Identitástolvajok és adatkereskedők

Virágzó feketepiac

A kétes üzelmekben settenkedő támadók attól sem riadnak vissza, hogy például technikai támogatást és ingyenes frissítéseket ígérve szabadítanak vírusokat és trójaiakat a célba vett gépekre. A merészebbek még messzebbre mennek: áldozataikat irdatlan mennyiségű levélszeméttel bombázzák, sőt, alkalmasint DoS támadásokkal bénítják le a szervereket, majd azok hátszelén eresztik útra adattolvaj programjaikat. Mindenből profitálnak: vírus-fertőzött gépekből, spamekből, identitáslopásból.

Az internetes alvilág hosszú ideje létezik, a rosszfiúk egyre hatékonyabbak, kártékonyabbak. A Carnegie Mellon Egyetemen (CMU) fejlesztett, a gyanús tevékenységeket monitorozó és katalogizáló automatizált módszerrel kimutatták, hogy a feketepiacon az elmúlt hét hónapban hozzáférhető illegális árucikkek értéke meghaladta a harminchétmillió dollárt. A trend erősödését támasztja alá az Egyesült Államok Számítógép-biztonsági Intézetének cyberbűnökre vonatkozó legújabb felmérése is: efféle tevékenységek következtében, szemben a 2006-os százhetvenezer dollárral, 2007-ben (eddig) az amerikai cégek átlagban több mint háromszázezer dolláros veszteséget könyvelhetnek el.

„A kutatás során kiderült, hogy a hét hónap alatt körülbelül nyolcvanezer hitelkártyához lehetett hozzáférni ezeken a törvénybe ütköző webes gazdaságokon keresztül” – jelentette ki Jason Franklin (CMU). Ugyanakkor azt is hozzáfűzte, hogy a kártyaszámok érvényességének ellenőrzése csak az azokat kibocsátó bankok engedélyével és közreműködésével történhetett volna meg, így nem tudják, hány volt közülük érvényes, illetve érvénytelen. A kutatásban Franklin-en kívül Adrian Perrig (CMU), Stefan Savage (Kaliforniai Egyetem, San Diego) és Vern Paxson (Nemzetközi Számítástudományi Intézet, Berkeley) vesznek részt.

Becsületes és becstelen bűnözők

A vásárlók magánúton, elektronikus levelezés vagy azonnali üzenetküldés útján veszik fel a kapcsolatot az eladókkal. A pénz általában a banki fizetőszolgáltatások megkerülésével (például a sokkal nehezebben nyomon követhető „digitális arany” – e-gold – formájában) cserél gazdát. Aggodalomra ad okot, hogy tudomásunk nélkül is feketepiaci üzelmekbe keveredhetünk – könnyű rátalálni, sokszor csak egyetlen kattintásnyira vagyunk tőle...

A kutatók két megoldást és azok összekombinálását javasolják az ellopott hitelkártyákkal és adatokkal való kereskedés megfékezésére: egyrészt a „rágalmazásos támadást,” másrészt megtévesztő üzleti környezet létrehozását.

„A szereplők jó szándékát hitelesítő eBay-hez hasonlóan, az online bűnözőknek szintén tudniuk kell, hogy „becsületes” rosszfiúkkal üzletelnek-e” - magyarázza Franklin.

Az első esetben a támadó hamis rágalmakkal teszi semmissé az eladó vagy a vevő hitelesített státuszát. Következmény: a szereplők nem tudnak különbséget tenni az árucikkek és a szolgáltatások minőségét illetően.

A második esetben hamis hitelesített státuszok – identitások – legyártásával tennék megbízhatatlanná az adásvételi környezetet. Így képtelenség lenne eldönteni, ki a „becsületes” kereskedő, és ki nem az. (Perrig csoportja fejlesztette ki az ehhez szükséges technológiát.)

Például olyan esetek fordulhatnak elő, hogy a gyanútlan vásárló hoppon marad. Fizet, és nem kap cserébe semmit, mert az eladó - önhibáján kívül – képtelen teljesíteni azt, amiben megállapodtak. Esetleg nem is tud róla, vagy másról tud, és így tovább.

A feketepiaci honlapok hitelesítő rendszereinek célja pontosan az ilyen események minimalizálása, megakadályozása.

Ne tápláljunk túlzott illúziókat: az illegális online kereskedelem egyre csak növekedni fog, úgyhogy a kutatóknak bőven lesz még mit monitorozniuk.