Czym jest cyberatak? Rodzaje, etapy i jak się przed nim chronić

Cyberatak to celowa próba włamania się do systemów komputerowych, sieci lub danych, zazwyczaj po to, żeby coś ukraść, coś zakłócić albo wyłudzić pieniądze. To pojęcie obejmuje naprawdę szeroki zakres: oszukańcza wiadomość e-mail, która nakłania pracownika do przelania pieniędzy, to cyberatak, podobnie jak złośliwe oprogramowanie, które paraliżuje działanie całego szpitala. Łączy je jeden element – zamiar. Gdy coś się psuje przez przypadek, to jest to awaria; gdy ktoś psuje to celowo, to jest to atak.

Poniżej przyjrzymy się, kto przeprowadza te ataki i czego szukają, z jakimi rodzajami ataków najczęściej się spotkasz, jak zazwyczaj przebiega atak, co robić, gdy znajdziesz się w samym środku takiego ataku, oraz dlaczego najskuteczniejsze zapobieganie ma mniej wspólnego z technologią, niż większość ludzi by się spodziewała.

Kto atakuje i dlaczego

Wizerunek samotnego hakera w bluzie z kapturem jest już od dziesięcioleci nieaktualny. Zdecydowana większość ataków pochodzi od zorganizowanych grup przestępczych, które działają jak firmy – mają działy wsparcia technicznego, modele subskrypcyjne i partnerów, którzy wynajmują swoje narzędzia. Ich motywacją są pieniądze, a cele wybierają tak samo, jak każda firma wybiera klientów: na podstawie tego, jak łatwo jest dokonać sprzedaży.

Właśnie dlatego założenie, że „jesteśmy za mali, żeby nas ktoś zauważył”, jest tak kosztowne. Małe i średnie firmy są atrakcyjne właśnie dlatego, że dysponują cennymi danymi i przepływami płatności, a jednocześnie rzadko zatrudniają dedykowany zespół ds. bezpieczeństwa. Ataki na nie zazwyczaj nie mają charakteru osobistego – są zautomatyzowane i polegają na przeglądaniu list adresów oraz znanych słabych punktów, aż coś się odezwie. Bardziej szczegółowo przyjrzeliśmy się tej dynamice w naszym artykule o tym, dlaczego małe i średnie przedsiębiorstwa są tak podatne na cyberataki.

Oprócz przestępców są też inne motywy: konkurenci czy podmioty państwowe, które chcą przejąć własność intelektualną, aktywiści szukający rozgłosu, a czasem ktoś z wewnątrz, który działa z frustracji. Motywy są różne, ale techniki w większości takie same, co jest wygodne: obrona przed typowymi przypadkami obejmuje większość pozostałych sytuacji.

Najczęstsze rodzaje cyberataków

Ciągle pojawiają się nowe nazwy ataków, ale prawie wszystkie z nich to wariacje na temat kilku mechanizmów. Znajomość mechanizmu jest bardziej przydatna niż zapamiętywanie słownictwa.

• Phishing i jego odmiany. Wiadomość, która podszywa się pod kogoś, komu ufasz, żeby wyłudzić dane logowania, płatność albo kliknięcie. To wciąż zdecydowanie najczęstszy sposób ataku. Jak to działa i czym różnią się odmiany SMS-owe i głosowe, opisaliśmy w naszym przewodniku po phishingu.
• Ransomware. Złośliwe oprogramowanie, które szyfruje twoje pliki i żąda zapłaty za klucz, coraz częściej połączone z groźbą upublicznienia danych. W naszym artykule o ransomware wyjaśniamy, jak rozprzestrzenia się ta infekcja.
• Złośliwe oprogramowanie w szerszym ujęciu. Keyloggery, trojany bankowe, oprogramowanie szpiegujące i programy do kopania kryptowalut – wszystkie te programy instalują się po cichu i działają w tle. Zobacz nasz przegląd złośliwego oprogramowania.
• Inżynieria społeczna bez żadnego złośliwego oprogramowania. Przekonująca rozmowa telefoniczna, fałszywy dostawca zmieniający dane bankowe, pilna prośba od dyrektora. Nie ma tu żadnego pliku do sprawdzenia, i właśnie to sprawia, że tak trudno jest wyłapać inżynierię społeczną.
• Ataki na dane uwierzytelniające. Wykorzystywanie haseł, które wyciekły gdzie indziej, albo masowe odgadywanie słabych haseł. To dla atakującego tani sposób, i właśnie dlatego uwierzytelnianie wieloskładnikowe (MFA) jest tak ważne.
• Wykorzystywanie oprogramowania bez aktualizacji. Znane luki w systemach, które nie zostały zaktualizowane. Zautomatyzowane skanery wykrywają je w ciągu kilku godzin od momentu, gdy informacja o luce trafi do opinii publicznej.
• Atak typu „odmowa usługi”. Zalewanie serwisu ruchem sieciowym, przez co staje się on niedostępny. Rzadko chodzi o kradzież, częściej o zakłócenie działania lub wymuszenie.
• Ataki na łańcuch dostaw. Włamanie do systemu dostawcy, aktualizacja oprogramowania lub atak na dostawcę usług, by dotrzeć do wszystkich, którzy z nich korzystają. Twoje własne zabezpieczenia to tylko część całości.

Zwróć uwagę, jak wiele z tych zagrożeń zaczyna się od człowieka, a nie od maszyny. Phishing, inżynieria społeczna i ponowne wykorzystywanie danych logowania – we wszystkich tych przypadkach potrzebna jest osoba, która wykona jakieś działanie, a właśnie w tym obszarze organizacja ma najwięcej do poprawienia.

Jak przebiega cyberatak

Ataki rzadko są takimi pojedynczymi, dramatycznymi wydarzeniami, jak to wygląda w wiadomościach. W praktyce przebiegają one przez rozpoznawalne etapy, a między pierwszym wkroczeniem a widocznymi szkodami często mija kilka tygodni. Ta przerwa to też szansa: atak wykryty w pierwszym tygodniu to tylko incydent, a ten wykryty w szóstym – to już kryzys.

Ogólnie rzecz biorąc, cały proces przebiega następująco: od rozpoznania, podczas którego atakujący zbiera nazwiska, adresy i informacje o relacjach z dostawcami z publicznie dostępnych źródeł, przez uzyskanie dostępu za pomocą jednego kliknięcia lub skradzionego hasła, po dyskretne rozszerzanie tego dostępu, aż po ostateczny etap – szyfrowanie, kradzież lub oszustwo. Każdy etap pozostawia ślady i każdy z nich daje szansę na interwencję. W naszym artykule o etapach cyberataku omawiamy ten proces krok po kroku.

Co robić w trakcie i po ataku

Pierwsza godzina ma większe znaczenie niż technologia, którą kupiłeś w zeszłym roku. Ludzie nie potrzebują grubego segregatora, tylko kilka kroków, które faktycznie będą w stanie zapamiętać w stresującej sytuacji.

1. Zgłoś to natychmiast, zanim spróbujesz to naprawić. Szybkość zgłoszenia decyduje o tym, ile swobody zyska atakujący. Nikt nie powinien się wahać tylko dlatego, że nie ma jeszcze pewności.
2. Lepiej odizoluj, niż wyłączaj. Odłączenie zainfekowanego komputera od sieci ogranicza rozprzestrzenianie się wirusa; wyłączenie zasilania może zniszczyć dowody, które będą ci później potrzebne.
3. Załóż, że dane logowania zostały ujawnione. Zresetuj hasła i sesje na odpowiednich kontach oraz sprawdź, czy nie pojawiły się nowe urządzenia, reguły przekierowywania poczty i zmienione adresy do odzyskiwania hasła.
4. Zachowaj dowody. Logi, oryginalną wiadomość, zrzuty ekranu. Ubezpieczyciele i śledczy będą o to pytać, podobnie jak organ nadzorczy, jeśli w grę weszły dane osobowe.
5. Sprawdź, jakie masz obowiązki w zakresie zgłaszania incydentów. Naruszenie bezpieczeństwa danych osobowych wiąże się z obowiązkiem zgłoszenia, a organizacje objęte zakresem dyrektywy NIS2 mają własne terminy zgłaszania incydentów. Zaangażuj osobę odpowiedzialną za to od pierwszego dnia, a nie dopiero piątego.
6. Przeanalizuj to później, nie szukając winnego. Warto zadać sobie pytanie, który sygnał został przeoczony i dlaczego, a nie kto kliknął. Obwinianie innych sprawia, że następny incydent dłużej pozostanie ukryty.

Dlaczego profilaktyka zaczyna się od ludzi

Środki techniczne przejmują największy ciężar w walce z zalewem ataków. Uwierzytelnianie wieloskładnikowe, regularne aktualizacje, sprawdzone kopie zapasowe przechowywane offline oraz ograniczenie uprawnień dostępu pozwolą odfiltrować większość zautomatyzowanych prób. Żadne z tych rozwiązań nie jest opcjonalne, a ataki już dawno przestały odnosić sukcesy właśnie w tych obszarach.

To, co przedostaje się przez filtry, jest skierowane do ludzi, bo ludzi da się przekonać, a oprogramowania – nie. Pracownik, który zauważy podejrzaną prośbę o przelew, sprawdzi ją przez inny kanał i zgłosi, powstrzyma atak, którego żaden skaner by nie wykrył. To umiejętność, a jak każda umiejętność – zanika bez praktyki, dlatego pojedyncze coroczne szkolenie daje tak marne efekty. Krótkie, powtarzające się ćwiczenia dostosowane do aktualnych zagrożeń działają znacznie lepiej, a symulacja phishingu pokazuje ci, na jakim naprawdę jesteś poziomie, a nie na jakim myślisz, że jesteś.

Jak Guardey pomaga ci zmniejszyć ryzyko

Szkolenie Guardey z zakresu świadomości bezpieczeństwa jest dostosowane do tego rytmu: cotygodniowe wyzwania trwające około trzech minut, elementy grywalizacji z rankingami i seriami oraz treści nawiązujące do rzeczywistych zagrożeń krążących w sieci. Pracownicy szkolą się w aplikacji mobilnej na iOS i Androida albo w przeglądarce, co oznacza, że uwzględnieni są też koledzy, którzy nie mają stałego stanowiska pracy.

Zintegrowane symulacje phishingu pokazują, czy rozpoznanie zagrożenia przekłada się na konkretne działania, a raporty gotowe do audytu sprawiają, że cały program staje się dowodem zgodności z normami takimi jak NIS2 i ISO 27001. Konfiguracja zajmuje zaledwie kilka minut, a w ten sposób działa już ponad 500 organizacji, w tym Parlament Europejski.

Najczęściej zadawane pytania dotyczące cyberataków

Jaka jest różnica między cyberatakiem a naruszeniem bezpieczeństwa danych?

Atak to próba; naruszenie danych to jeden z możliwych skutków. Zablokowany atak nigdy nie przeradza się w naruszenie, a do naruszenia może dojść nawet bez żadnego ataku – na przykład gdy ktoś wyśle plik e-mailem do niewłaściwego odbiorcy. To rozróżnienie ma znaczenie, bo obowiązki zgłaszania dotyczą właśnie naruszenia, a nie samej próby.

Jak długo trwa, zanim zauważysz atak?

Dłużej, niż większość organizacji się spodziewa. Atakujący, którzy dostają się do systemu dzięki skradzionemu hasłu, często działają ostrożnie, żeby nie uruchomić alarmów, a widoczne szkody pojawiają się raczej na końcu niż na początku. Dlatego zgłoszenia od pracowników są tak cenne: często ujawniają coś dziwnego na długo przed tym, zanim wykryje to system monitorujący.

Czy mała organizacja naprawdę jest celem ataku?

Tak, i zazwyczaj nie z własnej woli. Większość ataków jest zautomatyzowana i celuje w wszystko, co odpowiada kryteriom, więc mała skala działalności nie zapewnia żadnej ochrony, a mniejsza liczba specjalistów często oznacza dłuższy czas reakcji. Brak atrakcyjności nie stanowi ochrony przed skryptem.

Czy ubezpieczenie obejmuje cyberatak?

Istnieją polisy cyberbezpieczeństwa, które mogą pokrywać koszty przywrócenia sprawności, ale ubezpieczyciele coraz częściej wymagają od ciebie wykazania, że wdrożyłeś podstawowe środki zabezpieczające, w tym szkolenia pracowników, i po incydencie będą prosić o dowody. Traktuj polisę jako zabezpieczenie przed stratami finansowymi, a nie jako substytut samych środków zabezpieczających.

Niezręczna prawda o cyberatakach jest taka, że większość z nich nie jest wcale skomplikowana. Opierają się na hasłach używanych na wielu stronach, systemach, do których nigdy nie zainstalowano poprawek, albo na koledze, który w piątek po południu gdzieś się spieszy. To też jest ta budująca strona: ta sama garść nawyków pozwala zapobiec zdecydowanej większości ataków, a każdy z tych nawyków to coś, czego zespół może się nauczyć.