Можно ли стать киберпреступником за один вечер (и стоит ли ради этого бросать работу)

Что делать тем, кто хочет освоить новую профессию, но не отличает «хакера» от «DDoS’ера».

Примечание: Данная статья не является пособием или руководством к действию, а носит лишь информативный характер. С помощью данной статьи автор стремится показать, что киберугрозы намного ближе, чем кажутся, и могут исходить от весьма неожиданных источников. Большинство описанных ниже способов являются незаконными, и автор настоятельно просит не использовать их на практике.

Как часто, включив новости или просматривая новостную ленту в соцсети, мы встречаем сообщения о хакерах, похитивших кругленькую сумму у банка или заработавших миллионы на краденых данных. Может показаться, что «хакерство» – занятие весьма выгодное. Сидишь себе у бассейна где-нибудь в Таиланде, а денежки сами текут с взломанного компьютера в американском банке прямиком в твой карман. Никакого оружия, физической подготовки или стального характера не требуется, а поймать тебя все равно не поймают. «Я бы в хакеры пошел, пусть меня научат».

А почему бы, в самом деле, не стать хакером? К сожалению (или к счастью), легальных «хакерских» институтов или курсов не существует. Так что теперь, прощайте, мечты о легком заработке, и снова здравствуй, унылый офис? Давайте на минуту представим, что вы решили бросить осточертевшую работу, и прикинем, насколько реально для вас быстро и без подготовки стать хакером.

Для начала разберемся, кто же такой этот пресловутый хакер. Вот одно из определений, которое дает нам «Википедия»: хакер – это «компьютерный взломщик», программист, намеренно обходящий системы компьютерной безопасности. Выходит, для того чтобы стать хакером, сначала нужно стать программистом? Нет, такой сценарий нас не устраивает.

На самом деле хакер – понятие весьма узкое и не охватывает все «специальности» киберпреступного мира (действительно, вор не обязательно должен уметь орудовать отмычкой). Помимо взломщиков существуют еще кибермошенники, кибервымогатели, DDoS’еры и инсайдеры. Начнем с последних из этого списка.

Инсайдерская (внутренняя) угроза

Если вы – сотрудник офиса, то для того, чтобы стать киберпреступником, вам даже не нужно бросать основную работу (и взламывать тоже ничего не надо, кстати)! Вы просто продолжаете заниматься тем, чем занимаетесь, но при этом зарабатываете намного больше… сливая информацию, принадлежащую компании, в которой работаете. По данным компании InfoWatch, в 2018 году 29 из 47 крупнейших «сливов» информации в мире были спровоцированы действиями именно внутренних нарушителей.

Допустим, у вас есть доступ к корпоративной информации, которая может заинтересовать конкурентов вашей компании. Вы можете скопировать ее и попытаться продать, обратившись непосредственно к тому, кому эта информация может быть интересна. Если с коммуникативными навыками у вас не сложилось, данные можно выставить на продажу в интернете. Конечно, привычные сайты объявлений для этого не подходят, и нужно обратиться к подпольным торговым площадкам в Глубинной паутине (Deep Web).

Несмотря на название, «глубинный интернет» не такой уж «глубинный». Для того чтобы попасть на подпольный сайт, недоступный через привычный, так называемый «чистый» интернет, достаточно лишь скачать и установить на свой компьютер браузер Tor, а это делается за пять минут (набираете в поисковике «Tor скачать» и скачиваете как обычный браузер). Введите в поиск запрос «darknet markets», и всезнающий DuckDuckGo (поисковик по умолчанию в Tor) любезно выдаст вам список торговых площадок, где можно купить и продать все то, что по закону покупать и продавать запрещено. Процесс регистрации на таких сайтах практически не отличается от регистрации на обычных ресурсах и занимает всего несколько минут. Завели учетную запись, выставили товар и вуаля – ждите покупателей, не снимая белый воротничок.

DDoS

Если говорить простым языком, DDoS-атака – это способ вывести ресурс из строя, направив на него огромное количество «мусорного» интернет-трафика, с которым он не сможет справиться. DDoS’ом не брезгуют недобросовестные компании, использующие подобные атаки для выведения из строя сайтов конкурентов и причинения финансового ущерба.

Несколько лет назад частые мощные DDoS-атаки стали настоящей чумой для организаций (в особенности для тех, что вели бизнес в интернете), терпевших огромные убытки от вызванных такими атаками простоев. Этим воспользовались предприимчивые киберпреступники, которые стали атаковать компании, а затем требовать выкуп за прекращение атак. Как правило, простои из-за неработающих сайтов могли причинить убытки на гораздо большую сумму, чем требовали вымогатели, и руководство компаний предпочитало заплатить выкуп.

Все необходимые инструменты для осуществления DDoS-атаки вместе с подробными инструкциями по применению можно приобрести на уже знакомых нам торговых площадках в Глубинной паутине. Для тех, кто не хочет утруждать себя технической стороной, опытные DDoS’еры предлагают свои услуги, и найти их можно... угадайте, где.

Однако существует еще более простой способ вымогательства, не требующий ни инструментов для DDoS’а, ни каких-либо технических навыков, достаточно лишь иметь электронную почту и несколько минут времени на написание письма.

Иногда компании настолько опасаются DDoS-атак, что готовы заплатить не за то, чтобы атака прекратилась, а за то, чтобы она не начиналась. Известно множество случаев, когда вымогатели требовали выкуп, угрожая в противном случае обрушить на компанию DDoS-атаку, и получали деньги, всего лишь отправив жертве электронное письмо с угрозами.

Кибервымогательство

О кибератаках WannaCry и NotPetya, накрывших мир в позапрошлом году, не знает разве что напрочь глухой и слепой. Если до весны 2017 года о вредоносных программах, шифрующих файлы на компьютере и требующих выкуп за их восстановление, широкой общественности было известно мало, то с приходом WannaCry ситуация кардинально изменилась.

WannaCry и NotPetya – это сложные вредоносные программы, которые были разработаны специально для саботажа и использовались не рядовыми киберпреступниками, а «государственными» хакерами. Тем не менее, человеку, решившему подзаработать на вымогательстве подобного рода, вовсе не обязательно работать на правительство или самому писать вредоносный код. В Глубинном интернете вымогательскую программу можно арендовать, то есть, платить ее создателям за право пользования. Многие авторы вымогательского ПО дают своим клиентам возможность самим составлять текст записки с требованием выкупа и выбирать нужный язык.

Кстати, помимо вымогательских программ, можно также арендовать трояны для похищения данных банковских карт (как и инсайдерскую информацию, их можно продавать на подпольных торговых площадках). Создатели таких троянов оснащают свои программы удобным пользовательским интерфейсом, понять который может даже человек без глубоких технических знаний.

Подведем итог

Как показывает практика, стать киберпреступником может любой, для этого не обязательно обладать навыками программирования или вести антисоциальный образ жизни. Представлять угрозу информационной безопасности крупной компании может даже самый младший клерк или бывший сотрудник. Доступность вредоносных инструментов и использование цифровых технологий во всех аспектах жизни и бизнеса предоставляет большие возможности даже неподкованным киберпреступникам.