Nowe ustalenia rzuciły światło na jedną z najbardziej znaczących spraw cyberataków sponsorowanych przez państwo w ostatnich latach. Według śledztwa francuscy cyber-szpiedzy wykorzystali złośliwe oprogramowanie pobrane z GitHuba, popularnej platformy do hostowania kodu, aby skompromitować sieć telefonów szyfrowanych EncroChat – system komunikacji szeroko używany przez zorganizowane grupy przestępcze. Ujawnienie to daje pierwszy szczegółowy wgląd w to, jak operacja została technicznie przeprowadzona, i stawia nowe pytania o narzędzia, jakich używają rządy, gdy włamują się na zaszyfrowane urządzenia, nawet w ramach uzasadnionych postępowań karnych.
Jak według doniesień przebiegł hack na EncroChat
EncroChat reklamował się jako dostawca bezpiecznych, zaszyfrowanych urządzeń mobilnych, ale śledczy ustalili, że jego baza użytkowników była w dużej mierze zdominowana przez zorganizowane grupy przestępcze działające w Europie. Aby przeniknąć do sieci, francuscy cyber-szpiedzy mieli polegać na złośliwym oprogramowaniu pochodzącym z GitHuba – platformie kojarzonej raczej z hostingiem projektów open-source niż z ofensywnymi narzędziami cybernetycznymi. Fakt, że publicznie dostępny lub zaadaptowany kod odegrał rolę w tak wrażliwej operacji wywiadowczej, jest znaczący. Sugeruje to, że aktorzy państwowi nie zawsze polegają wyłącznie na autorskich, tajnych narzędziach. Czasami elementy składowe poważnej operacji inwigilacyjnej pochodzą z tych samych otwartych repozytoriów, z których codziennie korzystają zwykli programiści.
Szczegóły dotyczące dokładnego sposobu wdrożenia złośliwego oprogramowania, zakresu przyznanego dostępu oraz tego, jak szeroko rozprzestrzeniło się ono wśród użytkowników EncroChat, pozostają przedmiotem dalszych analiz. Jasne z tych ustaleń jest to, że operacja zdołała przeniknąć do sieci, którą jej użytkownicy uważali za bezpieczną – co ma istotne implikacje wykraczające daleko poza sprawy karne, które miała wspierać.
Implikacje dla prywatności wynikające z włamań na telefony sponsorowanych przez państwo
Sprawa EncroChat znajduje się na niewygodnym przecięciu konieczności egzekwowania prawa i prywatności cyfrowej. Z jednej strony sieć była podobno szeroko wykorzystywana przez zorganizowane grupy przestępcze, a rozbicie tej infrastruktury służyło jasnemu celowi bezpieczeństwa publicznego. Z drugiej strony metody użyte do tego celu – masowe włamywanie się na urządzenia za pomocą złośliwego oprogramowania – ustanawiają precedens wykraczający daleko poza jakąkolwiek pojedynczą sieć przestępczą.
Gdy agencje rządowe opracowują lub przystosowują narzędzia hakerskie do włamywania się na zaszyfrowane platformy komunikacyjne, te same techniki i luki mogą w zasadzie zostać zaadaptowane do innych celów, w tym przeciwko dziennikarzom, aktywistom lub zwykłym obywatelom, którzy nigdy nie spodziewali się znaleźć w sieci inwigilacji. Wykorzystanie złośliwego oprogramowania pochodzącego z GitHuba podkreśla również, jak cienka może być granica między narzędziami stworzonymi do legalnych badań nad bezpieczeństwem a narzędziami uzbrojonymi do inwigilacji. To nie pierwszy raz, kiedy aktorzy powiązani z państwem wykorzystali istniejące luki lub kod do prowadzenia tajnych operacji. Podobne sytuacje miały miejsce gdzie indziej, na przykład gdy grupa powiązana z rosyjskim państwem wykorzystała lukę w Zimbrze, aby wykraść kody uwierzytelniania dwuskładnikowego, co pokazuje, że zarówno ofensywne, jak i defensywne operacje cybernetyczne coraz częściej korzystają ze wspólnej, często publicznej puli technik wykorzystywania luk.
Dla obrońców prywatności ujawnienia dotyczące EncroChat wzmacniają od dawna wyrażaną obawę: zaszyfrowane platformy komunikacyjne są tak bezpieczne, jak bezpieczna jest infrastruktura i urządzenia końcowe, które je wspierają. Nawet silne szyfrowanie może zostać osłabione, jeśli samo urządzenie zostanie skompromitowane przed lub po zaszyfrowaniu lub odszyfrowaniu wiadomości.
Co to oznacza dla Ciebie
Większość ludzi nie jest klientami usług takich jak EncroChat, ale szersza lekcja dotyczy każdego, kto polega na szyfrowanych komunikatorach lub bezpiecznych urządzeniach. Ta sprawa przypomina, że szyfrowanie chroni dane w transporcie, ale niekoniecznie urządzenie, które te dane generuje lub odbiera. Jeśli złośliwe oprogramowanie – sponsorowane przez państwo lub pochodzenia przestępczego – uzyska dostęp do telefonu, samo szyfrowanie nie powstrzyma tej ingerencji.
Podkreśla to również, dlaczego higiena urządzeń jest równie ważna jak wybrane narzędzia prywatności. Aktualizowanie oprogramowania, unikanie sideloadowanych lub niezweryfikowanych aplikacji oraz ostrożność w przyznawaniu uprawnień jakiejkolwiek aplikacji zmniejszają powierzchnię ataku dostępną dla złośliwych aktorów, niezależnie od tego, czy są to hakerzy kryminalni, czy operatorzy rządowi działający na podstawie prawa.
Na koniec ta historia jest użytecznym studium przypadku pokazującym, jak szybko ewoluują narzędzia operacji cybernetycznych. Złośliwe oprogramowanie pochodzące z otwartych platform takich jak GitHub ilustruje, że operacje wyglądające na zaawansowane nie zawsze wymagają egzotycznych, autorskich exploitów. To powinno skłonić zarówno osoby prywatne, jak i organizacje do poważnego traktowania podstawowych zasad bezpieczeństwa, zamiast zakładać, że zagrożenia pochodzą wyłącznie z wysoce zasobnych, szytych na miarę ataków.
Kluczowe wnioski
Hack na EncroChat to uderzający przykład tego, jak daleko posuwają się aktorzy państwowi, aby przeniknąć do zaszyfrowanych sieci, oraz jak zaangażowane narzędzia – w tym przypadku złośliwe oprogramowanie pobrane z GitHuba – mogą zacierać granicę między oprogramowaniem open-source a ofensywnymi zdolnościami cybernetycznymi. W miarę pojawiania się kolejnych szczegółów czytelnicy powinni traktować to jako zachętę do ponownej oceny własnych praktyk bezpieczeństwa urządzeń, a nie jako powód do nieufania samoemu szyfrowaniu. Aktualizuj urządzenia, weryfikuj źródła aplikacji i pamiętaj, że bezpieczeństwo każdej zaszyfrowanej komunikacji zależy od integralności urządzenia, na którym działa, a nie tylko od siły algorytmu szyfrowania.
