Wędkując w sieci

Nie dajmy się złapać na hak

Grzegorz Dobiecki

Tekst z 07/08/2007 Ostatnia aktualizacja 07/08/2007 16:10 TU

Wiadomo, że gdy kłusownik chce po cichu nałowić jak najwięcej ryb, najlepiej grubych, nie bawi się w detale z wędką, tylko sięga po sieć. Okazuje się tymczasem, że dobie Internetu łapczywi przestępcy stworzyli kombinację obu metod: skutecznie wędkują w Sieci.

Niedawno francuska policja, po prawie rok trwających "działaniach operacyjnych", aresztowała kilkadziesiąt osób, które uczestniczyły w międzynarodowej operacji kradzieży danych osobowych i wyłudzeń pieniędzy za pośrednictwem Internetu. Jak przyznaje specjalna policyjna agenda zwalczająca przestępczość informatyczną, operacja kryminalna była wielka, natomiast zatrzymani złoczyńcy – nie. Być może nawet wielu z nich nie zasłużyło na to miano. Niektórzy zapewne nie wiedzieli, że stają się przestępcami, bo pracują dla przestępców. Zatrudniała ich bowiem, najczęściej jako "agentów handlowych" fikcyjnych firm, międzynarodowa siatka. Do jej szefów, niestety, francuskiej policji dotrzeć się nie udało. Podejrzenia kierują się na wschód Europy, bez dokładniejszej lokalizacji.

Pionkom zatrzymanym we Francji grozi jednak nawet do 7 lat więzienia. Odpowiedzą za wspólnictwo w oszustwie i przynależność do zorganizowanej grupy przestępczej. Obiektywnie przyczynili się do strat finansowych szacowanych na "setki tysięcy euro". Straty poniosły przede wszystkim banki – głównie Western Union – a nie ich klienci. Ale pułapki w Internecie zastawiane były właśnie na indywidualnych posiadaczy kont bankowych. Technika, jaką stosowali oszuści, doczekała się już fachowego określenia: "phishing", tyle że pisane nie przez "f", lecz "ph". Sens słowa pozostaje ten sam: zwabienie ryby na hak. W tym wypadku – na stronę internetową, gdzie delikwent zostanie wypatroszony. Po polsku powiedziałoby się raczej, że to polowanie na jelenia.

Tak pojmowane internetowe kłusownictwo polega na podszyciu się w e-mailowej korespondencji albo pod osobę znajomą, albo pod niebudzącą zastrzeżeń instytucję. Jeżeli oszust zdoła przełamać barierę nieufności, już jego głowa w tym, żeby wyłudzić strzeżone dane ofiary. Najlepiej od razu numer konta, karty płatniczej i jej kodu (PIN'u). Ciągu dalszego można się domyślać. Niewykluczone, że zatrzymani we Francji drobni pośrednicy owego ciągu dalszego rzeczywiście nie znali. Oni jedynie przekazywali zdobyte dane swoim rzekomym pracodawcom, ci zaś robili z nich przestępczy użytek. Nie chodzi tu bowiem o niesfornych, ale w sumie nie nastających na niczyje dobro hackerów, lecz o zawodowych cyberkryminalistów. Do uprawiania tej profesji nie wystarczą już tylko umiejętności włamywania się do bazy danych, wypuszczania wirusa czy innego konia trojańskiego, albo zasypywania naszych  mailowych skrzynek spamami. Potrzebne jest również odpowiednie podejście psychologiczne do przyszłej ofiary.

Takiego zdania jest w każdym razie profesor Clive Hollin, psycholog z brytyjskiego Leicester University. Na zamówienie firmy McAfee, specjalizującej się w programach antywirusowych, Hollin przeanalizował setki przypadków z interesującej nas dziedziny i przedstawił stosowne wnioski. Najważniejszy z nich niech zabrzmi jak przestroga dla wszystkich internautów. Zwłaszcza zaś dla tych, którzy czują się w cyberprzestrzeni jak ryba w wodzie. Przypomnijmy: metoda oszustów - "phishing" - służy właśnie zahaczeniu ryby... Brytyjski psycholog twierdzi otóż, że ofiarami kłusowników padają zarówno nowicjusze, jak i starzy internetowi wyjadacze. Tych pierwszych gubi brak wiedzy i doświadczenia; drugich gubi ich nadmiar. Najprędzej może trafić na hak internauta z "grupy poszukiwaczy": pracy, kontaktów profesjonalnych lub towarzyskich, przygód (zwłaszcza erotycznych), ale także tzw. złotych interesów. Niektórzy okazują się zbyt naiwni, inni – przeciwnie - zbyt śmiali i pewni siebie.

Clive Hollin wylicza stosowane przez oszustów sposoby przyciągania uwagi i rozwiewania ewentualnych podejrzeń. Na przykład temat e-maila-pułapki jest często odwołaniem do jakiegoś bieżącego wydarzenia, które zapewne nie pozostawi adresata bez reakcji. Inny patent to podanie się za znaną instytucję, która, co więcej, ma nad nami pewną władzę: administracja, bank, pracodawca, sąd. Tutaj Hollin wprowadza nazwę psychologicznego odruchu, po polsku brzmiącą wdzięcznie: "kliknięcie uniknięcia". Chodzi o sytuację, w której odbiorca znajduje wiadomość, że jeśli nie uda się na stronę, wskazaną przez link, to będzie musiał – powiedzmy – zapłacić karę za zwłokę w wypełnieniu jakiegoś obowiązku. Aby uniknąć możliwego kłopotu, klikamy w link. A tam nas już złupią.

Według Hollina, niecne czyny oszustów ułatwia także moda na częste odwiedzanie portali, nazwijmy je, towarzyskich, takich jak MySpace czy Facebook. Tam się wchodzi z ufnością i podaje bardzo dużo informacji na własny temat, bo taka jest istota tych wizyt. Nie idzie zaraz o udostępnianie numeru własnego konta. Ale stamtąd cyberkryminaliści mogą się dowiedzieć o naszych zainteresowaniach, poznać prawdziwe imiona i internetowe pseudonimy naszych przyjaciół. To bezcenna wiedza dla kogoś, kto będzie się chciał pod któregoś z nich podszyć. Pamiętajcie – przestrzega wszystkich profesor Hollin – w cyberprzestrzeni krążą nie tylko dobre intencje! I stanowczo zaleca instalowanie wszelkich antywirusów i Firewall'i. Święte słowa, nie dajmy się złapać na hak.