Πηγή: Infowar
Ψυγεία ξεπαγώνουν τα περιεχόμενά τους στη μέση του φθινοπώρου. Ρεπορτάζ-φωτιά από την Εσθονία έως την εξωτική Κηφισιά καλύπτουν το κύμα κυβερνοεπιθέσεων στην αλυσίδα τροφοδοσίας (κυρίως στα σουπερμάρκετ, αν και όχι μόνο). Το κλίμα, ανησυχητικό και πολεμικό, σχεδόν όσο αυτό την έλλειψης χαρτιού υγείας τις πρώτες ημέρες του Covid στην Ευρώπη. Αντίδραση αναμενόμενη, καθώς κανείς πολίτης δεν οφείλει να είναι διαβασμένος στην κυβερνοασφάλεια, ώστε να μπορεί να κρίνει νηφάλια τις πληροφορίες που αναμεταδίδονται.
Το πραγματικό πρόβλημα όμως είναι πως αρκετές κατασκευάστριες εταιρίες έχουν αποφασίσει να κάνουν την κυβερνοασφάλεια μέρος της προσωπικής μας ζωής για λόγους… κέρδους.
Σημείωση: Ο όρος «χάκερ» περιγράφει γενικά τον άνθρωπο που κάνει κάτι δημιουργικό ή απροσδόκητο με μια ηλεκτρονική συσκευή. Οι κακόβουλοι χάκερ (ή «κράκερ») είναι μια συγκεκριμένη περίπτωση τέτοιων πράξεων. Οι περιπτώσεις «κράκερ», που δραστηριοποιούνται συγκεκριμένα στα πλαίσια πολιτικών ή οικονομικών επιθέσεων, είναι μια ακόμα πιο συγκεκριμένη υπο-ομάδα. Στην πραγματικότητα, στους «χάκερ» οφείλουμε ένα πολύ μεγάλο μέρος της κυβερνοασφάλειάς μας, καθώς είναι οι χρήστες συσκευών που πρώτοι αναγνωρίζουν και δημοσιοποιούν κενά ασφαλείας.
Παγκοσμιοποίηση: ο καλύτερος φίλος του «κράκερ»
Ο κατάλογος ευρωπαϊκών χωρών που έχουν πληγεί όλο και μακραίνει: Γαλλία (Οκτώβριος), Ιταλία, Βέλγιο, Ιρλανδία, Πορτογαλία, Σουηδία, Φινλανδία, Εσθονία, Βέλγιο, Ολλανδία, Λουξεμβούργο, εσχάτως και Ελλάδα. Σε ένα χάρτη, είναι μια εντυπωσιακή εξάπλωση και γι αυτόν ακριβώς τον λόγο, τα δελτία ειδήσεων δείχνουν τις επιθέσεις σε χάρτη, χρωματίζοντας ολόκληρες χώρες. Σε καμία περίπτωση όμως, δεν παρουσιάζουν τις κυβερνοεπιθέσεις ως μια λίστα των σουπερμάκετ ή των ψυγείων που επλήγησαν. Η σωστή ενημέρωση σε βγάζει άλλωστε σε δελτία, που πρέπει να δικαιολογούν τη μουσική υπόκρουση ταινίας δράσης.
Όποιος παρατηρήσει τα ψυγεία των σουπερμάρκετ, θα δει πως πολλές φορές τα ψυγεία διαφορετικών αλυσίδων μοιάζουν υπερβολικά μεταξύ τους. Ο λόγος είναι ο προφανής, πως υπάρχει περιορισμένος αριθμός εταιριών που κατασκευάζουν και εμπορεύονται ψυγεία σε μεγάλη κλίμακα γι’ αυτή τη χρήση. Κοιτώντας τις κυβερνοεπιθέσεις υπό αυτό το πρίσμα, τα ψυγεία σε Γαλλία, Σουηδία, Ολλανδία και Εσθονία ήταν συγκεκριμένα, παλαιότερα μοντέλα της δανέζικης Danfoss, τα οποία έχουν ιστορικό τέτοιων ευπαθειών. Η ίδια η εταιρία ισχυρίζεται πως μετά το περιστατικό στη Γαλλία στα μέσα Οκτωβρίου, εξέδωσε αναβαθμίσεις του λογισμικού, οι οποίες όμως δεν έφτασαν σε όλα τα ψυγεία της. Υπό αυτό το πρίσμα, οι τρεις αυτές χώρες αποτελούν μία ουσιαστικά κυβερνοεπίθεση, καθώς η ευπάθεια απλά… δεν διορθώθηκε.
Η κυβερνοεπίθεση σε γαλλικά ψυγεία έδωσε ακόμα δύο ενδιαφέροντα στοιχεία: Σύμφωνα με ρεπορτάζ της Le Monde, έγιναν στόχος και μερικά ακόμα ψυγεία μιας μικρότερης εταιρίας, της Dixell. Η σημασία αυτής της επίθεσης έγκειται στην επιβεβαίωση πως η απόψυξη των ψυγείων γινόταν με αυτοματοποιημένο τρόπο και όχι χειροκίνητα. Τα παραπάνω στοιχεία μας επιτρέπουν να εκτιμήσουμε πως τουλάχιστον όσον αφορά Γαλλία, Σουηδία, Ολλανδία και Εσθονία, η επίθεση ήταν προμελετημένη και οργανωμένη πάνω σε ευπάθειες, που ήταν γνωστές από χρόνια και τα δεδομένα που αποκτήθηκαν τον Οκτώβριο.
Ένα από τα πιο αξιοπερίεργα στοιχεία όμως βρίσκεται σε ρεπορτάζ του BBC, το οποίο αναφέρει τα δεδομένα «παγίδων» που έστησαν ειδικοί κυβερνοασφάλειας. Ψεύτικα ηλεκτρονικά ομοιώματα ψυγείων που είχαν στήσει, ώστε να φαίνονται πως βρίσκονται σε διάφορα σημεία του κόσμου, τράβηξαν απ’ ότι φαίνεται το ενδιαφέρον των κράκερ περίπου 10 ημέρες πριν τις κυβερνοεπιθέσεις. Όχι όλες όμως: μόνον οι παγίδες που βρίσκονταν σε ευρωπαϊκό έδαφος, όχι εκείνες που εμφανίζονταν στην Ουκρανία.
Πρέπει επίσης να σημειώσουμε πως οι εκτιμήσεις για Ρώσους χάκερ αυτή τη στιγμή δεν προέρχονται από την ίδια την επίθεση. Πρόκειται για δυο ομάδες (Noname057(16) και Z-Pentest Alliance), οι οποίες δημοσίευσαν δεδομένα που δείχνουν πως τα συστήματα της Danfoss είναι ακόμα δυνατό να χακαριστούν (όπως αναφέραμε παραπάνω). Αυτό αποδεικνύει μόνον πως οι ευπάθειες των συστημάτων ήταν γνωστές, μη διορθωμένες και ευάλωτες σε γνωστά εργαλεία.
Πράγμα που σημαίνει πως είναι ακόμα πιο νεφελώδες το ποιός ευθύνεται για την επίθεση.
(Δεν) κινδυνεύουμε από τρία εκατομμύρια οδοντόβουρτσες
Στις αρχές του 2024, έκανε το γύρο του διαδικτύου η «είδηση» για κυβερνοεπίθεση που χρησιμοποίησε τρία εκατομμύρια ηλεκτρονικές οδοντόβουρτσες. Όπως γρήγορα έγινε σαφές, δεν υπήρξε τέτοια επίθεση, αλλά επρόκειτο για ένα υποθετικό σενάριο που συζητήθηκε στα πλαίσια συνέντευξης με εταιρία κυβερνοασφάλειας. Πρόκειται όμως, για ένα σενάριο που βασίστηκε σε πραγματικές επιθέσεις.
Κάθε συσκευή που συνδέεται στο διαδίκτυο έχει μια μοναδική ταυτότητα. Ως εκ τούτου, μια σειρά κυβερνοεπιθέσεων γίνεται σε δύο κύματα: στο πρώτο, πιο αργό και «αθόρυβο» στάδιο, ο επιτιθέμενος αποκτά τον έλεγχο ενός μεγάλου αριθμού συσκευών, που είναι άσχετες με τον ίδιο και στο δεύτερο, βάζει αυτές τις συσκευές να κάνουν την κυρίως επίθεση. Έτσι εξασφαλίζει πολύ περισσότερη υπολογιστική ισχύ και μια στρατιά συσκευών, που δεν παραπέμπουν άμεσα στον επιτιθέμενο. Ίσως η πιο διάσημη τέτοια επίθεση έβγαλε το 2016 εκτός λειτουργίας μεγάλο μέρος του εμπορικού διαδικτύου, από δημοσιογραφικές ιστοσελίδες έως την Amazon.
Η λογική αντίδραση σε αυτό το σημείο είναι να κατηγοριοποιήσετε τις οδοντόβουρτσες με σύνδεση στο διαδίκτυο ως μέρος του αστικού μύθου. Αντιθέτως όμως, αποτελούν πραγματικότητα, πριν ακόμα από το 2014, ως μέρος της προσπάθειας της βιομηχανίας να εκμεταλλευτεί την ταχεία εξάπλωση των smartphones. Όταν όμως έχετε μια οδοντόβουρτσα, που καταγράφει τον τρόπο με τον οποίο πλένετε τα δόντια σας, θα μείνουν άραγε ανεκμετάλλευτα τα παραγόμενα δεδομένα; Πριν λίγες ημέρες, η Philips παρουσίασε… οδοντόβουρτσες με «A.I.», εκμεταλλευόμενη τη νέα τεχνολογική μόδα.
Είναι δεδομένο το εμπόριο δεδομένων;
Κατ’ αρχάς, πρέπει να πούμε πως τρέφουμε βαθιά εκτίμηση στην καλή συλλογή δεδομένων για τη βελτίωση της παραγωγής και τη μελέτη περίπλοκων κοινωνικοοικονομικών φαινομένων. Υπάρχουν τύποι κοινωνικής και ταξικής εκμετάλλευσης, τους οποίους δεν μπορούμε καν να βάλουμε σε λέξεις, χωρίς να έχουμε αρκετά δεδομένα, ώστε να τους παρατηρήσουμε και καθορίσουμε. Από αυτήν την πλευρά, η συλλογή δεδομένων είναι προαπαιτούμενο για την μετακύλιση του βάρους εξουσίας προς τον κόσμο της εργασίας.
Η υπαγωγή των δεδομένων όμως στην καπιταλιστική παραγωγή έχει την πολύ διαφορετική υφή του ότι η ανθρώπινη συμπεριφορά αντιμετωπίζεται ως διεργασία, που πρέπει να μετατραπεί σε προϊόν. Το πρώτο βήμα είναι να μετατραπεί λοιπόν σε δεδομένα και το δεύτερο είναι να αξιοποιηθούν αυτά τα δεδομένα για τον έλεγχο και τη νουθεσία της κατανάλωσης. Σε παλαιότερες αναλύσεις μας έχουμε ασχοληθεί τόσο με τη διαδικασία παραγωγής και εμπορίας προσωπικών δεδομένων, όσο και με την οικονομική, πολιτική και κοινωνική ισχύ που αποφέρει η ιδιοκτησία τους. Στη συγκεκριμένη ανάλυση όμως, μας ενδιαφέρει συγκεκριμένα η εμμονή με τη διασύνδεση ηλεκτρονικών συσκευών στο διαδίκτυο.
Υπάρχουν πολλοί τρόποι διασύνδεσης ηλεκτρονικών συσκευών μεταξύ τους ή σε οικιακά δίκτυα, αλλά η χρήση του internet έχει για πολλούς παραγωγούς δύο πλεονεκτήματα: Πρώτο και κύριο… είναι φτηνή, καθώς οι εταιρείες μπορούν να χρησιμοποιήσουν εργαλεία του εμπορίου ή υπεργολάβους, ώστε να αποφύγουν το κόστος συντήρησης ενός τμήματος ηλεκτρονικής υποστήριξης. Αυτή ακριβώς είναι η περίπτωση των σουπερμάρκετ που δέχθηκαν τις κυβερνοεπιθέσεις, καθώς βασίζονται σε εταιρείες που αναλαμβάνουν εκ μέρους τους την τεχνική υποστήριξη των ψυγείων, που αγοράζονται από μια τρίτη εταιρεία. Δεύτερο και σημαντικότερο ίσως, είναι το γεγονός ότι έτσι η κατασκευάστρια εταιρία μπορεί να έχει φθηνή και άμεση πρόσβαση σε δεδομένα για τη χρήση των συσκευών της, τα οποία μπορεί να χρησιμοποιήσει η ίδια ή και να τα πουλήσει.
Για μια αλυσίδα παραγωγής, η πρόσβαση της κατασκευάστριας εταιρείας σε τέτοια δεδομένα μπορεί να είναι σημαντική, αλλά η χρήση του διαδικτύου σημαίνει ταυτόχρονα πως όλες οι συνδεδεμένες συσκευές γίνονται ευπαθείς σε κυβερνοεπιθέσεις. Η ίδια η έννοια της «κυβερνοεπίθεσης» σημαίνει στην ουσία της πως ένα μη εξουσιοδοτημένο άτομο μπορεί να στείλει μια εντολή σε μια συσκευή και αυτή να την εκτελέσει. Εάν η εταιρία έχει προγραμματίσει αυτή τη δυνατότητα (π.χ. σε ένα ψυγείο που μπορεί να ρυθμιστεί η θερμοκρασία του μέσω διαδικτύου), έχει κάνει η ίδια ήδη τα τέσσερα πέμπτα της κυβερνοεπίθεσης.
Ένα από τα ίσως πιο ακραία παραδείγματα ήρθε στη δημοσιότητα με την πτώση servers της Amazon το 2025, η οποία κατέστησε άχρηστα μια σειρά προϊόντων που χρησιμοποιούσαν τις υποδομές της, μεταξύ των οποίων… έξυπνα στρώματα. Καθώς τα (ιδιαίτερα ακριβά) ηλεκτρονικά στρώματα ήρθαν για λίγο στο κέντρο της δημοσιότητας, άνοιξε ένας διάλογος για τη δυνατότητα της εταιρείας που τα παρήγαγε να έχει πρόσβαση σε εξαιρετικά προσωπικά δεδομένα. Το πιο εμφανές επίπεδο είναι δεδομένα που αφορούν την ίδια τη χρήση του στρώματος, τις κινήσεις του σώματος, τη θερμοκρασία, την ποιότητα του ύπνου και άλλα. Μια τέτοια ποικιλία δεδομένων επιτρέπει ανά πάσα στιγμή να γνωρίζει κάποιος τι γίνεται στο συγκεκριμένο κρεβάτι. Κατά τη δημιουργία προφίλ στην εφαρμογή της εταιρίας, ο καταναλωτής όμως παρέχει και άλλα στοιχεία, όπως όνομα, φύλο, ύψος, βάρος. Ακόμα και αν ανωνυμοποιηθούν τα δεδομένα, το στρώμα συνυπάρχει σε ένα οικιακό δίκτυο. Όπως έχουμε δει, είναι εφικτό τα δεδομένα των συσκευών αυτού του δικτύου να χρησιμοποιηθούν για την εκ νέου αναγνώριση του «ανώνυμου» προσώπου και να διανθιστεί το προφίλ του με μια σειρά από άλλα στοιχεία της προσωπικής του ζωής.
Κατακλείδα
Σημαίνουν όλα τα παραπάνω πως η επόμενη κυβερνοεπίθεση θα έχει στόχο την τοστιέρα και τα στρώματά μας; Κάθε άλλο. Σημαίνουν όμως πως η θρησκευτική σχεδόν προσήλωση στην παραγωγή και εμπορία δεδομένων ως τομέα της οικονομίας, δημιουργεί συστηματικά το περιβάλλον στο οποίο οι κυβερνοεπιθέσεις, που βλέπαμε σε κωμωδίες επιστημονικής φαντασίας, να γίνονται τεχνικά εφικτές.
Επίσης, αν είναι κάτι που μαθαίνουμε από την υπόθεση των σουπερμάρκετ είναι πως ο ανθρώπινος παράγοντας είναι το άλφα και το ωμέγα της κυβερνοασφάλειας. Η απόφαση να έχουμε συσκευές (εν προκειμένω ψυγεία) 24/7 ελέγξιμες μέσω διαδικτύου είναι βαθιά ανθρώπινη και περιλαμβάνει την παράμετρο του ότι «το ρίσκο είναι αποδεκτό». Η αδράνεια απέναντι στην ανακάλυψη μιας ευπάθειας είναι επίσης βαθιά ανθρώπινη και αποτελεί στην πραγματικότητα, τη βάση πάνω στην οποία στηρίζονται οι κυβερνοεπιθέσεις από καταβολής του διαδικτύου. Εξίσου ανθρώπινες είναι και οι απώλειες που προκαλούνται, οι οποίες θα πρέπει να μας υπενθυμίζουν τόσο την υπέρβαση των ορίων από την πλευρά των επιχειρήσεων όσο και τη δική μας συχνά, ολιγωρία να επιβάλουμε τα όρια αυτά.
