Najznámejší hackeri v histórii: príbehy, ktoré formovali kybernetickú bezpečnosť

Čo pôvodne znamenalo slovo "hacker"

Slovo hacker nemalo pôvodne nič spoločné s trestnou činnosťou. V 60. rokoch ho používali členovia Tech Model Railroad Club na MIT na označenie niekoho, kto systém — vtedy doslova modelovú železnicu — dokázal elegantne a vynaliezavo prinútiť robiť niečo, na čo nebol pôvodne navrhnutý. Význam sa postupne preniesol na počítače a zostal pozitívny: hacker bol zvedavý experimentátor, nie zločinec. Komunita neskôr zaviedla presnejšie rozlíšenie — white hat (etický hacker, ktorý slabiny hlási), black hat (útočí so škodlivým úmyslom) a grey hat (niekde medzi, často prelamuje zákon bez zlého úmyslu). Médiá si však od 80. rokov osvojili zúžený význam — "hacker" ako počítačový zločinec — a práve v tomto (nepresnom, no všeobecne používanom) zmysle ho používa aj tento článok.

Predchodcom počítačového hackingu bol phone phreaking — skúmanie a zneužívanie telefónnej infraštruktúry v 60. a 70. rokoch. Najznámejším phreakerom bol John Draper, prezývaný "Captain Crunch" podľa hračkárskej píšťalky z krabice cereálií rovnakého mena, ktorá náhodou vydávala presne 2600 Hz tón používaný signalizačným systémom AT&T na diaľkové linky — umožňovala tak volať zadarmo kamkoľvek na svete. Medzi ranými phreakermi boli aj budúci zakladatelia Apple, Steve Wozniak a Steve Jobs, ktorí ako študenti stavali a predávali nelegálne "blue boxy" na phreaking skôr, než založili firmu, ktorá zmenila osobné počítače.

1988: Robert Tappan Morris a červ, ktorý takmer zhodil internet

Robert Tappan Morris, doktorand na Cornell University, 2. novembra 1988 spustil z MIT program, ktorý sa mal podľa jeho neskoršej obhajoby len nenápadne rozšíriť sieťou a odmerať jej veľkosť. Kvôli chybe v kóde sa ale replikoval nekontrolovateľne — reťazil zraniteľnosti v službách sendmail, fingerd a rsh a infikoval to isté zariadenie opakovane, kým ho úplne nezahltil. Výsledkom bolo približne 6 000 zasiahnutých hostiteľov z vtedajších 60 000 pripojených k internetu — teda asi 10 % celej vtedajšej siete, ktorá sa spomalila alebo úplne zamrzla.

Morris sa stal prvým človekom obžalovaným podľa amerického Computer Fraud and Abuse Act (CFAA) z roku 1986 a v roku 1990 bol odsúdený na tri roky podmienečne, pokutu 10 050 dolárov a 400 hodín verejnoprospešných prác — bez väzenia. Prípad "Morris Worm" sa dodnes učí ako prvý veľký dôkaz, že sieťový softvér potrebuje bezpečnostné testovanie, nie len funkčné. Morris sa neskôr stal profesorom na MIT a spoluzaložil akcelerátor Y Combinator.

Kevin Mitnick: najznámejší hacker všetkých čias

Kevin Mitnick je pravdepodobne najznámejšie meno v histórii hackingu — nie kvôli technickej sofistikovanosti, ale kvôli majstrovstvu v social engineeringu. Namiesto lámania šifier presviedčal ľudí, aby mu dobrovoľne poskytli prístupové údaje alebo interné informácie — telefonicky sa vydával za zamestnanca IT oddelenia, technika telefónnej spoločnosti alebo kolegu z inej pobočky. V 90. rokoch prenikol do systémov firiem ako Nokia, Motorola, Sun Microsystems a Digital Equipment Corporation, a keďže mu hrozilo zatknutie, dva roky unikal FBI, kým ho v roku 1995 vypátrali za pomoci bezpečnostného experta Tsutoma Shimomuru, ktorého systémy tiež napadol.

Mitnick strávil vo väzení takmer päť rokov, časť z toho v izolácii — súd sa obával, že by z väzenskej telefónnej búdky dokázal spustiť jadrový útok len hlasom, čo dodnes slúži ako príklad paniky, ktorú hackeri vedeli v 90. rokoch vyvolať. Po prepustení sa stal legitímnym bezpečnostným konzultantom, spoluzaložil firmu Mitnick Security a napísal viacero kníh vrátane bestselleru The Art of Deception o technikách social engineeringu. Zomrel 16. júla 2023 vo veku 59 rokov na komplikácie spojené s rakovinou pankreasu, s ktorou bojoval 14 mesiacov.

Kevin Poulsen: hack, ktorý vyhral Porsche

Kevin Poulsen, prezývaný "Dark Dante", sa preslávil v roku 1990, keď sa rozhodol vyhrať súťaž losangeleskej rozhlasovej stanice KIIS-FM, v ktorej stanica sľúbila Porsche 944 S2 presne stému desiatemu volajúcemu. Poulsen prevzal kontrolu nad telefónnou ústredňou stanice tak, aby všetky ostatné hovory blokoval a garantoval si výhru. Bol vyšetrovaný aj za ďalšie prieniky do systémov telefónnych operátorov vrátane prípadov spojených s odpočúvaním a citlivými federálnymi databázami, na istý čas sa skrýval a v roku 1991 bol zatknutý. Po prepustení z väzenia sa neobvykle prerodil na investigatívneho novinára — stal sa šéfredaktorom Wired News a venoval sa práve téme počítačovej bezpečnosti a kriminality, ktorú predtým sám stelesňoval.

Vladimir Levin a "krádež" 10 miliónov dolárov z Citibank

V roku 1994 sa objavili správy, že ruský matematik Vladimir Levin zorganizoval sériu neoprávnených prevodov v celkovej hodnote približne 10,7 milióna dolárov z účtov klientov Citibank prostredníctvom vzdialeného prístupu k jej systémom. Levin bol v roku 1995 zatknutý vo Veľkej Británii, vydaný do USA a odsúdený na tri roky väzenia. Prípad sa v médiách prezentoval ako jeden z prvých veľkých bankových hackov, no neskoršie výpovede iných zapojených hackerov naznačujú, že Levin skutočný prienik do systémov Citibank pravdepodobne nevykonal sám — mal si prístupové údaje kúpiť od inej skupiny ruských hackerov, ktorí do banky prenikli ako prví. Nech už bola jeho skutočná úloha akákoľvek, prípad Citibank upozornil bankový sektor na to, že vzdialený prístup k finančným systémom je reálne riziko, nie teoretická hrozba.

Tínedžeri v systémoch armády a vlády

Koniec 90. a začiatok 2000. rokov priniesol sériu prípadov, v ktorých boli páchateľmi prekvapivo mladí ľudia s domácim pripojením na internet.

Jonathan James, vystupujúci pod prezývkou "c0mrade", sa ako 15-ročný z Floridy dostal do systémov jednotky NASA Marshall Space Flight Center a získal zdrojový kód programu riadiaceho kritické prvky životodárnych systémov Medzinárodnej vesmírnej stanice; prenikol aj do systémov Defense Threat Reduction Agency, ktorá pre americké ministerstvo obrany monitoruje jadrové, biologické a chemické hrozby. Stal sa prvým maloletým v USA, ktorý si za počítačovú trestnú činnosť odpykal väzenie. V roku 2008, počas vyšetrovania rozsiahleho úniku dát z reťazca TJX, bol James vypočúvaný ako možný podozrivý — aj keď sa napokon nenašla žiadna priama väzba na tento prípad. 18. mája 2008 spáchal samovraždu; v odkaze napísal, že s prípadom TJX nemal nič spoločné.

Gary McKinnon z Veľkej Británie sa medzi rokmi 2001 a 2002 nabúral do približne stovky počítačových sietí americkej armády, NASA a Pentagonu — motiváciou malo byť hľadanie dôkazov o utajovaných vládnych záznamoch o mimozemských technológiách a UFO. Americké úrady prípad označili za "najväčší vojenský hack v histórii" a žiadali jeho extradíciu. McKinnon viedol proti vydaniu desaťročný právny boj; v októbri 2012 britská ministerka vnútra Theresa May extradíciu zablokovala na základe ľudských práv, keďže McKinnon trpel Aspergerovým syndrómom a depresiou a hrozilo vysoké riziko samovraždy. Bol to prvý prípad zablokovanej extradície od podpísania britsko-amerického extradičného dohovoru v roku 2003.

MafiaBoy: 15-ročný, ktorý na týždeň zastavil polovicu internetu

Vo februári 2000 spustil kanadský tínedžer Michael Calce, vystupujúci pod prezývkou "MafiaBoy", sériu distributed denial-of-service (DDoS) útokov pod kódovým označením "Rivolta" proti niektorým z najväčších webových stránok sveta. Za jediný týždeň postupne zhodil Yahoo! (vtedy najnavštevovanejšiu stránku na svete), eBay, Dell, Amazon a CNN — CNN si vybral zámerne po tom, čo mu iný hacker povedal, že jeho zabezpečenie je príliš silné na to, aby sa dalo prelomiť. Prípad sa dostal na titulné stránky po celom svete a upozornil verejnosť na to, že DDoS útoky dokážu ochromiť aj najväčšie firmy internetu bez toho, aby útočník potreboval čokoľvek "vlámať" — stačí zahltiť infraštruktúru požiadavkami. Kalce sa priznal k 56 bodom obžaloby a v septembri 2001 dostal osem mesiacov v mladistvom väzení, rok podmienky, obmedzený prístup na internet a pokutu 1 000 dolárov.

Albert Gonzalez: najväčšia krádež platobných kariet v histórii

Albert Gonzalez viedol skupinu, ktorá medzi rokmi 2005 až 2007 preniknutím do sieti reťazcov TJX (majiteľ TJ Maxx a Marshalls), 7-Eleven, Hannaford Bros. a spracovateľa platieb Heartland Payment Systems ukradla desiatky miliónov čísel platobných a kreditných kariet — v tom čase najväčšie prípady krádeže finančných dát v histórii. Gonzalez pôvodne spolupracoval s tajnou službou USA ako informátor po skoršom zatknutí, no paralelne pokračoval vo vlastnej trestnej činnosti. Za oba prípady dostal dva súbežne bežiace 20-ročné tresty (spolu teda 20 rokov väzenia), tri roky dohľadu po prepustení a povinnosť nahradiť spôsobenú škodu.

Sven Jaschan: tínedžer, ktorého červ zastavil letiská a nemocnice

V roku 2004 vytvoril osemnásťročný Nemec Sven Jaschan (kód písal ešte ako 17-ročný) dva rozsiahle počítačové červy — Sasser a Netsky. Sasser zneužíval zraniteľnosť v systémovej službe LSASS vo Windows a na rozdiel od väčšiny vtedajších hrozieb sa šíril bez akejkoľvek interakcie používateľa — stačilo byť pripojený k internetu. Infikoval milióny počítačov na celom svete a spôsobil výpadky u leteckých spoločností, nemocníc a spravodajských agentúr. Jaschana dopadli po tom, čo ho udal kamarát výmenou za odmenu 250 000 dolárov, ktorú na dolapenie autora Sasseru vypísal Microsoft. Keďže väčšinu kódu napísal ako maloletý, súd mu napokon uložil len podmienečný trest.

Hacktivizmus: Anonymous a LulzSec

Anonymous vznikol v polovici 2000. rokov na diskusnom fóre 4chan ako voľné, bezvodcovské zoskupenie bez formálnej organizácie — kýmkoľvek, kto sa rozhodol konať pod týmto menom. Prvou veľkou verejnou kampaňou bol v roku 2008 Project Chanology proti Cirkvi scientológie po tom, čo sa organizácia pokúsila stiahnuť z internetu unikajúce interné video s Tomom Cruisom. V roku 2010 nasledovala Operation Payback — sériou DDoS útokov na PayPal, Visa a Mastercard po tom, čo tieto spoločnosti po zverejnení diplomatických depeší (tzv. Cablegate) zablokovali platby smerujúce k WikiLeaks. Symbolom kolektívu sa stala maska Guya Fawkesa z filmu V ako Vendeta.

V roku 2011 sa z Anonymous odčlenila menšia, technicky zameranejšia skupina LulzSec, ktorá počas približne 50-dňovej "šou" prenikla okrem iného do systémov Sony Pictures, verejnoprávnej televízie PBS (kde zverejnila falošnú správu o smrti raperky Tupaca ako odvetu za dokumentárny film o WikiLeaks) a dočasne zhodila webovú stránku CIA.gov. Skupina sa sama rozpustila po 50 dňoch s vyhlásením, že ich "50 dní lulzu" sa skončilo. Jej spoluzakladateľ Hector Monsegur, vystupujúci ako "Sabu", sa po zatknutí stal informátorom FBI a počas viac než desiatich mesiacov spolupráce pomohol identifikovať ostatných členov skupiny a podľa FBI prispel k zmareniu vyše 300 plánovaných útokov na Kongres, americkú armádu a súkromné firmy. Pôvodne mu hrozilo až 124 rokov väzenia; napokon dostal trest zodpovedajúci už odsedenému času (sedem mesiacov) a rok dohľadu.

Iná liga: štátom sponzorovaní útočníci

Od polovice 2010. rokov sa ťažisko najzávažnejších útokov presunulo od jednotlivcov a kolektívov k skupinám financovaným priamo štátmi — tzv. Advanced Persistent Threats (APT). Americké spravodajské a bezpečnostné firmy pripísali napríklad únik dát z Demokratického národného výboru v roku 2016 skupine APT28 (Fancy Bear), spájanej s ruskou vojenskou spravodajskou službou GRU, a útok na Sony Pictures v roku 2014 aj celosvetový ransomvér WannaCry z roku 2017 severokórejskej skupine Lazarus Group. Na rozdiel od predchádzajúcich prípadov v tomto článku ide o organizácie s rozpočtom, dlhodobými cieľmi a často diplomatickou ochranou — kategória, ktorá sa svojím rozsahom aj motiváciou zásadne líši od jednotlivca hľadajúceho slávu alebo peniaze.

Prehľad

Čo sa zmenilo

Príbehy v tomto článku sledujú jasný trend: od zvedavého jednotlivca (Morris, Mitnick) cez tínedžerov hľadajúcich vzrušenie alebo pozornosť (James, McKinnon, MafiaBoy, Jaschan), organizovaný finančný zločin (Gonzalez, Levin) a ideologicky motivované kolektívy (Anonymous, LulzSec) až po dnešnú realitu, v ktorej najzávažnejšie útoky vedú štáty s rozpočtom porovnateľným s malými armádami. Práve táto eskalácia — od jednotlivca so zvedavosťou po štátom financované tímy so špecializáciou — je dôvodom, prečo dnešná obrana vyzerá tak, ako sme opísali v predchádzajúcich článkoch: jeden firewall alebo antivírus dnes nestačí, a firmy potrebujú vrstvenú kombináciu EDR a XDR na detekciu na endpointoch, SIEM na centrálnu koreláciu naprieč celou infraštruktúrou a architektúru ako SASE, ktorá kombinuje prevenciu aj viditeľnosť do jednej platformy.

Zhrnutie

História hackingu nie je len sled technických trikov — je to príbeh o tom, ako sa menila motivácia útočníkov a spolu s ňou aj to, čomu museli firmy a vlády čeliť. Morrisov červ ukázal, že sieťový softvér potrebuje bezpečnostné testovanie. Mitnick dokázal, že najslabším článkom je často človek, nie technológia. MafiaBoy a Gonzalez ukázali, že škoda sa dá merať v miliónoch dolárov a miliónoch obetí naraz. Anonymous a LulzSec premenili hacking na verejné divadlo s politickým podtextom. A dnešné APT skupiny financované štátmi dokazujú, že najzávažnejšie hrozby už dávno nepochádzajú od jednotlivcov pri klávesnici v spálni, ale od organizácií s rozpočtom, ktorý sa rovná malým armádam — presne to je dôvod, prečo sa moderná kybernetická bezpečnosť musí brániť vo vrstvách, nie jedným nástrojom.