27 червня на Україну була здійснена масштабна хакерська атака. Вірус Petya паралізував роботу багатьох державних структур, інфраструктурних об'єктів, банків і ЗМІ, повідомляє "Обозреватель". Країна оговталася від удару, проте навряд чи він був останнім. Кіберполіція попереджає: є великий ризик чергової атаки до Дня Незалежності.
Як захиститися від хакерів, хто стоїть за червневими подіями, і чого домагалися злочинці - про це говорили з начальником кіберполіції Сергієм Демедюком.
- Ви говорили, що одним з каналів поширення вірусу Petya стало ПЗ Медок, і кіберполіцією встановлено, що сервери Медок і їх програмне забезпечення було зламано, до того ж, задовго до атаки. Виходить, Медок став жертвою злому?
- Так. Злочинці зламали програму Медок, вбудували в оновлення бекдор, зламали сервер оновлень і встановили переадресацію на сервер ovh, який розташовувався у Франції. Потім вибірково розіслали вірус користувачам. Це є в звітах міжнародних дослідників. І наше розслідування це підтверджує.
Хакерам довелося вбудовувати такий бекдор в Медок, тому що в іншому випадку програма не запустила б вірус на комп'ютерах користувачів.
- Тобто Медок все-таки постраждала сторона? Адже навіщо їм зламувати власний продукт і втрачати довіру клієнтів і гроші?
- Ну, здорового глузду в таких діях немає. Судячи з усього, Медок постраждала сторона. У нас є їхня заява з цього приводу - ведемо розслідування. Подібні атаки по всьому світу, як правило, відбуваються через зломи популярних програм, розробників операційних систем тощо.
Тобто, для того, щоб когось атакувати, треба щось зламати. Перш за все системи захисту: апаратні, програмні, а також часто зламують призначені для користувача програми.
- Чому було обрано саме цей продукт?
- Думаю, все просто. Причина в його популярності. Його використовують великі підприємства і держсектор. Якраз та аудиторія, яка в першу чергу цікавила зловмисників в даній атаці.
- Однак в ЗМІ дуже багато негативу щодо Медок, і багато матеріалів базуються саме на ваших заявах і на заявах департаменту...
- Якщо читати наші заяви в оригіналі, то ніякого негативу там немає. Є рекомендації, попередження і робоча інформація. А ось в публікаціях часто, м'яко кажучи, некоректне цитування. Інформація, на жаль, виривається з контексту, в результаті - суть і сенс губляться, а залишаються тільки "гучні заголовки".
- До речі, про гучні заголовки. Одна з "сенсаційних новин" про продукт - його приналежність російським розробникам. Перевірялася ця інформація?
- З цього приводу ми розслідування не ведемо. Але на даний момент у нас знаходяться всі вихідні тексти всіх їх програм мінімум за 20 років роботи. Усі програми писалися в Україні, компаніями, у яких ми вилучили дані для розслідування атаки Petya.
- А чи порушував Медок якісь вимоги чи рекомендації під час випуску своєї програми? І чи є вони взагалі в Україні?
- Справа в тому, що в Україні зараз немає ніяких вимог до розробників програмних продуктів в плані захисту від зломів. Кожен виробник організовує цей процес самостійно. В Україні розробка ПЗ дуже поширена. Плюс - є величезна кількість стартапів. Тому потрібно переглянути законодавство для контролю за такими виробниками, щоб захистити і користувачів, і розробників.
Зараз в парламент якраз внесений закон "Про основні засади забезпечення кібербезпекі України". Його прийняття частково врегулює порядок організації кібербезпеки і алгоритм дій під час атаки.
- Чи несуть виробники ПО відповідальність перед своїми користувачами і державою за кібератаки, організовані через злом їх систем?
- Зараз немає. І навряд чи будуть. Насправді зламати можна будь-яку систему безпеки. Це питання часу, грошей і зусиль. Хорошу систему безпеки зламати просто дорожче, а зусиль і часу потрібно більше.
- Один з найактуальніших питань для тисяч користувачів - як зараз справи з оновленнями ПЗ Медок, чи можна користуватися цим продуктом?
- У наші функції не входить перевірка і аналіз програмних продуктів на їх вразливість. Ми лише ведемо розслідування, шукаємо зловмисників і захищаємо від кібератак.
Але можу сказати, що в останніх оновленнях розробник врахував наші рекомендації. Також мені відомо, що Медок залучив серйозні експертні організації для тестування і перевірки своїх продуктів.
- У ЗМІ подейкують, що атака організована на замовлення конкурентів з метою рейдерського захоплення успішного бізнесу. Ви перевіряєте цю версію?
- Оскільки наша головна функція пошук винних і захист підприємств і держави від кібератак, ми перевіряємо всі версії. І цю також.
- У XXI столітті від кіберзагроз нікуди не дітися. Чи є у кіберполіції рекомендації, як виробникам ПЗ захищати свої продукти від зломів? Адже підприємства не можуть щодня змінювати своє програмне забезпечення. Це великі фінансові витрати та часові витрати.
- Рекомендації є, але, на жаль, до них не всі прислухаються. Хотілося б, щоб були законодавчо закріплені вимоги.
Ми постійно говоримо про організацію систем захисту і безпеки на підприємстві. Але проблема в тому, що користувачів систем може бути маса, а способи атак кожен раз змінюються. Важливий усвідомлений і професійний підхід до побудови систем безпеки в кожній компанії: використання антивірусного ПО, апаратного захисту, програмно-апаратного захисту і організаційних заходів на підприємстві.
- Ви говорили, що очікуєте чергову кібератаку в День Незалежності. Чи гарантована безпека хоча б ключових інфраструктурних, управлінських, військових об'єктів? Що можуть зробити українці, щоб убезпечити себе?
- Усі рекомендації щодо вже виявлених вірусів ми дали давно. Але ніхто не знає, які віруси можуть використовувати в наступний раз. На жаль, і наші рекомендації більшість не виконує. В Україні немає законодавчо-нормативного акту, який би примушував виконувати наші рекомендації. Проте ми поширили всю необхідну інформацію. Спільно із СБУ і Спецзв'язком напрацювали спеціальний механізм оповіщення ключових структур.
З приватним сектором трохи складніше. Ми можемо сповіщати з за допомогою ТВ, радіо та інтернету, але проблема та ж - до цього не прислухаються. Після кібератаки 27 червня ми з великими провайдерами та операторами домовилися про створення спільної групи, в якій працюватимуть і наші, і їхні фахівці. Вони будуть моментально повідомляти про загрозу всіма каналами. Так ми вибудуємо приватну систему оповіщення, поки не створена державна.
- 27 червня сайти державних структур, наприклад, Кабміну, лягли, бо не дотримувалися рекомендацій?
- Ні, сайт Кабміну не ліг. Згідно з рекомендаціями Спецзв'язку адміни державних установ відключили сайти на деякий час, щоб не допустити поширення вірусу. Так вчинили і ми. На той момент вірус був невідомий, ми не знали, як він себе поведе, тому було прийнято таке рішення.
- У вас вже є розуміння того, хто стоїть за атакою 27 червня? Це все ж були російські хакери?
- У нас є багато напрацювань, але я не хочу їх озвучувати, тому що злочинці почнуть замітати сліди. Ми точно знаємо, що працювала не одне хакерське угруповання. Також ми знаем¸ що брали участь не тільки російськомовні люди. Також можу підтвердити, що 27 червня був завершальним етапом атаки, яка проходила протягом року, можливо, довше. Атака була проведена за підтримки спеціальних служб. У злочинних організацій не могло бути такої інфраструктури і фінансового забезпечення для подібної синхронізації.
- За підтримки російських спецслужб?
- Поки не можу сказати. Сліди ведуть як в РФ, так і в інші країни. Основна версія - причетність Росії. Але ця версія не єдина.
- Ви співпрацюєте з ФБР в цьому розслідуванні?
- Звичайно, і не тільки з ФБР. Також з Європолом та Інтерполом. На базі Європолу створена спеціальна група. Експерти зараз працюють в Гаазі, але приймається рішення щодо направлення їх в Україну, щоб вони могли ознайомитися з ситуацією на місці. До експертиз залучені іноземні компанії в сфері кібербезпеки і антивірусні компанії. Вони працюють тут вже місяць.
- Як ви думаєте, якою була мета атаки? Розвідували грунт?
- Ні, мені не здається, що це була пробна атака. Це вже була демонстрація. Розвідували грунт раніше. Це були фінансові кібератаки. Вони почалися в 2014 році, їх масштаби збільшилися в 2015-му. І давайте згадаємо вибори в 2014-му - був зламаний сайт ЦВК. Пізніше були кібератаки на аеропорти, Держказначейство і Мінфін. Ось це були тренування. Така моя особиста думка.
Закрити такий канал отримання інформації могли лише в двох випадках. Це або випадковість, що малоймовірно, або це демонстрація сили - за умови, що вже є більш потужний канал отримання інформації.
- У зв'язку з цим які ваші рекомендації щодо російських антівірусніков "Доктор Веб", "Касперський"?
- Рекомендації кіберспеціалістов тут зайві. Досить почитати законодавство РФ, згідно з яким всі розробники таких продуктів зобов'язані співпрацювати зі спецслужбами. Що це означає? А те, що навіть якщо компанія сама по собі сумлінна, її користувачі не застраховані від того, що російські спецслужби отримають їх дані.
Всі повинні розуміти: будь-яка інформація, яку ви передаєте через ці програми, в будь-який момент може стати надбанням спецслужб РФ. От і все. Вважаю, всі програмні продукти, розроблені в РФ, в тій чи іншій мірі є джерелами інформації для російських спецслужб.
- Як необхідно удосконалити законодавство в сфері кібербезпеки? І як справи з законопроектами з кібербезпеки в Раді?
- На жаль, багато законопроектів вже по 2-3 роки знаходяться в Раді. Потрібно починати з основного закону з кібербезпеки. Він уже прийнятий у другому читанні, але в цілому ніяк не можуть прийняти. Цей закон розподілить функції між суб'єктами щодо забезпечення кібербезпеки. На його підставі розроблено ряд законопроектів. Але поки основний закон не прийнятий, до них не приступлять.
- Щодо заборонених російських ресурсів, чи всі провайдери заблокували доступ в Яндекс, ВКонтакте? Чи часто надходять скарги?
- Скарги надходять постійно, але це пов'язано з тим, що компанії, внесені до списку санкцій, намагаються обходити заборону різними технічними способами. На даний момент всі провайдери виконують рішення РНБО. Але якщо компанії обходять настройки, на деякий час контент з'являється в доступі. На щастя, про це оперативно сповіщають, і провайдери закривають "вікно".
- Чи є приблизні підрахунки кількості українців, які порушують заборону зокрема за допомогою VPN-додатків, Tor Browser?
- Таких підрахунків, на жаль, немає. Це дуже важко простежити. У нас більше 6000 провайдерів. Потрібно у кожного запитати статистику, і не факт, що вона буде показовою. Наприклад, якщо ви заходите в свою внутрішню мережу по VPN, зламати його дуже важко. Так, існують деякі варіанти підміни, але це повинні робити дуже досвідчені люди з потужною технічною підтримкою. Рядовим злочинцям це не під силу.
- Володимир Путін нещодавно підписав закон про заборону анонімайзерів. А Україні варто ввести таку заборону?
- Ми зараз це питання вивчаємо. Це не тільки Путін зробив.
- Ще Китай.
- І ОАЕ. Виникає питання: чи доцільно забороняти всі VPN? Але знаєте, я заздрю тому, наскільки швидко розробили і провели законопроект про заборону анонімайзерів в Росії. У нас роками правильні, потрібні законопроекти не можуть прийняти.
- Ваша особиста думка: в умовах інформаційної війни українцям варто заборонити анонімайзери?
- Думаю, частково так. Але я б виділив конкретні VPN-сервери, які можна використовувати. Їх потрібно проводити через якусь сертифікацію або перевірку. Є багато безпечних VPN-серверів, що не зберігають інформацію. Тому потрібно визначити, які компанії можуть працювати, а які ні.
- Які ще російські сайти, крім уже заборонених, ви вважаєте потенційно небезпечними?
- Ми винесли свої пропозиції на розгляд СБУ і РНБО.
- Наскільки великий цей список?
- Від нас він не дуже великий. Він стосується, крім іншого, російських підприємств, які надають незаконні VPN-послуги, які поширюють незаконну рекламу на своїх браузерах. Є ще продукти і програми, якими користуються як держустанови, так і приватні установи, однак вони несуть в собі код збору інформації. Так, вони закриті, але все одно цю інформацію потенційно можуть використовувати для ймовірних атак.