Walka z cyberprzestępczością przypomina grę w kotka i myszkę, dlatego Polska stawia na działania prewencyjne.
Na ponad 15 tys. stwierdzonych w tym roku internetowych przestępstw policja zidentyfikowała zaledwie 125 podejrzanych, a tymczasowo aresztowała jedynie pięć osób. Tak wynika z danych za okres od stycznia do października udostępnionych nam przez Komendę Główną Policji. Eksperci CERT Polska – zespołu powołanego przez NASK do reagowania na zdarzenia naruszające bezpieczeństwo – mówią, że to tylko wierzchołek góry lodowej.
Phishing (oszukańcze e-maile), spoofing (fałszywe połączenia telefoniczne) i smishing (SMS-y) to tylko niektóre techniki, jakich przestępcy używają, by wyczyścić konta bankowe ofiar. Każda ma skłonić do podania danych logowania, wykonania przelewu bądź zdalnego potwierdzenia wypłaty w bankomacie. Oszuści mogą podszywać się pod dostawcę paczek, gazownię, urząd skarbowy, a nawet naszych znajomych.
Takie przestępstwa są coraz powszechniejsze. Od 1 stycznia do 8 grudnia tego roku CERT Polska obsłużył już ponad 37 tys. incydentów cyberbezpieczeństwa. – Policja w swoich raportach uwzględnia zgłoszone przestępstwa. Dla zespołu CERT Polska incydentem jest już sama obecność strony phishingowej, co nie znaczy, że ktoś zdążył zostać na niej oszukany. Wręcz odwrotnie – prowadzimy dużo proaktywnego wyszukiwania phishingu, blokujemy strony, wprowadzając je na listę ostrzeżeń, właśnie po to, żeby uchronić przed oszustami jak najwięcej osób – wyjaśnia CERT Polska.
Dlaczego jest tak niewielu zatrzymanych? KGP do zamknięcia tego wydania DGP nie odpowiedziała nam na to pytanie. – Przede wszystkim podana liczba zatrzymań dotyczy tylko jednej kategorii przestępstw („e-bankowość, phishing”, art. 287 k.k. – red.), podczas gdy cyberprzestępcy nie zawsze są aresztowani z paragrafu dotyczącego przestępstw komputerowych – mówi nam Adam Haertle, ekspert w dziedzinie bezpieczeństwa IT i autor serwisu Zaufana Trzecia Strona. – Tytułem większości zatrzymań może być np. oszustwo albo pranie pieniędzy, niosące zagrożenie wyższą karą. Stąd rozbieżność. Poza tym nawet jeśli organy ścigania są w stanie wskazać sprawców z imienia i nazwiska, to wielu z ich znajduje się poza granicami Polski, co bardzo utrudnia pracę organów ścigania. To zmienia się, bo np. Ukraina zaczęła dużo skuteczniej ścigać przestępstwa przeciwko obywatelom Unii Europejskiej, więc przebywający tam hakerzy nie są już tak bezkarni. Od czasu do czasu słyszymy o zatrzymaniach na terenie Ukrainy. Natomiast nie dochodzi do tego w Rosji czy na Białorusi. Wystarczy więc właściwie wybrać kraj działania, by uniknąć konsekwencji nawet w razie namierzenia przez policję – stwierdza ekspert.
Namierzenie wcale jednak nie jest łatwe. – Sprawcy wiedzą, jak zachować anonimowość. O ile w świecie fizycznym przestępstwa zostawiają ślady, o tyle w świecie komputerowym jest ich dużo mniej i łatwiej jest je ukrywać. Przy minimum umiejętności i zachowaniu odpowiedniej dyscypliny można dokonywać cyberprzestępstw, pozostając niewykrytym – mówi Adam Haertle.
Zwraca też uwagę, że cyber przestępstw jest więcej, niż wykazują to policyjne dane, bo wiele osób nie zawiadamia organów ścigania. – Nie mają nadziei na schwytanie sprawców i nie chcą tracić czasu na składanie zeznań – przyznaje rozmówca DGP.
Oszustów trudno złapać także dlatego, że prowadzone przez nich kampanie są krótkotrwałe – zanim do organów ścigania trafi zgłoszenie, strona internetowa już nie działa.
Bezkarność tworzy samo napędzający się mechanizm: ponieważ sprawcy nie zostają schwytani, popełniają kolejne przestępstwa. Zachęca to też kolejnych adeptów tego procederu. – Próg wejścia w świat cyberprzestępstw jest niski. Żeby zostać złodziejem zza ekranu komputera, wystarczą minimalne umiejętności i niski poziom etyki. Dostępne są usługi ułatwiające popełnianie przestępstw komputerowych, wystarczy więc pomysł na biznes, a narzędzi dostarczą już inni przestępcy. W uczciwej pracy średnie umiejętności komputerowe nie dadzą tak wysokich zarobków – przyznaje Haertle.
O pomysł na przeciwdziałanie spoofingowi pytamy odpowiedzialnego za cyberbezpieczeństwo sekretarza stanu w KPRM Janusza Cieszyńskiego. – Zarówno spoofing, jak i szereg innych cyberprzestępstw to zjawiska bardzo trudne do wykrycia. Dlatego nasze działania skupiają się przede wszystkim na prewencji i edukacji. Mają dwa wymiary: pierwszy – komunikacyjny, gdy w kampaniach edukacyjnych informujemy o różnych zagrożeniach, które funkcjonują w sieci, i niewłaściwych zachowaniach innych użytkowników oraz wskazujemy, jak prawidłowo korzystać z internetu. I drugi – regulacyjny. Stały komitet Rady Ministrów przyjął właśnie ustawę o zwalczaniu nadużyć w komunikacji elektronicznej, która powinna skłonić dostawców usług telekomunikacyjnych do wdrożenia skutecznych mechanizmów do walki ze spoofingiem i smishingiem – odpowiada Janusz Cieszyński.
Na jej mocy operatorzy będą musieli uruchomić narzędzia techniczne, które pozwolą na zablokowanie oszukańczych treści. Jeśli w obiegu pojawi się nowy rodzaj wiadomości, użytkownicy będą mogli zgłaszać ją do NASK, który zrobi wzorzec i roześle do operatorów. Ci z kolei będą musieli zablokować tego typu wiadomości, aby w ogóle nie trafiały do odbiorców.
Zdaniem Cieszyńskiego prewencja to jak na razie najskuteczniejsza broń w walce z cyberoszustwami, zwłaszcza że – w przeciwieństwie do sytuacji sprzed kilku czy kilkunastu lat – dziś nie trzeba już być ekspertem, by się ich dopuszczać. – Wystarczy mieć pomysł na to, jak dane cyberprzestępstwo popełnić, oraz skorzystać z dostępnych dla każdego i zapewniających anonimowość narzędzi – ocenia. ©℗