Bo WiFi było darmowe…
Wydawać by się mogło, że memy z dopisanym na dole Piramidy Maslowa dostępem do darmowego WiFi to już wyjątkowy suchar, jednak regularnie medialne informacje udowadniają nam, że jeśli coś jest za darmo, wciąż potrafimy rzucić się na to bez opamiętania. Skąd to się bierze w świecie liczących często 4 i więcej GB pakietów internetowych zawartych w cenie abonamentu?
Inspiracją do tego tekstu był materiał Macieja Dzwonnika, opublikowany w trójmiejskiej „Gazecie Wyborczej”. Opisuje on bazujący na prostej (wręcz prostackiej można by rzec) socjotechnice test 30-letniego gdynianina, który chciał sprawdzić, czy po latach kładzenia nam do głów podstaw dbałości o własne bezpieczeństwo w sieci, będzie nas trudniej oszukać. Czy fakt, że w ciągu kilku dni praktycznie zerowym kosztem zdobył dane 107 osób, powinien nas cieszyć, czy martwić? Czy te niewiele ponad 100 loginów i haseł do Facebooka lub Twittera mało, czy dużo?
Odpowiedź jest taka sama jak zawsze – to zależy. Zwykły login i hasło pojedynczego internauty do serwisu społecznościowego warte są na czarnym rynku grosze (czy raczej należałoby powiedzieć „centy”) i trzeba by ich wykraść sporo, by to się opłacało. Chyba, że przestępca jak po sznurku będzie próbował dostać się na konto mailowe ofiary, albo poszuka szczęścia w innych serwisach (kto nie dubluje haseł niech pierwszy rzuci kamieniem). W końcu szczegóły ma na koncie społecznościowym, gdzie może również znaleźć podpowiedzi do odzyskania hasła, czy numer telefonu, na który może wysłać odpowiednio spreparowany phishing. A stamtąd już malutki krok np. do banku…
Na czym polega taki atak? Jest trywialnie prosty. Idziemy z komputerem i małym (nawet mobilnym, podpinanym pod USB) routerem do uczęszczanego miejsca (np. centrum handlowego), uruchamiamy hotspot, w jego nazwie umieszczamy „free” (a najlepiej FREE!) i to w zasadzie tyle. Rybki szybko łapią się garściami, a odpowiednie oprogramowanie na komputerze napastnika, po tym jak ofiara automatycznie wpisze dane dostępowe do swojego Facebooka (wymagane do „logowania” do WiFi) zapisze je do pliku i może nawet da faktycznie skorzystać z internetu (a jeśli nie, to pewnie ofiara stwierdzi „jakiś badziewny ten net” i skorzysta z innego hotspotu).
A teraz wyobraźcie sobie, że – co niestety wciąż jest smutnym standardem – przychodząc np. na obiad do foodcourtu w takim centrum handlowym odpalamy laptopa i logujemy się do firmowej sieci (!). W Orange Polska warunkiem zdalnego dostępu jest skorzystanie z szyfrowanego połączenia VPN, do którego logujemy się tokenem kryptograficznym, ale stawiam dolary przeciwko orzechom, że takie podejście to wyjątek, gdy na wszystkim trzeba oszczędzać. A z loginem, hasłem przestępca ma szeroko otwarte wrota do firmowej sieci, w której może się rządzić jak panisko, wykradając dane, podkładając malware – katalog jest wyjątkowo szeroki. I co potem powiedzieć, jak tragedia już się stanie? „Ale to WiFi było darmowe”?
