Profesjonaliści zajmujący się cyberbezpieczeństwem przechodzą brutalny miesiąc. Tzw. „Czarny październik” jeszcze się nie skończył, a już przyniósł kilkadziesiąt poważnych cyberataków i podatności wykrytych przez AI w całym internecie.

Zamieszanie nasiliło się 21 października, gdy PHP Foundation ujawniło krytyczne podatności w PHP — języku programowania, na którym działa około 70% wszystkich stron internetowych — po ich odkryciu przy pomocy narzędzi AI. Ujawnienie wywołało globalny wyścig w łataaniu serwerów. Dostawca usług chmurowych Cloudflare odnotował miliony prób wykorzystania podatności po jej upublicznieniu, po tysiącach prób w poprzedzających godzinach.

Niektóre kraje, w tym Francja i Finlandia, tymczasowo zablokowały dostęp do niektórych stron internetowych, a amerykańska Agencja Bezpieczeństwa Narodowego (NSA) ostrzegła organizacje, aby natychmiast załatały luki lub odłączyły dotknięte systemy od sieci.

„Jesteśmy teraz w Security Armageddonie”, powiedział założyciel NEAR Illia Polosukhin. Główny doradca ds. bezpieczeństwa Anthropic Jason Clinton ostrzegł, że „tak źle, jak było przez ostatnie 4 dni, będzie jeszcze znacznie gorzej, zanim się poprawi”.

Obywatele Wielkiej Brytanii są wręcz wzywani, by „być gotowymi” na sytuację awaryjną — taką jak ekstremalna pogoda czy cyberataki — która może odciąć dostęp do krytycznej infrastruktury, takiej jak woda, prąd czy internet. Amerykańskie instalacje wojskowe otrzymały natomiast polecenie przygotowania się na 90 dni samodzielnej działania w ramach inicjatywy FORTRESS.

Jak naprawdę źle jest w Czarnym październiku?

Poza pośpiechowym gromadzeniem konserw i krótkofalówek — czy zwykli ludzie mogą coś jeszcze zrobić, aby zmniejszyć swoje ryzyko?

„Jest naprawdę źle. Wygląda na to, że reszta internetu budzi się do rzeczywistości, której my doświadczyliśmy trzy miesiące temu” — powiedział Rob Hamilton, badacz bezpieczeństwa Bitcoin zaangażowany w Bitcoin Red Team, w rozmowie z Cointelegraph Magazine.

Ostatni tydzień czy dwa przyniósł serię incydentów. Platforma chmurowa Railway ujawniła, że atakujący uzyskał dostęp do danych uwierzytelniających klientów i kluczy API oraz je odszyfrował, najwyraźniej celując w dostawców AI.

Powiązane: Francja jest najniebezpieczniejszym miejscem na świecie dla posiadaczy Bitcoina: 90 ataków w 7 miesięcy

Gigant badań medycznych Quest Diagnostics potwierdził wyciek prywatnych danych zdrowotnych pacjentów, a w indyjskiej firmie bezpieczeństwa eMudhra odkryto ośmiu cyfrowych operatorów certyfikatów ze słabymi kluczami, co potencjalnie mogło pozwolić atakującym na podszywanie się pod zaufane strony internetowe. Platforma hostingu kodu GitHub doświadczyła z kolei poważnej awarii usług, która uwypukliła, jak bardzo świat oprogramowania polega na współdzielonej infrastrukturze.

Starszy dyrektor ds. bezpieczeństwa GitHuba, Austin Devers, powiedział, że takie incydenty to „wyraźne przypomnienie, że niezawodność wymaga nieustannej pracy”, ponieważ współczesny rozwój oprogramowania jest „tak bardzo połączony”.

Jonathan Riss, analityk OSINT (wywiadu z otwartych źródeł) i wywiadu blockchainowego w firmie bezpieczeństwa blockchainowego CertiK, powiedział Cointelegraph Magazine: „Najbardziej niepokoi nas to, jak pojedyncza słabość we współdzielonej infrastrukturze może jednocześnie narazić wiele organizacji”. Niestety, dodał, zdolność AI do znajdowania podatności nie idzie w parze ze zdolnością do ich naprawiania: „Szybsze znajdowanie podatności nie oznacza automatycznie, że możemy je szybciej usuwać”.

Dlaczego sprawy prawdopodobnie się pogorszą

Jednym z powodów pogarszania się sytuacji jest to, że AI zmieniła ekonomię cyberbezpieczeństwa. To, co kiedyś wymagało zasobów państwowych i wyrafinowanych hakerów, dziś może osiągnąć nastolatek w jakimś piwnicznym pokoju.

Przedsiębiorca i inwestor AI Matt Shumer powiedział, że AI pozwala użytkownikom bez wiedzy technicznej znajdować słabe punkty i je wykorzystywać, przez co obrońcy „gonią, żeby nadążyć”. „Każdy słaby punkt i tak trzeba naprawić, przetestować i wdrożyć na milionach systemów zarządzanych przez ludzi, którzy już teraz pracują na granicy możliwości” — powiedział.

Devers dodał, że narzędzia bezpieczeństwa wspomagane przez AI „dramatycznie” obniżają próg „odkrywania złożonych, głęboko ukrytych wad w powszechnie używanych codebase’ach”.

Powiązane: Keystone twierdzi, że włamanie na stronę ujawniło adresy kupujących portfele sprzętowe

Co naprawdę mogą zrobić zwykli ludzie?

Istnieją praktyczne kroki, które zwykli użytkownicy mogą podjąć, aby czuć się bezpieczniej w sieci w tym niestabilnym okresie.

Shumer zaleca unikanie stron, których nie znasz — a zdecydowanie nie wpisywanie haseł ani numerów kart na nieznanych stronach „póki to nie minie” — ponieważ mniejsze strony są „najmniej prawdopodobne, że załatały podatności”. Sugeruje też usuwanie nieużywanych aplikacji i odłączanie niepotrzebnych inteligentnych urządzeń. Trzymaj w domu trochę gotówki i zapasy jedzenia na kilka dni, „jeśli chcesz być wyjątkowo ostrożny”.

Devers twierdzi, że najlepszą obroną jest „zabezpieczenie osobnych punktów dostępu i utrzymywanie małego ogólnego śladu cyfrowego”. Zaczyna się to od włączenia uwierzytelniania wieloskładnikowego (MFA) na wszystkich kontach, najlepiej za pomocą aplikacji uwierzytelniającej lub sprzętowego klucza bezpieczeństwa zamiast wiadomości SMS. „To działa jak wyłącznik bezpieczeństwa i uniemożliwia hakerom zalogowanie się na twoje konto, nawet jeśli leżące pod spodem oprogramowanie zostało skompromitowane” — powiedział.

Nigdy nie używaj ponownie haseł, dodał. „Twórz silne, unikalne hasła dla każdej strony i okresowo odłączaj stare uprawnienia aplikacji lub połączenia zewnętrzne, których już nie używasz”. Urządzenia i przeglądarki internetowe powinny być również ustawione na automatyczne aktualizacje: „Podczas gdy zespoły platform pracują nad naprawą problemów bezpieczeństwa na poziomie chmury, dbanie o bezpieczeństwo twoich urządzeń sprawia, że hakerzy nie mogą użyć twojego osobistego sprzętu jako tylnych drzwi do twoich kont”.

Self-custody czy nie self-custody

Niepokojący wzrost liczby incydentów bezpieczeństwa skłonił niektórych posiadaczy kryptowalut do rozważenia alternatyw dla self-custody — czyli przeniesienia środków na giełdę lub innego powiernika zamiast trzymania własnych kluczy — a niektórych ekspertów do odradzania trzymania własnych kluczy. Inni, jak orędownik Bitcoina i dyrektor ds. bezpieczeństwa Casa Jameson Lopp, odpowiadają, że robiąc tak, zaprzeczają całemu celowi. „Korzyści z unikalnych właściwości Bitcoina możesz czerpać tylko wtedy, gdy trzymasz własne klucze. [...] Oddanie kluczy nie sprawia, że ryzyko znika. Przenosi je tam, gdzie nie możesz go widzieć ani kontrolować” — powiedział.

Riss zaleca oddzielenie niewielkich kwot przeznaczonych do wydawania na gorący portfel — portfel oprogramowania połączonego z internetem — od długoterminowych zasobów trzymanych na portfelu sprzętowym, fizycznym urządzeniu utrzymującym klucze prywatne offline, oraz „rzeczywiste czytanie tego, co podpisujesz, zamiast zatwierdzania w ciemno”.

Te środki ostrożności mogą zmniejszyć podatność jednostki na ataki, ale zwykli użytkownicy mogą zabezpieczyć tylko kwestie lokalne i mają niewielki wpływ na szersze problemy. Można „zmniejszyć promień rażenia”, powiedział Riss, ale „nie można zapobiec kompromitacji infrastruktury”. Więc choć użytkownicy mogą poprawić swoją higienę cyfrową, ostatecznie „strukturalny ciężar spoczywa na platformach i dostawcach”.

Magazine: Oszust traci 4,8 mln USD przechowywane na sfałszowanych Ledgerach: Asia Express