„Są ponoć wojska cyberprzestrzeni i w tej chwili Ministerstwo Cyfryzacji między innymi. Ministerstwo Cyfryzacji powinno się tym zajmować, zresztą się zajmowało, a przynajmniej usiłowało się zajmować, to znaczy, że jest kiepsko. Jeżeli nie można ogarnąć 2 tys. adresów, to naprawdę jest niewesoło” – powiedział portalowi wPolityce.pl prof. Mieczysław Koziński, wykładowca w Wyższej Szkole Inżynierii Gospodarki w Słupsku, biegły sądowy z zakresu bezpieczeństwa państwa, ekspert z zakresu zagrożeń w cyberprzestrzeni.

CZYTAJ RÓWNIEŻ:

-Michał Dworczyk dla wPolityce.pl: „Trudno traktować działania hakerów jako przypadek. Zaatakowano nasz kraj”

-W tygodniku „Sieci”: Cyberatak na polski rząd. To jeszcze nie koniec! Jesteśmy świadkami kolejnej odsłony cyberwojny

wPolityce.pl: Konta mejlowe polskich polityków zostały zaatakowane przez rosyjskich hakerów. Jak od strony teoretycznej przygotowuje się taki atak?

Prof. Mieczysław Koziński: Od strony teoretycznej trzeba tylko wybrać ofiary. Jeżeli pani chce wejść, to w tej chwili naprawdę, jeżeli one są słabo zabezpieczone, a z tego, co wiem, to były prywatne skrzynki na normalnych portalach, na normalnych domenach, więc w tym momencie żadnego problemu.

Czy to oznacza, że należałoby wymóc na operatorach tych skrzynek, tych portali zwiększenia zabezpieczeń?

Oni nie mają takiego obowiązku. To pani ma obowiązek zabezpieczenia, korzystania z odpowiednich haseł. A już na takich stanowiskach powinno się korzystać z zabezpieczonych skrzynek, które są nadzorowane przez służby. Na takich normalnych skrzynkach typu gmail czy wp to wszystko jest praktycznie dostępne od ręki, tylko trzeba mieć odpowiedni program, a te są nawet dostępne w internecie. Można nawet stwierdzić z jakimi adresami pani korespondowała.

Są ponoć wojska cyberprzestrzeni i w tej chwili Ministerstwo Cyfryzacji między innymi. Ministerstwo Cyfryzacji powinno się tym zajmować, zresztą się zajmowało, a przynajmniej usiłowało się zajmować, to znaczy, że jest kiepsko. Jeżeli nie można ogarnąć 2 tys. adresów, to naprawdę jest niewesoło.

Wirtualna Polska twierdzi, że włamania na skrzynkę ministra Michała Dworczyka nie było. Czy jest możliwe takie przeprowadzenie ataku cybernetycznego, aby nie zostawić śladów?

Na pewno jest możliwe, żeby te ślady maksymalnie zakamuflować, ale przy odpowiednim sprzęcie i odpowiednim czasie to raczej mało prawdopodobne. Czas wykrycia tego jest znacznie dłuższy. Jeżeli to przechodzi przez ileś serwerów, to automatycznie „zamula” całą drogę. Ale jeżeli ktoś bardzo będzie chciał, to wykryje. Dziwię się, że w ciągu dwóch dni wydano takie deklaracje kto, kiedy i gdzie. Jeżeli ktoś by taki atak przeprowadził, to pani sobie popatrzy i przeanalizuje, jak Stany Zjednoczone w czasie wyborów zostały przyatakowane ze strony rosyjskiej, ile lat trwało wyjaśnianie. Jeszcze dzisiaj do końca tego nie wyjaśniono, a my jesteśmy tak znakomici, że w ciągu dwóch czy trzech dni jesteśmy w stanie dokładnie prawie powiedzieć ID komputerów, z których ten atak został przeprowadzony. Powiem szczerze, że to jest trochę dziwne.

Jak bronić się przed takimi atakami? Czy taki przeciętny człowiek posiadający skrzynkę w normalnej domenie ma jakieś narzędzia do tego, żeby się obronić?

Po pierwsze hasło musi być skomplikowane. Powiedzmy, że 70 proc. mężczyzn, jak zakłada sobie jakiekolwiek hasło na komputerze, to są pierwsze litery na klawiaturze czyli „qwerty”, albo pięć jedynek, albo pięć dziewiątek – tego typu hasło to nie jest żadne hasło – czy data urodzenia na przykład. Kobiety z kolei albo daty urodzenia dzieci, albo imiona dzieci, albo imię męża – tylko trzeba sprawdzić, czy jest mężatką, czy nie i wtedy bardzo łatwo trafić na hasło. Ponieważ bardziej skomplikowanego hasła się nie zapamięta, tylko trzeba gdzieś zapisać. To jest pierwsza sprawa.

Druga sprawa, najlepiej to wszystkie rzeczy zgrywać na dysk zewnętrzny i trzymać w sejfie, albo jeżeli to jest urzędowy komputer – trzymać to w sejfie, bo nawet jeżeli ktoś mi się włamie do komputera, to tam nie ma niczego, tylko jest program operacyjny i jakieś programy, które obsługują pewne rzeczy. Natomiast wszystkie pliki są na zewnętrznym dysku.

Jeżeli ktoś uważa, że ma za mało miejsca i trzyma w chmurze, to do chmury mają dostęp ci, którzy są zainteresowani, żeby ten dostęp mieć. Oni wchodzą do chmury – nie ma najmniejszego problemu. A my ze względu na oszczędność – nie muszę kupować dysku, mam w chmurze jedno tera, czy wykupię drugie – jesteśmy szczęśliwi, bo komputer nam szybciej chodzi i te wiadomości udostępniamy. Jeżeli mamy w chmurze Google, to Google jest programem amerykańskim i na przykład amerykańskie służby mają dostęp.

Rosyjscy hakerzy są jednymi z najlepszych. Program antywirusowy Kaspersky’ego jest programem dobrym, tylko że kody do tego programu też mają Rosjanie. Praktycznie ta cyberprzestrzeń jest dzisiaj jak autostrada – każdy może na nią wjechać i z niej korzystać. I w zależności od umiejętności można zostać zaatakowanym, albo nie. Mało tego, wykorzystując stare programy antywirusowe, które są w porównaniu z dzisiejszymi o wiele prostsze, można zainfekować komputery i ominąć wszelkie zabezpieczenia, które wykrywają w programie trojany czy wirusy, które przychodzą z zewnątrz. One po prostu jakby zapomniały tamte kody, nie stosuje się ich, więc łatwiej zawirusować starymi programami niż nowymi. Poza tym przychodzą na przykład przed świętami mejle, że „wysłano do pani paczkę, można ją śledzić itd.” i mnóstwo ludzi otwiera taką informację, która ma rezydentny program wirusowy i zawirusowuje programy i komputery, czy wejdzie do skrzynki. To ja ustalam, co będę chciał uzyskać i wybieram odpowiedni program. Zgodnie z prawem nie powinienem tego robić, bo to jest karalne, ale jeżeli ktoś już się na to decyduje, to w jakimś celu i pewnie za jakieś pieniądze. Jeżeli jeszcze w konkretne osoby uderza, to na pewno nie w sąsiadkę, bo po co, tylko po wiadomości, które go bardzo interesują.

Czy nie należałoby powołać instytucji, która byłaby odpowiedzialna za bezpieczeństwo cybernetyczne? Chociażby na wzór Biura Bezpieczeństwa Narodowego takie Biuro Bezpieczeństwa Cybernetycznego?

Ale o tym się mówi. Nawet brałem udział – przed Covidem – w konferencji organizowanej przez Ministerstwo Cyfryzacji. W zasadzie był już powołany zespół do „Bezpieczne dzieci w sieci”. Na bazie tego mieliśmy rozpracowywać pewne rzeczy. Były w to zaangażowane również media – duża grupa, bo 82 osób. Raz się spotkaliśmy, raz wirtualnie i na tym się skończyło. To jest tak, jak z likwidacją skutków powodzi. Jak jest powódź, to się jedzie, mówi, że „tak, wiemy coś zrobimy”, a potem czekamy na kolejną powódź. To jest dokładnie tak samo. Są w tej chwili powołane instytucje. Przecież Ministerstwo Cyfryzacji między innymi po to zostało powołane, żeby po pierwsze cyfryzować pewne zadania, które wykonują urzędy państwowe i przede wszystkim też pilnować tego, żeby to było zabezpieczone, żeby pewne rzeczy nie były ogólnie dostępne. Między innymi powstał e-puap, podpisy zaufane itd. Pewne instytucje już się do tego dostosowały. System jest, ale nie do końca działa.

Tak samo tutaj. Nie wiem, czy trzeba powoływać, wystarczy powołać jakąś komórkę przy Ministerstwie Cyfryzacji albo przy Ministerstwie Spraw Wewnętrznych i Administracji, ale żeby jakieś kolejne instytucje centralne? Więcej jest wodzów niż Indian wtedy.

Dziękuję za rozmowę.

Rozmawiała Anna Wiejak