«Угрозы и преступления будущего» — ключевые идеи бестселлера Марка Гудмана Future Crimes

Константин Смыгин, основатель сервиса ключевых идей из бизнес-литературы MakeRight.ru, рассказал vc.ru об идеях бестселлера Марка Гудмана «Преступления будущего» (Future Crimes), еще не изданного на русском. Книгу рекомендуют издания The Washington Post, The Economist, Financial Times, The Science Magazine, а также такие известные личности, как Ларри Кинг, Нассим Николас Талеб, Фрэнк Абигнейл, Рэй Курцвейл и Кевин Келли.

Как специалист по компьютерной безопасности автор книги Марк Гудман за многие годы своей деятельности имел возможность проследить, как развивается и эволюционирует преступность в сфере ИТ. А все потому, что злоумышленники гораздо раньше обычных людей разглядели огромные возможности, таящиеся в больших данных, которые люди доверяют интернету.

Когда-то, пишет Гудман, ограбления начинались с демонстрации оружия в темном переулке и требования отдать кошелек. Но такой способ был долгим и хлопотным, пока не появились поезда — и среди грабителей тут же возникла мода грабить поезда, где за один налет можно было прибрать к рукам гораздо больше кошельков. Позже стали грабить банки. В наши дни преступный мир активно осваивает все виды компьютерных технологий, далеко опережая правоохранителей. Он всегда держит руку на пульсе.

Бандиты в 1990-е годы первыми стали активно использовать пейджеры и сотовые телефоны для закодированных сообщений друг другу. Первые хакеры действовали из спортивного интереса, чтобы щегольнуть друг перед другом своими «достижениями». Они взламывали чужие учетные записи, пароли, аккаунты «для прикола», ничуть не заботясь о том, как это скажется на жертве их развлечений.

Сейчас преступный мир (к примеру, мексиканские наркокартели) располагает собственными системами сотовой радиосвязи, хакеров заботливо готовят и учат, высматривая их на форумах и в социальных сетях, а лучшие из них награждаются специальными призами типа новенького Ferrari.

Но не только воры и грабители освоили все возможности ИТ. Террористы широко используют бреши в компьютерной безопасности в своих черных целях. Хакеры-политические активисты забираются в компьютеры своих идеологических противников и обнародуют данные, которые не предназначены для посторонних глаз.

Сексуальные преступники, используя данные из социальных сетей, ведут охоту на своих жертв. С целью пропаганды в тех же социальных сетях создается множество фальшивых аккаунтов, распространяющих нужную информацию. С помощью обычной флешки, зараженной вирусной программой, можно уничтожить многолетний труд крупной корпорации. Кражи с банковских счетов стали почти обыденным явлением.

Гудман, который работал с федеральными и международными органами правопорядка, утверждает, что преступники уже давно обжились в ИТ, а сейчас активно осваивают такие сферы, как робототехника, синтетическая биология, искусственный интеллект. Бороться с ними нужно на государственном уровне, но мало кто из государственных чиновников представляет себе масштабы бедствия, которые постоянно разрастаются. И это при том, что наша зависимость от техники и коммуникаций с каждым днем растет.

Почему так сложно бороться с киберпреступностью, чего следует опасаться в первую очередь и как можно противостоять угрозе? В книге Гудмана есть несколько идей на этот счет.

Идея № 1. Интернет — это мир без границ, и преступники ловко используют это обстоятельство

Для сравнения Гудман приводит расследование преступления «по старинке» и современного компьютерного взлома. Грабители банка должны были физически проникнуть в этот банк, приобрести нужные инструменты, оружие, средства отхода. На месте преступления обязательно остались бы следы: отпечатки пальцев, ДНК, видео на камере. Купюры надо было куда-то складывать, упаковка могла содержать несмываемую краску. К расследованию местных полицейских, на участке которых находился банк, подключилось бы ФБР, и при аресте преступников остальное было бы просто рутиной: сбор доказательств и передача их в суд.

Совсем не так происходит с киберпреступлениями. В пример Гудман приводит ограбление банка российским хакером Владимиром Левиным из Санкт-Петербурга. Сидя в своей квартире, он взломал счета клиентов Citibank и похитил с них больше десяти миллионов долларов. Его сообщники из нескольких стран получали похищенные деньги на свои счета. Кто в этом случае должен был расследовать преступление? Citibank находится в США, Левин — в Петербурге, сообщники вообще рассеяны по всему миру.

Нет никаких физических следов преступления, которые можно предъявить суду в качестве доказательств: ни отпечатков пальцев, ни ДНК. Не понадобилось ни сумки для денег, ни оружия, ни транспорта. Пока полицейские нескольких стран смогли координировать свои действия по поимке преступника, прошло слишком много времени.

С тех пор хакеры отточили свое мастерство. Они не действуют напрямую, а перепрыгивают из одной сети в другую, так, чтобы попасть в нужную страну через несколько других. Это создает дополнительную неразбериху среди полиции всех этих стран — ведь французский полицейский, к примеру, не может напрямую арестовать преступника в Германии или Бразилии. Поэтому расследование киберпреступлений — всегда дело сложное.

Идея № 2. Антивирусы уже не справляются со своей задачей

Вирусы появились вскоре после персональных компьютеров. Один из первых вирусов, вызвавших настоящую эпидемию, был Brain, или «Пакистанский вирус», который придумали братья Алви в 1987 году, чтобы наказать местных пиратов, бесплатно скачивающих их программы. Вирус останавливал работу ПК и предлагал заплатить братьям, причем указывал их адрес, имена и телефон, по которому нужно обращаться. Никто не ожидал, что вирус выйдет за пределы Пакистана и вызовет настоящую эпидемию во всем мире.

Вплоть до недавнего времени с вирусами относительно успешно справлялись антивирусы. Однако американо-израильские исследования 2012 года показали, что ситуация изменилась. Они обнаружили около 80 новых компьютерных вирусов и вредоносных программ, которые ускользали от обнаружения всеми известными антивирусами, произведенными McAfee, «Лабораторией Касперского», Symantec и Microsoft. Вирусная угроза на начальном этапе обнаруживалась только в 5% случаев, остальные действовали незаметно, несмотря на антивирус.

Это говорит о том, что как мы ни полагаемся на антивирусы, установленные на наших машинах, любой персональный компьютер на 95% беззащитен. Гудман сравнивает такую ситуацию с человеческим иммунитетом: если бы человек был настолько незащищен от заразы как сегодняшние компьютеры, он бы умер через несколько часов. Эпоха антивирусов, по мнению автора, закончилась.

Антивирусное программное обеспечение направлено только на известные данные. Они блокируют вредоносный код только в том случае, если он им уже известен целиком или частично. Гудман считает, что это все равно что считать всех грабителей похожими на Бонни и Клайда, поскольку точно известно, что они грабили банки. Можно предоставить служащим банков их фотографии и описание, чтобы они были начеку, но много ли от этого пользы, если банк атакуют другие грабители?

Идея № 3. Киберпреступность не ограничивается персональными компьютерами, она способна проникнуть в любую сеть

В современном мире от интернета зависят многие общественные инфраструктуры — от больниц до газопроводов. Сетевые технологии помогают их слаженной и бесперебойной работе. Водоочистные сооружения, аэропорты, электросети — все это зависит от интернета, а значит, их можно взломать.

В январе 2008 года трамвай в польском городе Лодзь внезапно свернул не туда вместо того, чтобы ехать к положенной ему остановке. Это случилось вопреки воле вагоновожатой, которая потеряла контроль над его управлением — он просто ехал сам по себе. Вскоре задние колеса сошли с рельсов, и произошло столкновение с другим трамваем. К счастью, никто не погиб, но многие получили серьезные травмы. Следствие предполагало неполадки в электрической цепи или ошибку вагоновожатого, но инженеры-железнодорожники пришли к другому выводу.

Оказалось, что 14-летний подросток, компьютерный гений, придумал способ контролировать транспортную систему при помощи инфракрасного пульта дистанционного управления. Он долго изучал железные дороги, чтобы знать, куда перенаправить трамваи или поезда по своей команде. Так он и начал играть с трамваями как с детской игрушечной железной дорогой, и делал это не один раз. Когда его поймали, он сказал, что делал это просто ради развлечения, по приколу.

Гудман спрашивает: если подросток сумел взять под контроль железную дорогу ради развлечения, то на что способны преступники или террористы, которым еще проще взломать систему безопасности общественной инфраструктуры? И перед такой угрозой общество совершенно беззащитно.

Идея № 4. Виртуальная преступность становится все влиятельнее и сильнее и все меньше поддается контролю

Многие террористические организации, хактивисты (хакеры от политических радикалов) и организованные криминальные группы сделали интернет своей средой обитания. В интернете обитает ИГИЛ: террористы вербуют сторонников на форумах и чатах, устраивают сбор средств, тайно общаются на собственных, глубоко законспирированных сайтах и выкладывают в сеть жуткие видео с изображением казней.

Они взламывают популярные игры и вставляют в них свои пропагандистские призывы, предлагая новобранцам делать в реальной жизни то, что раньше они делали только в игре, например убивать в реальной жизни, на поле боя. Их присутствие в интернете постоянно растет, и пока ограничить его практически невозможно.

Известное сообщество хакеров ShadowCrew, основанное хакером Альбертом Гонсалесом, перепродало почти 180 миллионов данных с кредитных банковских карт с 2005 по 2007 год. Вместе с сообщниками он использовал SQL-код для запуска перехватчика пакетов, взломав таким образом внутренние корпоративные сети. В его сообществе зарегистрировалось около четырех тысяч человек.

После регистрации можно было приобрести по сходной цене поддельные документы, украденные номера счетов, хакерские учебники или инструкции по правильному использованию украденных карт. Если номера карт оказывались недействительными, деньги возвращались покупателю.

Кроме карт продавались личные данные: водительские права, студенческие удостоверения, учетные записи электронной почты и тому подобное. Кражи данных не удавалось обнаружить в течение года, а в поимке преступников участвовали специальные группы из Европы и США. Но к моменту начала расследования уже был нанесен значительный ущерб.

Одна из самых влиятельных групп в виртуальном пространстве — сообщество хактивистов Anonymous, чьи кибератаки имеют политическую окраску. С этой организацией связаны такие личности, как Джулиан Ассанж и Эдвард Сноуден. Однако большинство «анонимусов» предпочитает оставаться неизвестными. Девиз группы: «Мы анонимны, нас легион, мы не прощаем, мы не забываем. Ждите нас».

На акции протеста в реальном, а не виртуальном мире «анонимусы» ходят в маске Гая Фокса с плакатами: «Нас боятся коррупционеры и поддерживают честные люди. Присоединяйтесь». Anonymous выступает за свободу в интернете, против цензуры и надзора. Они атакуют крупные корпорации, мучая их DDos-атаками, если не согласны с их политикой.

Так, они запустили серию кибератак против финансовых компаний MasterCard, Visa и PayPal, переставших принимать пожертвования для ресурса Ассанжа WikiLeaks. Корпорация Sony подверглась нападению из-за поддержки жесткого антипиратского закона. Часто Anonymous на свой лад борется с преступностью, например, обрушивает тайные сайты педофилов и выкладывает в открытый доступ имена их посетителей.

Можно по-разному относиться к деятельности хактивистов, считает Гудман, но невозможно отрицать их огромное влияние и растущие возможности. Это признал и журнал Time, включив их в первую сотню самых влиятельных людей в мире (подразумевается, что Anonymous — один человек, что, конечно, не так).

Идея № 5. Бездумно размещая свои данные в интернете, вы становитесь не клиентом, а продуктом, который можно продать

Мы ищем в Google нужную информацию, параллельно скачивая оттуда бесплатный контент в виде всевозможных приложений, видео, голосовой почты и тому подобного. И даже не задумываемся, что наши данные, которые мы так щедро вываливаем в сеть, ничем не защищены.

Данные вытягиваются постепенно, с момента, когда вы впервые начинаете использовать Google для поисковых запросов. Все запросы отслеживаются и записываются, все ссылки, по которым мы перемещаемся, фиксируются.

Кроме поиска многие пользуются почтовыми ящиками Gmail, удобными и бесплатными. Таким образом, Google получает в свое распоряжение не только наши запросы, но и нашу электронную почту, и знает, что и кому мы пишем. За все эти данные он получает большие деньги от рекламодателей. Из клиента пользователь превращается в продукт, сам не подозревая об этом.

Именно поэтому Google предоставляет столько бесплатных сервисов — от электронной почты до выложенных в него книг. Гудман считает его пользователей всего лишь шпалами для своей информационной супермагистрали. Пользователей, данные которых продаются рекламодателям. Большинство пользователей интернета не осознают, что таким образом расплачиваются за якобы бесплатные услуги в онлайне. Подробности поисков собираются в один компьютерный алгоритм и продаются за огромные деньги.

Ваша личная информация присваивается с момента загрузки бесплатных приложений. Гудман приводит в пример покупку игры для Android через магазин игр Google. При покупке нужно сообщить полное имя, номер телефона, электронную почту и место жительства. Эти данные предоставляется компании-поставщику игр, но кто знает, как ими дальше распоряжаются и к кому они попадут?

При регистрации на форумах человек должен в подтверждение того, что ознакомился с политикой конфиденциальности, ставить галочку в соответствующем пункте. Чаще всего дело этим и ограничивается, собственно саму вкладку о конфиденциальности, набранную мелким шрифтом, никто не читает — а зря. В ней сообщается, что мы предоставляем свои данные добровольно и разрешаем их использовать. После этого с ними может происходить все что угодно.

Идея № 6. Социальные сети — не только приятный способ общения, но и постоянный источник опасности

Почти миллиард пользователей пользуется социальными сетями, выкладывая туда свои фотографии, интимные подробности жизни, данные своих близких и друзей. Таким образом мы становимся совершенно прозрачными, в том числе и для злоумышленников.

Конечно, мощь социальных сетей совершенно не обязательно должна быть направлена на преступления. Они играют огромную роль в сборе средств для благотворительности, способствуют объединению людей накануне политических переворотов, как случилось во время революции в Тунисе и «Арабской весны».

В социальных сетях, особенно в Facebook, люди наиболее склонны к откровенности. Там рассказывают о работе, семейной жизни, сексуальной ориентации, романтических похождениях, интересах, поездках, делясь подробностями с совершенно незнакомыми людьми. И хорошо, если дело ограничится попаданием данных очередным рекламодателям (кнопка «нравится» тщательно фиксирует все наши запросы и вкусы). Но есть приложения, которые могут представлять прямую опасность, особенно связанные со знакомствами и свиданиями.

Так, в 2012 году российская компания распространяла в магазинах Apple и Google приложение «Девушки вокруг меня», использующее данные с Facebook, Twitter и других социальных сетей. Когда пользователь запускал приложение на своем телефоне, интерактивная карта тут же показывала ему местоположение девушек с их фотографиями. Заодно можно было ознакомиться с их профилями в Facebook. Прочитав профиль, любой мужчина мог подойти к понравившейся девушке, завязать разговор, прикинуться разделяющим ее интересы и войти в доверие. И хорошо, если этот мужчина окажется просто искателем приключений, а не насильником или маньяком.

И хотя Цукерберг, генеральный директор Facebook, и утверждает, что эпоха конфиденциальности прошла и нормальному человеку нечего скрывать, Гудман считает, что это лукавство. Любому есть что скрывать: мало кто планирует знакомить общественность со своими интимными отношениями с супругом, налоговой декларацией, купанием в ванной или посещением туалета. И о политике конфиденциальности должны заботиться учредители социальных сетей.

Пока что этого не происходит, и социальные сети по-прежнему полны охотников и жертв. Так, в Австралии маньяк втерся в доверие к жертве под предлогом любви к животным, представился волонтером, которому надо срочно пристроить бездомного пса, вывез ее за город якобы за собакой, изнасиловал и убил.

Идея № 7. Чем больше данных вы храните в интернете, тем больше шансов, что ими воспользуется организованная преступность

Заботясь о безопасности детей, мы объясняем им, как переходить улицу, уклоняться от разговоров с незнакомцами, не открывать двери посторонним. Но мало кто из нас интересуется их сетевой безопасностью. Дети, считает Гудман, особенно подвержены «кражам личности», то есть использованием личных данных в преступных целях. Этими данными пользуются не сразу, иногда они лежат до совершеннолетия, а потом человек в недоумении узнает, что на него оформлен образовательный кредит или в кредит же приобретен дорогой автомобиль, взносы за который он не платит. И если взрослый вовремя заметит пропажу денег с карты и забьет тревогу, дети не могут заметить ничего. Кроме того, дети могут подвергнуться травле и издевательствам сетевых хулиганов.

Многие размещают объявления о продаже ценных вещей, прикладывая фотографии. Весьма вероятно, что технически подкованному вору не составит труда, сопоставив данные, определить местоположение дома и совершить кражу. Существуют специально разработанные вирусы и трояны, дающие доступ к нашим мобильным телефонам: к обмену сообщениями, адресной книге, паролям и учетным данным. Большинство бесплатных приложений для смартфона требует доступ к местоположению и контактам, а это верный признак, что кто-то хочет контролировать ваш мобильный.

Идея № 8. Для противостояния киберпреступности нужен ряд мер на государственном и международном уровне

Для этого Гудман предлагает следующее.

• Шифрование по умолчанию. Большинство пользовательских данных сегодня не защищены вовсе или защищены недостаточно. Любой, получивший доступ к компьютерной системе с плохо закодированным программным обеспечением, может загрузить вредоносные программы, взломать пароли, читать и использовать данные системы. Надежное шифрование должно стать стандартной практикой.
• Общество нужно приучить к соблюдению правил безопасности, сделать их понятными и доступными. ИТ-специалисты и пользователи, считает Гудман, говорят на разных языках. Инженеры по безопасности считают, что пользователи попадают в беду исключительно по собственной глупости и безграмотности, а пользователи ждут, когда же наконец им дадут простые и понятные инструкции по безопасности. Сейчас же для большинства людей все рассказы о вирусах и троянах непонятны.
• Разработчикам и инженерам следует позаботиться о построении аналога иммунной системы для интернета. Сегодня в сети нужны гибкие методы защиты, такие же, как человеческий иммунитет. Он работает не только против одного штамма гриппа, но и учится бороться с другими его разновидностями. Такие же комплексы защиты нужно разработать для общей сетевой безопасности, чтобы вирусы и угрозы отслеживались еще на входе и уничтожались. Такие разработки уже ведутся, но слишком медленно, по мнению Гудмана.
• Нужен отдельный полицейский спецназ для борьбы с киберпреступлениями и соответствующая международная юрисдикция, позволяющая оперативно арестовывать преступника в любой части света.
• Нужна политика, воспитывающая пользовательскую грамотность в вопросах безопасности. Интернет — это наша общая ответственность, и пользователи должны сами заботиться о чистоте своих сетей и устройств, повышая общую безопасность.
• Разные страны, их правительства и частный бизнес должны объединить усилия для безопасного будущего. Вместе они могут построить безопасные сети, привлекать добровольцев, использовать геймификацию для компьютерной безопасности и учреждать призы для лучших специалистов. (В форме геймификации можно предлагать сложные задачи, решить которые могут опытные пользователи компьютерных игр при помощи собственных методов.) Нужно, утверждает Гудман, учредить второй «Манхэттенский проект», собрать лучшие умы для безопасного будущего. Иначе будет поздно.

Пользователи, в свою очередь, должны позаботиться о том, чтобы загружать в социальную сеть как можно меньше данных, выключать компьютер из сети после окончания работы с ним, не использовать незнакомые флешки и не пользоваться бесплатными приложениями и скачиванием пиратских программ.

Легальные программы рекомендуется обновлять как можно чаще. Важные данные следует хранить в резервных копиях, чтобы защитить от уничтожения. Не открывайте вложения в письмах с незнакомых адресов. Если не используете веб-камеру, направьте объектив вверх. Вход в интернет-банкинг совершайте только с собственных компьютеров, а не в общественных точках с бесплатным wi-fi. Используйте длинные надежные пароли, разные для разных устройств, и почаще их меняйте.

Заключительные комментарии

Большинство рецензентов книги отмечают, что она получилась увлекательной, написана со знанием дела, в то же время простым и доступным языком, понятным не только инженеру-профессионалу, но и рядовому пользователю. Марк Гудман приводит множество интересных примеров, как забавных, так и пугающих.

Если оторваться от практической пользы книги, то картина, нарисованная в ней, действительно вызывает страх. Преступления будущего, если заранее не позаботиться о безопасности, могут стать угрозой для всего человечества. Ведь взломать можно что угодно, от систем GPS до кардиостимуляторов, и в то же время мы не можем отказаться от технического прогресса. Значит, по Гудману, нужно объединить усилия, чтобы технические достижения не обернулись оружием против всего человечества.

Некоторые критики отмечают, что Гудман в своей книге гораздо больше внимания уделяет описанию проблем, чем путям их разрешения. Тем не менее книга заставит всерьёз задуматься о том, что часто мы сами оставляем на видном месте ключи от того, что может быть использовано против нас.