama otworzyła napastnikom drzwi” – komentuje Di Filippo. Zdaniem eksperta od bezpieczeństwa IT było to tak, jakby ktoś wysłał maila o treści: „Chcę obrabować bank i przyjdę dziś wieczorem o godzinie dziesiątej. Proszę zostawić uchylone drzwi, żebym mógł od razu podejść do sejfu”.
Z tego przypadku Di Filippo wyciąga dwa wnioski. Po pierwsze – brak uwagi: „Był użytkownik, który wykonał tę komendę, czyli czynnik ludzki”. Po drugie – użytkownik w ogóle nie powinien mieć uprawnień, które umożliwiają przeprowadzenie takiego ataku. „Codziennie widzimy takie sytuacje, przy których można tylko kręcić głową” – ocenia Di Filippo.
Człowiek najsłabszym ogniwem bezpieczeństwa IT
Prawdopodobieństwo, że padniemy ofiarą ataku hakerskiego, wynosi jeden do dwóch. Mimo to – jak podkreśla ekspert ds. cyberbezpieczeństwa z Whitelisthackers – ta świadomość wciąż jest niedoceniana. Ludzie dużo bardziej boją się włamania do domu czy burzy. „Tymczasem prawdopodobieństwo, że trafi mnie piorun, to zaledwie jeden do 200 000” – mówi Di Filippo.
Ekspert ubolewa, że bezpieczeństwo nie jest dziś priorytetem. „Sprzedaje się wiele produktów, w których na pierwszym miejscu jest usability, czyli łatwość obsługi” – tłumaczy. Przykładem są smart home’y, dzięki którym można sterować światłem i ogrzewaniem z dowolnego miejsca. Lodówki w supermarketach są podłączone do internetu, by centralnie je zarządzać. To wszystko ułatwia życie, ale niekoniecznie je zabezpiecza.
„Właśnie tu mamy dziś lukę w naszym wychowaniu. Mówiąc ‘my’, mam na myśli nas wszystkich – wszystkich, którzy nigdy nie nauczyli się rozpoznawać zagrożeń” – mówi Di Filippo. Jego zdaniem trzeba zacząć od edukacji. Kto nigdy nie doświadczył ryzyka ataku hakerskiego, nie postrzega siebie jako potencjalnego celu. Tymczasem możliwości zalogowania się do cudzych urządzeń ciągle przybywa.
Dlaczego cyberbezpieczeństwo zaczyna się od edukacji
W niektórych przypadkach wystarczy kliknąć link w wiadomości SMS lub na WhatsAppie, a następnie potwierdzić swoją tożsamość, by niechcący dać napastnikom dostęp do prywatnych rozmów. Atakujący łączą się z urządzeniem i zyskują w ten sposób dostęp do wiadomości, multimediów i kontaktów. Przed tą metodą, znaną jako „Ghost Pairing”, na początku roku ostrzegał Federalny Urząd ds. Bezpieczeństwa Informacji (BSI). Aby uniknąć sytuacji, w których obcy mogą czytać nasze wiadomości, BSI zaleca „krytyczne sprawdzanie” przychodzących komunikatów oraz włączanie mechanizmów takich jak uwierzytelnianie dwuskładnikowe.
Inne państwa, na przykład Indie, oprócz rozwoju technologii mocno inwestują w działania edukacyjne. „Kiedy jadę metrem w Indiach, wszędzie widzę plakaty: cyberprzestępcy, szkody cybernetyczne i numer infolinii, pod który można zadzwonić” – opowiada Di Filippo. W Niemczech tymczasem policja bywa, że odsyła ludzi z kwitkiem, a oni muszą sami szukać, która instytucja jest właściwa.
„Każdego dnia pojawiają się nowe punkty zaczepienia i pomysły na ataki” – ostrzega Di Filippo przed błyskawicznym rozwojem zagrożeń. „W przypadku lodówek hakerzy raz odkryli lukę bezpieczeństwa, a teraz muszą tylko sprawdzić, kto ma w użyciu dany model. W ten sposób ataki się rozprzestrzeniają”. Znalezienie luki może uruchomić efekt śnieżnej kuli.
W około 80–95 proc. ataków – podaje Di Filippo – człowiek współuczestniczy w tym, że luka zostaje wykorzystana, tak jak w przypadku ataku na sieci landu Berlin. „Musimy więc bardzo mocno postawić na edukację i awareness (przyp. red.: ‘świadomość’), żeby stać się odporniejszymi na cyberataki. Czynnik ludzki trzeba w to włączyć, samą technologią sobie nie poradzimy”.
Hackowanie, by powstrzymać hakerów
W jego pracy chodzi o to, by wcielić się w rolę przestępczych hakerów. „W praktyce próbujemy atakować infrastrukturę albo znaleźć błędy w infrastrukturze, w oprogramowaniu czy urządzeniach opartych na IT. Używamy narzędzi, z których korzystają także prawdziwi cyberprzestępcy” – tłumaczy Di Filippo. „Naszym celem jest jednak to, by znaleźć błędy zanim zrobią to prawdziwi napastnicy i wykorzystają te luki”.
Ważna różnica polega na tym, że ethical hackerzy działają na zlecenie klientów, na przykład dużych firm, i nie chcą wyrządzić szkód w ich infrastrukturze. „W naszej firmie nikt nie ma kryminalnej przeszłości” – podkreśla Di Filippo. Ethical hackerzy muszą przedstawić zaświadczenie o niekaralności i w ten sposób ujawnić oraz udokumentować swoją przeszłość.
„Zawsze znajdujemy jakąś lukę bezpieczeństwa” – mówi w rozmowie z Euronews o swojej pracy. Na koniec jego zespół przekazuje firmom raport liczący nawet 400 stron, w którym opisuje, gdzie w cyfrowej infrastrukturze znajdują się luki i jak zostały wykryte.
Po wykryciu luki producenci urządzeń końcowych lub systemów są o niej informowani i wspólnie z firmą mogą pracować nad jej załataniem. W pojedynczych przypadkach takie luki, na przykład w iPhonie, warte są kilka milionów euro. „Czekamy, aż luka zostanie zamknięta. Następnie każda luka bezpieczeństwa jest publikowana w tzw. CVE” – dodaje Di Filippo.
CVE to skrót od Common Vulnerabilities and Exposures (po niemiecku: „gemeinsame Schwachstellen und Gefährdungen”). To katalog luk bezpieczeństwa dostępny publicznie. Sam BSI informuje o wykrytych lukach i w przypadku szerszych zbiorów oficjalnie odsyła do międzynarodowej bazy National Vulnerability Database (NVD).
Gdy brak szyfrowania może kosztować miliardy
Historie, które opowiada Di Filippo, brzmią jak scenariusz serialu na Netflixie. Prawie dekadę temu doszło do przypadku, gdy cyberprzestępcy stosunkowo łatwo ukradli z banku 1,2 mld euro. „Stało się tak, ponieważ bank nie zastosował żadnych środków bezpieczeństwa przy łączeniu swoich lokalizacji” – relacjonuje ekspert ds. cyberbezpieczeństwa.
Bank miał jedną placówkę po jednej stronie ulicy, a bezpośrednio naprzeciwko – kolejne biuro. „Połączyli je radiolinią kierunkową, która nie była w ogóle szyfrowana. Napastnicy, bez żadnych umiejętności hakerskich, mogli się tam po prostu zalogować i swobodnie poruszać się po systemie banku, po cichu wyprowadzając pieniądze” – opisuje Di Filippo.
Także w przypadku lodówek w supermarketach w niektórych sytuacjach zabrakło ochrony poprzez szyfrowanie. Eksperci zalecają co najmniej korzystanie z VPN lub zapory sieciowej (firewalla). Dla banków obowiązują dziś wyższe standardy bezpieczeństwa. Niecały rok temu rząd federalny przyjął ponadto dyrektywę NIS 2. Zobowiązuje ona znacznie więcej firm i sektorów niż dotychczas do stosowania obowiązkowych, w tym także prewencyjnych, środków cyberbezpieczeństwa.
Firma Whitelisthackers stawia także na edukację medialną i dlatego zainicjowała konkurs „Najlepszy haker Niemiec”. Celem jest wyszukiwanie talentów i wspólnie z ethical hackerami uczynienie cyfrowego świata bezpieczniejszym. Zwycięzcy mogą wziąć udział w międzynarodowych tzw. hackathonach – maratonach hakowania.
Hackowanie jako usługa przeżywa boom – po obu stronach. W darknecie model Cybercrime-as-a-Service (CaaS), czyli cyberprzestępczości na zlecenie, jest wśród przestępców bardzo rozpowszechniony, ale rośnie także legalny rynek usług bezpieczeństwa. Whitelisthackers realizuje rocznie zlecenia około 250 klientów. Po spektakularnych, częściowo globalnych przypadkach coraz więcej firm interesuje się poprawą własnej infrastruktury bezpieczeństwa.