"Deep web" je akési temné internetové trhovisko, na ktorom sa dá zohnať všetko. Od drog cez ľudské orgány až trebárs po osobné údaje zo zlatých kreditiek. O fenoméne "deep web", najtemnejších zákutiach kybernetickej kriminality, hovoril nedávno v Bratislave na jednej zo svojich prednášok aj britský expert na informačnú bezpečnosť Paul C. Dwyer. Na akcii, ktorú zorganizovala spoločnosť Tempest, požiadali HN britského odborníka o krátky rozhovor.
Osobné dáta sa stávajú celosvetovo najdrahším artiklom na obchodovanie. Ako funguje tento obchod?
Jedna vec je to, že všade okolo nás sa nachádza obrovské množstvo osobných dát, ktoré sa štandardne využívajú na oficiálne definované a potrebné ciele. Okrem nich je tu však aj plno neoficiálnych cieľov a zámerov. Musíme sa to totiž vidieť z tej používateľskej stránky – z tej, že každá informácia má svoju hodnotu. Dáta sú vlastne niečo ako hotovosť, "cashové" peniaze. A pre potenciálnych zločincov je oveľa jednoduchšie ukradnúť takéto dáta, než ukradnúť hotovosť. Tie potom dokážu veľmi výnosne zobchodovať na undergroundových výmenných burzách.
V akých cenách sa pohybujú takéto obchody?
Cena informácií závisí od typu, o čo ide. Môžem spomenúť konkrétny prípad z praxe. Najvyššie cenenou informáciou v súčasnosti je informácia o chorých deťoch.
Môžete to vysvetliť?
Existujú zločinci, ktorí účelovo oslovujú rodičov takýchto chorých detí. Je to súčasť celého komplikovaného zločinu. Pri oslovovaní rodičov sa kriminálni aktéri tvária, že majú experimentálny liek, ktorý dokáže vyliečiť rakovinu ich dieťaťa. Snažia sa ich presvedčiť a pritom získať od nich peniaze za to, že ich dieťa zaradia do fingovaného medicínskeho výskumu. Stalo sa, že hakeri získané údaje využívali na predaj neexistujúceho lieku za 5000 amerických dolárov.
Ako je to s inými druhmi informácií?
Svoju cenu má každá informácia. Či je to bežné meno, dátum narodenia alebo číslo kreditnej karty. Rozdiel medzi nimi a bežnou hotovosťou je ten, že ak niekto ukradne peniaze, ukradne ich len raz. Ak sa však ukradnú niekoho osobné údaje alebo akékoľvek údaje, môžu sa predávať vždy znovu a znovu. Ďalší aspekt je ten, že ak vám niekto ukradne peniaze, všimnete si, že vám zmizli. Ale ak niekomu ukradnú dáta, ľudia si často ani neuvedomia, že k nejakej krádeži došlo.
Spomenuli ste oblasť informácií o chorých deťoch. Aké sú ďalšie žiadané informácie?
Čokoľvek, počínajúc informáciami o už spomenutých kreditných kartách. Dáta z kreditiek síce majú svoju hodnotu, ale v súčasnosti sa to už považuje za úplne bežný trestný čin, ktorý sa deje v podstate kontinuálne. Napríklad krádež informácií zo zlatých kreditných kariet má cenu približne piatich eur, kým plná informácia o čísle banky, účtu a mene držiteľa má cenu približne 60 eur. Možno sa vám to nezdá veľa, ale ak niekto vlastní excellovský súbor, na ktorom je desaťtisíc údajov o držiteľoch bankových účtov, plynie z toho už celkom slušná suma. Takéto informácie dokážete predať v priebehu pár minút na mnohých miestach sveta. Opakovane a mnohokrát.
Ako rýchlo stúpa podiel "temného" zločinu?
Celé toto odvetvie kybernetického "temného" zločinu má celosvetovo hodnotu jedného trilióna dolárov. Už to prekonalo aj obchodovanie s drogami. Je to zločin s najvyššou hodnotou. Jeho dôsledok je napríklad to, že poklesli násilné trestné činy. Kriminálnici zistili, že byť zaangažovaný do takejto kybernetickej kriminality je bezpečnejšie a jednoduchšie, než do násilnej.
Prečo sa to tak málo odhaľuje, prečo vychádza na povrch také malé percento tejto kriminality?
Máte pravdu. Je to pre obrovský objem tejto kriminality. Je jej toľko - či sú to čísla kreditiek, alebo obrázkov zneužívaných deti - že už aj orgány činné v trestnom konaní si po celom svete stanovili hranicu. Nič, čo má škodu pod milión dolárov, sa už ani nevyšetruje. FBI bude vyšetrovať iba prípady, v ktorých nastala škoda viac než milión dolárov. A zločinci si sú toho vedomí. Ak kradnú, robia to tak, že väčšinou sa snažia neprekročiť túto hranicu.
Teraz otázka z inej strany. Štát sa tiež snaží prenikať k osobným dátam občanov, tu však ide o ohrozenie z druhej strany, ak sa napríklad tajná služba snaží prenikať k osobným dátam občanov. Čo si o tom myslíte?
Vždy bude potrebná istá časť dozoru na to, aby sme dokázali ochrániť spoločnosť. Je však pravda, že sme už boli svedkami extrémnych prípadov, keď to zašlo oveľa ďalej, než bolo potrebné. V dôsledku toho je postava ako Edward Snowden pre jedných hrdina, pre iných zase zradca. Ja vnímam túto oblasť bezpečnosti z pohľadu rozhodcu na ihrisku pri futbalovom zápase. Tvrdím, že netreba doň zasahovať, pokiaľ sa hra hrá férovo. Rozčuľuje nás to iba vtedy, ak niekto praví zlé rozhodnutie. Vo svete, v ktorom žijeme, však potrebujeme takéto monitorovanie bezpečnosti. Pretože jednou z takých vážnych výziev sú aj tzv. útoky osamelých vlkov. Dnes už netrvá týždne ani mesiace, aby niekto naplánoval vražedný útok. Urobí sa to v priebehu niekoľkých hodín. Videli sme to na prípade, aký sa udial napríklad vo Veľkej Británii. Šlo o vraždu, ktorú niekto vykonal, ale pri vyšetrovaní sa zistilo, že tam boli signály o jej plánovaní, a to dokonca aj na Facebooku. Bolo tam ohlásenie, ale trvalo to iba pár hodín. Ja však tvrdím, že my potrebujeme skôr sofistikovanejšie nástroje, ktoré dokážu zachytiť nálady ľudí namiesto toho, aby sme snorili po ich mailoch.
Ste zástancom skôr pritvrdzovania zákonov zo strany štátu v súvislosti so všeobecnou bezpečnosťou?
Áno aj nie, pretože súkromie je jedným z ľudských práv. Myslím, že by malo ísť o správny typ pohľadu s dobre nasmerovanými zámermi. Nemalo by sa stať pravidlom, že štát bude pre istotu sledovať všetkých.
Kto je Paul C. Dwyer
Medzinárodne uznávaný expert informačnej bezpečnosti, ktorý má vyše 20-ročnú prax. Je spolupredsedom Národnej kriminálnej agentúry Spojeného kráľovstva a tiež delegátom špeciálnej jednotky proti organizovanému zločinu v službách polície severného Írska. Je strategickým poradcom v problematike počítačovej bezpečnosti a vymáhania práva. Jeho poradenské služby využívajú vládne (napríklad NATO) aj medzinárodné (napríklad Fortune 500) organizácie po celom svete. Pracoval a poskytoval školenia organizáciám, ako americká tajná služba, Scotland Yard, FBI, Národný protiteroristický bezpečnostný úrad.