Chińscy hakerzy sponsorowani przez państwo atakują dziennikarzy i organizacje społeczeństwa obywatelskiego

Badacze z Citizen Lab i Międzynarodowego Konsorcjum Dziennikarzy Śledczych (ICIJ) ujawnili zakrojoną na szeroką skalę operację cyfrowego szpiegostwa powiązaną z Chinami, która systematycznie atakowała dziennikarzy, ujgurskich i tybetańskich aktywistów oraz tajwańskich urzędników państwowych. Kampania wykorzystywała ponad 100 złośliwych domen oraz generowane przez sztuczną inteligencję wiadomości phishingowe, zaprojektowane w celu kradzieży danych logowania i uzyskania nieautoryzowanego dostępu do kont e-mail, plików oraz list kontaktów.

Skala i wyrafinowanie tej operacji plasują ją wśród bardziej znaczących sponsorowanych przez państwo kampanii inwigilacyjnych udokumentowanych w ostatnich latach. Rodzi ona również poważne pytania o podatność organizacji społeczeństwa obywatelskiego, niezależnych mediów oraz społeczności mniejszości etnicznych, które na co dzień działają pod presją państwa.

Jak przebiegał atak

Atakujący w dużej mierze polegali na phishingu — metodzie polegającej na nakłonieniu ofiar do ujawnienia nazw użytkownika i haseł poprzez podszywanie się pod zaufane usługi lub kontakty. Szczególnie godne uwagi w tej kampanii jest udokumentowane wykorzystanie wiadomości generowanych przez sztuczną inteligencję, które pozwalają atakującym tworzyć na masową skalę wysoce przekonujące, poprawne gramatycznie komunikaty, obniżając w ten sposób jedną z tradycyjnych barier skutecznego phishingu.

Po zdobyciu danych uwierzytelniających atakujący mogli po cichu uzyskiwać dostęp do skrzynek e-mail, zbierać listy kontaktów i odczytywać poufne pliki bez wyzwalania oczywistych alarmów. Ten rodzaj dostępu jest szczególnie szkodliwy dla dziennikarzy śledczych, których komunikacja ze źródłami i nieopublikowane dokumenty mogą zostać ujawnione, a także dla aktywistów, których sieci kontaktów mogą zostać zidentyfikowane i narażone na niebezpieczeństwo.

Wykorzystanie ponad 100 złośliwych domen wskazuje na dobrze finansowaną operację. Rozproszenie infrastruktury na wiele domen utrudnia zespołom bezpieczeństwa zablokowanie kampanii poprzez celowanie w jedno źródło, a atakującym pozwala szybko zmieniać domeny w przypadku zidentyfikowania poszczególnych z nich.

Kto był celem i dlaczego ma to znaczenie

Cele tej kampanii łączy jeden wspólny mianownik: wszystkie to grupy, które chińskie władze mają silne polityczne motywacje do monitorowania. ICIJ jest najbardziej znane z publikowania wielkich dochodzeń finansowych, w tym Panama Papers i Pandora Papers. Społeczności ujgurska i tybetańska od dawna podlegają cyfrowej inwigilacji — Citizen Lab udokumentowało wiele wcześniejszych kampanii wymierzonych w obie grupy. Tajwańscy urzędnicy państwowi stanowią geopolitycznie wrażliwy cel ze względu na trwające napięcia w Cieśninie Tajwańskiej.

Nie jest to odosobniony incydent. Citizen Lab, z siedzibą na Uniwersytecie Toronto, przez lata udokumentowało dziesiątki kampanii wymierzonych w dysydentów, dziennikarzy i mniejszości etniczne powiązane z Chinami. Najnowszy przypadek pokazuje, że metody ewoluują. Włączenie narzędzi sztucznej inteligencji do operacji phishingowych sugeruje, że nawet ostrożni cyfrowo użytkownicy mogą mieć coraz większe trudności z odróżnieniem złośliwych wiadomości od prawdziwych.

Dla organizacji społeczeństwa obywatelskiego konsekwencje wykraczają poza indywidualne konta. Gdy skrzynka pocztowa dziennikarza zostaje skompromitowana, źródła mogą zostać zidentyfikowane. Gdy lista kontaktów aktywisty jest zbierana, cała sieć staje się widoczna dla wrogiego podmiotu państwowego. Szkody rzadko ograniczają się do osoby bezpośrednio zaatakowanej.

Co to oznacza dla Ciebie

Jeśli pracujesz w dziennikarstwie, aktywizmie lub jakiejkolwiek dziedzinie, w której wrażliwa komunikacja jest czymś zwyczajnym, ta kampania stanowi wyraźne przypomnienie, że kradzież danych uwierzytelniających jest jednym z najskuteczniejszych narzędzi dostępnych atakującym sponsorowanym przez państwo. Nie musisz być głośno rozpoznawanym celem, by zostać wciągniętym w szeroką sieć inwigilacji.

Kilka praktycznych kroków może znacząco zmniejszyć Twoje narażenie:

  • Używaj sprzętowych kluczy bezpieczeństwa lub aplikacyjnego uwierzytelniania dwuskładnikowego. Ataki phishingowe polegające na kradzieży haseł są znacznie mniej skuteczne, gdy do ukończenia logowania wymagany jest drugi składnik. Klucze sprzętowe są szczególnie odporne na phishing.
  • Podchodź sceptycznie do niespodziewanych monitów o zalogowanie się. Wiadomości phishingowe generowane przez sztuczną inteligencję mogą wyglądać przekonująco, ale samo żądanie — prośba o weryfikację danych uwierzytelniających lub zalogowanie się przez nieznany link — jest sygnałem ostrzegawczym.
  • Do poufnych rozmów używaj zaszyfrowanych narzędzi komunikacji. Poczta elektroniczna jest z natury trudna do zabezpieczenia. Aplikacje do przesyłania wiadomości z szyfrowaniem end-to-end zapewniają znacznie silniejszą ochronę komunikacji ze źródłami i wrażliwej koordynacji.
  • Regularnie sprawdzaj dostęp do swoich kont. Sprawdzaj, które urządzenia i aplikacje mają dostęp do Twojej poczty e-mail i przechowywania w chmurze. Cofnij dostęp wszystkiemu, co jest nieznane.
  • Rozważ korzystanie z VPN przy uzyskiwaniu dostępu do poufnych kont w publicznych lub niezaufanych sieciach. VPN nie zapobiega phishingowi, ale chroni Twój ruch przed przechwyceniem na poziomie sieci, co ma znaczenie, gdy Twój model zagrożeń obejmuje podmioty na poziomie państwowym.

Sponsorowane przez państwo kampanie phishingowe, takie jak ta, są zaprojektowane tak, by być niewidocznymi. Dane uwierzytelniające są kradzione, dostęp jest utrzymywany po cichu, a ofiary często nie mają pojęcia, że zostały skompromitowane, dopóki nie dojdzie już do poważnych szkód. Zrozumienie, jak działają takie operacje, jest pierwszym krokiem do ochrony siebie i swojej sieci.

Dla dziennikarzy, aktywistów i wszystkich, których praca stawia ich na celowniku zdeterminowanego przeciwnika, bezpieczeństwo cyfrowe nie jest technicznym dodatkiem. Jest podstawowym elementem bezpiecznego działania. Przegląd swoich praktyk uwierzytelniania i nawyków komunikacyjnych teraz — zanim dojdzie do incydentu — jest najskuteczniejszą dostępną obroną.