Cyberataki można dziś kupić jak usługę. Grupa amerykańskich polityków z obu głównych partii chce, aby USA odcięły trzy indyjskie firmy od amerykańskich technologii. Zarzuca im prowadzenie cyberataków i szpiegostwa na zlecenie oraz atakowanie Amerykanów.
To jeden z coraz poważniejszych problemów współczesnego cyberbezpieczeństwa. Nie każde zagrożenie pochodzi bowiem od hakerów działających dla własnej korzyści. Istnieje również rynek firm, które oferują swoje możliwości hakerskie klientom gotowym za nie zapłacić.
Teraz przeciwko takim podmiotom wystąpili amerykańscy politycy z obu stron sceny politycznej.
USA mogą wpisać trzy indyjskie firmy na czarną listę
Demokratyczni senatorowie Ron Wyden z Oregonu i Sheldon Whitehouse z Rhode Island oraz republikański kongresmen Pat Harrigan z Karoliny Północnej skierowali list do sekretarza handlu USA Howarda Lutnicka.
Zaapelowali o wpisanie na tzw. Entity List trzech indyjskich firm: BellTroX, CyberRoot oraz Sunkissed Organic Farms, działającej wcześniej pod nazwą Appin.
Entity List to narzędzie amerykańskiej polityki handlowej, które może skutecznie odciąć wskazane podmioty od możliwości prowadzenia określonych transakcji z amerykańskimi firmami. W praktyce oznacza to między innymi utrudnienie dostępu do amerykańskiego oprogramowania, technologii oraz infrastruktury chmurowej.
Według polityków wymienione firmy od ponad dekady miały prowadzić działania hakerskie i szpiegowskie. Wymierzone były między innymi w Amerykanów, przedsiębiorców, prawników, polityków i inne osoby zaangażowane w spory sądowe.
Hakerzy na usługach klienta
Problem polega na tym, że komercyjny cyberatak może być wykorzystywany nie tylko do kradzieży pieniędzy.
Według zarzutów przedstawionych przez amerykańskich parlamentarzystów firmy z sektora tzw. hack-for-hire miały zdobywać dane, które następnie mogły być wykorzystywane do wpływania na postępowania sądowe i działania ich uczestników.
To pokazuje, jak bardzo zmienił się rynek cyberzagrożeń. Atakujący nie zawsze muszą mieć własną motywację polityczną czy finansową. Mogą po prostu świadczyć usługę komuś, kto chce uzyskać dostęp do cudzej poczty elektronicznej, dokumentów czy urządzeń.
Politycy określili działania takich firm mianem cybernetycznego najemnictwa. Zarzucili im również prowadzenie kampanii mającej ograniczać możliwość informowania opinii publicznej o ich działalności.
Sprawa Appin pokazuje jeszcze jeden problem
Szczególnie kontrowersyjna jest historia firmy Appin, która obecnie działa pod nazwą Sunkissed Organic Farms.
W przeszłości firma uzyskała przed indyjskim sądem globalny nakaz dotyczący materiału opublikowanego przez Reuters. Nakaz zobowiązywał Reuters do usunięcia artykułu dotyczącego działalności Appin.
Reuters odwołał się od decyzji, a później nakaz został uchylony i materiał ponownie opublikowano. Reuters podtrzymał przy tym swoje ustalenia.
Sprawą zainteresowała się również Electronic Frontier Foundation, organizacja zajmująca się prawami cyfrowymi. Broniła ona dwóch organizacji medialnych — Techdirt oraz MuckRock Foundation — przed działaniami prawnymi, które według EFF miały być próbą wyciszenia publikacji dotyczących działalności Appin.
W tym przypadku cyberbezpieczeństwo łączy się więc z kolejnym problemem. Jest nim wykorzystywanie narzędzi prawnych do ograniczania informacji o cyberatakach i działalności firm hakerskich.
W tle pojawia się Katar
Amerykańscy politycy twierdzą również, że wymienione firmy miały działać na zlecenie rządu Kataru.
W swoim piśmie wskazują między innymi na byłego wysokiego rangą republikańskiego kongresmena jako jedną z osób, które miały znaleźć się wśród celów.
Powiązania Appin z Katarem pojawiały się już wcześniej w publikacjach dotyczących cyberataków. Firma była łączona między innymi z operacją wymierzoną w przedstawicieli FIFA. Według wcześniejszych doniesień działania te miały być związane z interesami Kataru dotyczącymi organizacji piłkarskich mistrzostw świata w 2022 roku.
Katar nie odpowiedział na pytania dotyczące tych zarzutów. Również przedstawiciele wymienionych firm nie odpowiedzieli na pytania dziennikarzy lub nie byli dostępni przed publikacją materiału.
To może być ważny sygnał dla rynku cyberbezpieczeństwa
Na razie nie wiadomo, czy Departament Handlu USA rzeczywiście wpisze BellTroX, CyberRoot i Sunkissed Organic Farms na Entity List.
Sam fakt skierowania takiego wniosku przez polityków obu amerykańskich partii jest jednak znaczący. Pokazuje bowiem, że komercyjne usługi hakerskie zaczynają być traktowane jako zagrożenie nie tylko dla pojedynczych firm czy osób, ale również dla bezpieczeństwa państwa i funkcjonowania demokratycznego społeczeństwa.
Rynek cyberataków na zlecenie jest szczególnie niebezpieczny dlatego, że pozwala wykorzystać zaawansowane możliwości hakerskie osobom lub organizacjom, które same nie posiadają odpowiednich kompetencji.
W efekcie granica między cyberprzestępczością, szpiegostwem gospodarczym i operacjami prowadzonymi przez państwa staje się coraz trudniejsza do wyznaczenia.
I właśnie dlatego firmy oferujące „hakowanie na zamówienie” mogą w kolejnych latach stać się jednym z najważniejszych problemów, z którymi będą musiały zmierzyć się państwa i firmy technologiczne.
Foto: ChatGPT Image.