Cyberprzestrzeń – układ nerwowy świata

Media codziennie przynoszą informacje o kolejnych atakach hakerskich, masowych włamaniach do systemów bankowych, paraliżowaniu serwisów internetowych, wyciekach haseł do kont pocztowych, kradzieżach tożsamości oraz wielu innych incydentów, które mają miejsce w cyberprzestrzeni. Obok nich pojawiają się doniesienia o odpartych atakach grup hakerskich (za którymi mają stać państwa lub organizacje terrorystyczne) na systemy sterujące elementami infrastruktury krytycznej, zapewniającej kluczowe z punktu widzenia funkcjonowania nowoczesnych społeczeństw usługi lub uchodzące za bezpieczne sieci sił zbrojnych. Musimy się przyzwyczaić do tego, że właśnie cyberprzestrzeń będzie coraz częściej miejscem nowoczesnych konfliktów, które będą rozgrywać się nie tylko na polach bitew, w powietrzu, na morzu i na lądzie, ale także w salach pełnych informatyków, operujących złożonymi systemami broni cyfrowych.

Choć instytucje bankowe inwestują w kolejne elementy zabezpieczeń, przestępcom udaje się łamać zapory i okradać nieświadomych klientów (jak choćby sądzony w 2019 roku przez lubelski sąd szef międzynarodowej grupy, która przez 5 lat ukradła w ten sposób 50 mln zł)

Czym jest cyberprzestrzeń?

Po raz pierwszy terminu „cyberprzestrzeń” użył pisarz science-fiction, William Gibson, w roku 1982. Posłużył się w opisie również takimi sformułowaniami jak „bezprzestrzeń”, „konstelacje danych”, „niewyobrażalna złożoność”. Szybki wzrost znaczenia cyberprzestrzeni wywołał obowiązek prawnego uregulowania jej statusu w ekosystemie instytucji bezpieczeństwa. W polskim prawodawstwie definiuje się ją jako cyfrową przestrzeń przetwarzania i wymiany informacji, która jest tworzona przez systemy i sieci teleinformatyczne wraz z powiązaniami pomiędzy nimi oraz relacjami z użytkownikami. Cyberprzestrzeń RP obejmuje terytorium państwa oraz lokalizacje poza nim (przedstawicielstwa dyplomatyczne, misje wojskowe).

Znaczenie cyberprzestrzeni wynika wprost z charakteru i tempa postępu technologicznego, który charakteryzuje się coraz dalej idącą integracją domen biologicznej i technologicznej. Nasz „cyfrowy ślad” staje się coraz większy, a wiele kluczowych dla funkcjonowania jednostek i całych społeczeństw systemów funkcjonuje w tej „bezprzestrzennej” przestrzeni. Konsekwencją jest pojawienie się skomplikowanej sieci różnego rodzaju zagrożeń i skokowy wzrost rangi cyberbezpieczeństwa. W rozumieniu polskiego ustawodawcy, to „odporność systemów informacyjnych na działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych lub związanych z nimi usług oferowanych przez ten system”. Lepsze zrozumienie tego, jak bardzo zależymy od utrzymania tej odporności jest niezbędne. Niezwykle istotne jest także zrozumienie skutków jej zakłóceń (niekoniecznie zaś samej istoty tych systemów) dla różnych obszarów naszej aktywności.

Niebezpieczeństwa w skali mniejszej…

Cyberprzestrzeń stała się domeną ofensywnych działań, prowadzonych przez państwa i aktorów niepaństwowych. Ze względu na potencjał (i cele), to państwa (przede wszystkim Stany Zjednoczone, Izrael, Rosja, Chiny i Iran) są podejrzewane o najbardziej intensywne i wyrafinowane działania w tej sferze

Szczególne emocje budzą ataki na systemy bankowe, w wyniku których klienci indywidualni tracą swoje pieniądze. Choć instytucje bankowe inwestują w kolejne elementy zabezpieczeń, przestępcom udaje się łamać zapory i okradać nieświadomych klientów (jak choćby sądzony w 2019 roku przez lubelski sąd szef międzynarodowej grupy, która przez 5 lat ukradła w ten sposób 50 mln zł). Elektroniczne pieniądze próbuje się nam kraść nie tylko przez włamania na konta, ale także na wiele innych sposobów, między innymi poprzez przejmowanie danych do logowania (jak osławiona Evil Corp, której łupem padło 100 mln dolarów) lub skanując używane w bankomatach karty płatnicze (piszący te słowa padł ofiarą takiego ataku w czasie korzystania z bankomatu za granicą; bank zareagował błyskawicznie, kiedy dokonano próby wypłaty z konta kilkudziesięciu tysięcy rupii indonezyjskich). Fantazja przestępców zdaje się nie mieć granic, a wirtualizacja pieniądza i nieustannie rosnący rynek sprzedaży towarów i usług przez aplikacje sieciowe będzie dostarczał nam przykładów kolejnych, czasami niemal niemożliwych do wytłumaczenia przestępstw. Nie należy w tym kontekście zapominać o kradzieżach tożsamości i wyłudzeniach. Rzeczą niezwykle trudną jest stworzenie mapy zagrożeń, które nieświadoma (ale również i świadoma) jednostka może napotkać w cyberprzestrzeni.

Na horyzoncie rysują się tymczasem jeszcze większe niebezpieczeństwa, towarzyszące szansom związanym z budową sieci 5G i rozwojem Internetu rzeczy, który będzie jej konsekwencją. Przejmowanie kontroli nad działającymi w wielowarstwowej sieci urządzeniami, od autonomicznych samochodów po autonomiczne domy, stworzy nową generację zagrożeń.

Niezwykle istotne są także potencjalne zakłócenia dla działalności biznesowej. Upowszechnienie się hybrydowych systemów przechowywania danych, w ramach których infrastruktura fizyczna jest uzupełniana, a czasem zastępowana przez środowiska chmurowe, tworzy poważną podatność na ataki. Przyczyna leży w fakcie rozproszenia odpowiedzialności za bezpieczeństwo tych informacji w czasie, gdy wrogie podmioty stale dywersyfikują taktyki ataków.

Wraz z rozszerzaniem się obecności wielu instytucji w cyberprzestrzeni rośnie ich podatność na ataki z użyciem złośliwego oprogramowania typu ransomware, szyfrującego dostęp do systemów teleinformatycznych dla okupu (w ostatnim czasie nie tylko w postaci pieniędzy, ale także konkretnych informacji). Według raportu firmy Emsisoft z 2019 roku, tylko w USA ofiarą tego typu ataków padły 984 instytucje z sektorów administracji rządowej, edukacji oraz, co najbardziej znaczące, opieki medycznej (759 przypadków). Ataki stają się prawdziwą plagą i powodują zakłócenia w funkcjonowaniu podmiotów odpowiedzialnych za usługi kluczowe. Należy także spodziewać się wzrostu efektywności (i wyrafinowania) wszelkich ataków tego typu wraz z rozwojem instrumentów sieciowych, wspomaganych przez sztuczną inteligencję. Oznacza to rosnące zagrożenie dla infrastruktury krytycznej.

…i w większej

Ewentualny paraliż instytucji państwowych i następujące po nim wstrząsy społeczne to jedno z najpoważniejszych zagrożeń, które wynika z naszego uzależnienia od technologii. Doskonałym tego przykładem może być przerażający, literacki scenariusz, który w książce pt. „Blackout” nakreślił Marc Elsberg. Opisuje on potencjalny atak hakerski radykalnej ideologicznie grupy na kluczowe systemy informatyczne, który (m.in. dzięki inteligentnym licznikom energii elektrycznej) niszczy europejską sieć elektroenergetyczną, doprowadzając do kaskadowego kryzysu wielosektorowego i katastrofy w skali całego kontynentu.

Według raportu firmy Emsisoft z 2019 roku, tylko w USA ofiarą ataków ransomware padły 984 instytucje z sektorów administracji rządowej, edukacji oraz, co najbardziej znaczące, opieki medycznej (759 przypadków)

Elsberg przedstawia scenariusz wykorzystania złośliwego oprogramowania, prowadzącego do powstania rozległych, fizycznych uszkodzeń infrastruktury. Nietrudno wyobrazić sobie podobny atak na systemy kontroli ruchu lotniczego czy krytyczne węzły łączności. Na niewielką skalę scenariusz tego typu został zrealizowany pod koniec 2016 roku na Ukrainie (choć blackout trwał krótko) po użyciu wirusa Industroyer. Jednym z najbardziej znanych, realnych działań tego typu jest przypadek użycia wirusa Stuxnet, którym uderzono w 2010 roku w irański program atomowy.

Według ekspertów, ten wyrafinowany program mógł zostać stworzony tylko przez organizację państwową. Jego zastosowanie przypisuje się amerykańskim i izraelskim służbom wywiadowczym. Wprowadzenie do cyberprzestrzeni broni ofensywnej o takim potencjale może uchodzić, jak określił to gen. Michael Hayden (ówczesny szef CIA), za „przekroczenie Rubikonu” (sam oczywiście nie przyznał się do jakichkolwiek związków z tą operacją). Wirus Stuxnet jest określany jako cyfrowy ekwiwalent broni nuklearnej, a jego zastosowanie otworzyło drogę do nieograniczonego wyścigu zbrojeń. Kennette Benedict zauważa na łamach witryny „The Bulletin of the Atomic Scientists”, że „nowa epoka (broni – przyp. autor) masowego rażenia rozpocznie się wysiłkiem, celującym w zamknięcie pierwszej epoki (broni – przyp. autor) masowego rażenia”. Biorąc pod uwagę naszą rozszerzającą się obecność w cyberprzestrzeni i wykładnicze tempo rozwoju jej samej, konsekwencje użycia cyfrowej broni ofensywnej są niemożliwe do przewidzenia. Oto stajemy przed szerzej nieznanym zjawiskiem – cyberwojną.

Wojna i manipulacja w cyberprzestrzeni

Konflikty przenoszą się w cyberprzestrzeń wraz z innymi aktywnościami człowieka. Doniesienia o trwającej już cyberwojnie, której elementem jest zasygnalizowane wyżej użycie wirusa Stuxnet stały się tak częste, że zdążyły spowszednieć, zanim zostały społecznie zrozumiane. Trwają naukowe i eksperckie spory co do samej jej definicji, ale nie ma niezgody dla stwierdzenia, że cyberprzestrzeń stała się domeną ofensywnych działań, prowadzonych przez państwa i aktorów niepaństwowych. Ze względu na potencjał (i cele), to państwa (przede wszystkim Stany Zjednoczone, Izrael, Rosja, Chiny i Iran) są podejrzewane o najbardziej intensywne i wyrafinowane działania w tej sferze. W ujęciu węższym można określić je jako ukierunkowane na zakłócenie lub paraliż systemów teleinformatycznych atakowanego podmiotu lub uzyskanie dostępu do strategicznie ważnych informacji. Jak zauważają eksperci Europejskiej Agencji ds. Bezpieczeństwa Sieci i Informacji (ENISA), oprócz systemów komputerowych, niemniej istotnym elementem konfliktów w cyberprzestrzeni są jednak działania ludzi, czego „wyraźnym przykładem jest dezinformacja”.

Wirus Stuxnet jest określany jako cyfrowy ekwiwalent broni nuklearnej, a jego zastosowanie otworzyło drogę do nieograniczonego wyścigu zbrojeń

Operacje dezinformacyjne, choć nie są elementem definiowanej wąsko cyberwojny, są realizowane przede wszystkim w ekosystemie mediów internetowych. Jest to bezpośrednio związane z naszą obecnością w cyberprzestrzeni oraz zachowaniami informacyjnymi i komunikacyjnymi, które tworzą rozległą podatność na dezinformację. Eksperci ENISA zwracają także uwagę na rosnące zagrożenie modyfikowaniem skradzionych danych (np. treścią korespondencji) przed ich ujawnieniem. Działanie tego typu najczęściej jest wpisane w szerszą strategię.

Dobrze oprzyrządowane i ukierunkowania działania informacyjne w cyberprzestrzeni mogą efektywnie oddziaływać na sytuację społeczną, konstruować i dekonstruować poglądy, generując w ten sposób efekty polityczne. W raporcie pt: „The Emerging Risk of Virtual Societal Warfare. Social Manipulation in a Changing Information Environment”, analitycy Rand Corporation zdefiniowali działania przeciwko systemom społecznym w cyberprzestrzeni jako: zastosowanie klasycznej propagandy, technik wpływu oraz dezinformacji poprzez wiele kanałów, w tym w mediach społecznościowych; generowanie dobrze przygotowanych, sfabrykowanych materiałów wideo (należy w tym miejscu podkreślić rosnące zagrożenie tzw. deep fake, czyli fałszywymi materiałami wideo, stworzonymi przy zastosowaniu sztucznej inteligencji); manipulowanie kluczowymi z punktu widzenia gospodarki bazami danych; manipulowanie opartymi na algorytmach systemami podejmowania decyzji w celu osłabienia rządów i przedsiębiorstw, pogłębienia braku zaufania do instytucji i zwiększenia polaryzacji społecznej; wykorzystanie rozwijającego się Internetu Rzeczy; przejmowanie systemów wirtualnej i rozszerzonej rzeczywistości, przejmowanie kontroli nad interaktywnymi, zautomatyzowanymi systemami komunikacyjnymi (takimi jak osławiony chatbot Tay firmy Microsoft).

Cyberprzestrzeń może być zatem przestrzenią nieograniczonej bitwy, w której oprócz państw występują aktorzy niepaństwowi. Ze względu na dostępność szybko rozwijających się wysokich technologii mogą oni kompensować swoje strukturalne słabości wobec tradycyjnych graczy i generować przewagę przy względnie niskim nakładzie zasobów.

Stwierdzenie, że wkraczamy w nową epokę, które jeszcze niekiedy pojawia się w przestrzeni publicznej, trąci już myszką. Może być prawdziwe jedynie dla nieświadomych (jeszcze) jednostek, w coraz większym stopniu (bardzo często bezrefleksyjnie) przenoszących swoje aktywności w cyberprzestrzeń. Dokonuje się to bez wiedzy na temat generowanych tam zagrożeń i często bez chęci rozwijania podstawowych umiejętności, w tym elementów analizy i prognozowania (lub wręcz wyobrażania, tworzenia „pamięci przyszłości”) przyszłych ryzyk. W ten sposób tworzy rozszerzającą się w niekontrolowanym tempie i praktycznie nieograniczonej skali podatność. Pospolite przestępstwa i skomplikowane działania państw i innych podmiotów, które dla wielu, skoro dotyczą cyberprzestrzeni, w dalszym ciągu są abstrakcyjne – np. kradzieże tożsamości, szyfrowanie dla okupu, wykradanie danych, korespondencji i zdjęć wyrafinowane ataki na wieloskalowe systemy, cyberszpiegostwo i masowe operacje informacyjne w sieci – to wszystko niestety tylko wierzchołek góry lodowej. Podmioty świadomie funkcjonujące w cyberprzestrzeni już dawno w tę epokę wkroczyły. Teraz szykują się do kolejnych skoków, przede wszystkim jakościowych.

Potrzeba społecznego firewalla

Czy Polska jest gotowa, by stawić czoła temu kompleksowi zagrożeń? Osiągnięcie poziomu pełnego bezpieczeństwa jest oczywiście niemożliwe. Szczególnie w sytuacji, w której obszar chroniony jest tak rozległy i tak skomplikowany w swej strukturze.

Na uwagę zasługuje stopniowe rozwijanie zdolności wojskowych w tym zakresie w oparciu o potencjały m.in. Narodowego Centrum Bezpieczeństwa w Cyberprzestrzeni, Centrum Operacji Cybernetycznych, Służby Kontrwywiadu Wojskowego

W ostatnich latach rzeczywistość wymusiła na instytucjach państwa podjęcie działań na rzecz uporządkowania sektora cyberbezpieczeństwa. Rozpoczęto tworzenie prawnych fundamentów, przyjmując Ustawę o krajowym systemie cyberbezpieczeństwa. Na uwagę zasługuje stopniowe rozwijanie zdolności wojskowych w tym zakresie w oparciu o potencjały m.in. Narodowego Centrum Bezpieczeństwa w Cyberprzestrzeni, Centrum Operacji Cybernetycznych, Służby Kontrwywiadu Wojskowego. Warstwę defensywną na poziomie krajowym tworzą trzy Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT), prowadzone przez Agencję Bezpieczeństwa Wewnętrznego, Narodową i Akademicką Sieć Komputerową oraz Ministerstwo Obrony Narodowej.

Oprócz wymiaru stricte technicznego, potrzebne jest także ciągłe rozwijanie zabezpieczeń społecznych, szczególnie przed wszechobecnymi w sieci działaniami informacyjnymi. „Społeczny firewall” może powstać jedynie dzięki wysiłkom edukacyjnym i budowaniu świadomości zagrożeń, co jak wiadomo jest procesem długotrwałym, kosztochłonnym i nie obejmującym okresowych, spektakularnych sukcesów. To mozolne budowanie odporności i proaktywnej postawy naprzeciw błyskawicznie zmieniającej się strukturze zagrożeń. Konieczne jest konsekwentnie zwiększanie nakładów finansowych, które są kluczowe dla stworzenia możliwości zatrudniania najlepszych specjalistów w dziedzinie. Efektywność działania państwa i wszystkich aktorów społecznych będzie kluczowa dla utrzymania ich niezakłóconego funkcjonowania. Polska, mimo podjęcia wielu istotnych i jednoznacznie pozytywnych działań, ma w tym względzie bardzo wiele do zrobienia, a czas nie jest i nie będzie sprzymierzeńcem.