Kevin Mitnick bol v polovici 90. rokov najznámejším počítačovým utečencom v Spojených štátoch. Agenti FBI ho zatkli 15. februára 1995 o 1.30 h v byte v Raleigh v Severnej Karolíne. Podľa amerického ministerstva spravodlivosti mu predchádzalo „intenzívne dvojtýždňové elektronické pátranie“ a pomáhal pri ňom bezpečnostný výskumník Tsutomu Shimomura.

Mitnick mal vtedy 31 rokov a za sebou odsúdenie z roku 1988 za krádež počítačových programov a prenikanie do firemných sietí. Úrady ho hľadali pre porušenie podmienok dohľadu. Podľa ministerstva počas úteku elektronicky útočil na firmy a telekomunikačných operátorov v Kalifornii, Colorade a Severnej Karolíne, spôsoboval škody a kradol firemné informácie.

Jeho najúčinnejšou metódou pritom nebol špičkový kód, ale telefonát. Americká komisia FCC medzi jeho metódami uvádza popri klonovaných mobiloch a programoch na odpočúvanie sieťovej komunikácie aj sociálne inžinierstvo. Sám Mitnick to neskôr opísal pred americkým Senátom.

Prečo je to dôležité dnes

  • Mitnickov prípad je jeden z najlepšie zdokumentovaných príkladov útoku, pri ktorom obete samy odovzdali prístup. Súdne a úradné dokumenty to potvrdzujú.
  • Rovnaký princíp dnes stojí za phishingom, podvodnými telefonátmi „z banky“ či falošnými žiadosťami o reset hesla.
  • Príbeh ukazuje aj opačnú chybu: médiá a časť úradov z neho urobili takmer všemocnú postavu, čo doložené fakty nepotvrdzujú.

Čo je sociálne inžinierstvo

Americký štandardizačný inštitút NIST definuje sociálne inžinierstvo ako klamanie človeka s cieľom získať citlivé informácie, neoprávnený prístup alebo spáchať podvod. Útočník pritom stavia na dôvere, ktorú si u obete vybuduje.

Americká agentúra pre kybernetickú bezpečnosť CISA opisuje typický postup takmer presne podľa Mitnickovho vzoru. Útočník sa vydáva napríklad za nového zamestnanca alebo technika a otázkami skladá dohromady informácie. Ak mu jeden zdroj nestačí, osloví ďalšieho človeka v tej istej firme a využije to, čo už vie, aby pôsobil dôveryhodnejšie.

Mitnick s tým začal ešte pred érou internetu. Vo svojej autobiografii Ghost in the Wires (2011) opisuje, ako sa už ako 12-ročný naučil jazdiť zadarmo autobusmi v Los Angeles a neskôr skúmal telefónne ústredne. Tieto rané epizódy poznáme prakticky len z jeho vlastného podania.

Motorola za 20 minút: Mitnickova výpoveď v Senáte

Najkonkrétnejší opis metódy dal Mitnick sám. Vo výpovedi pred senátnym výborom pre vládne záležitosti 2. marca 2000 povedal, že kedysi z impulzu zavolal na bezplatnú linku firmy Motorola. Počas cesty z práce domov, ktorá trvala 15 až 20 minút, mal už zdrojový kód firmvéru mobilného telefónu Motorola Ultra Lite na serveri v Colorade. „Presvedčil som niekoho v Motorole, aby softvér poslal na konkrétny server,“ vypovedal.

Podobne podľa vlastných slov prenikol k údajom amerického daňového úradu IRS a Správy sociálneho zabezpečenia. Telefonoval zamestnancom, vyzisťoval názvy systémov a príkazy, ktoré používali. Keď ovládol ich žargón, vydával sa za kolegu s problémom s počítačom a iní úradníci za neho príkazy zadali.

Senátorom vtedy povedal, že firmy míňajú milióny dolárov na firewally, šifrovanie a zabezpečené prístupové zariadenia a sú to „vyhodené peniaze“. Žiadne z týchto opatrení podľa neho nerieši najslabší článok bezpečnosti – ľudí, ktorí systémy používajú a spravujú.

Čo mu úrady preukázali

Po prvom odsúdení v roku 1988 dostal Mitnick rok väzenia a následný dohľad. Ku koncu dohľadu podľa dokumentu FCC priznal, že prenikol do hlasovej pošty operátora Pacific Bell a ďalších systémov. Keď úrady vydali zatykač, zmizol a pred FBI unikal vyše dva roky.

Podľa FCC sa v období asi dva a pol roka nabúral do systémov a ukradol firemný softvér firiem Motorola, Novell, Fujitsu a Sun Microsystems. Menil údaje v systémoch Univerzity Južnej Kalifornie, kradol e-maily a sledoval sieťovú komunikáciu. Vydával sa aj za zamestnanca Nokie, keď sa pokúšal získať firemný softvér.

Nešlo teda o nevinnú zvedavosť. Mitnick po prepustení pre NBC News povedal, že jeho prípad bol „prípadom zvedavosti“. Zároveň však kopíroval cudzí softvér, odpočúval komunikáciu a používal falošné identity. Z dostupných zdrojov pritom nevyplýva, že by na ukradnutých dátach zarábal.

Chybou bol útok na Shimomuru

Na Vianoce 1994 niekto prenikol do domáceho počítača fyzika Tsutomu Shimomuru v kalifornskom Solana Beach. Podľa reportáže Johna Markoffa z The New York Times útočník odniesol stovky programov a súborov. Shimomura pracoval v San Diego Supercomputer Center a rozhodol sa útočníka vystopovať.

Ukradnuté súbory 28. januára 1995 objavil programátor Bruce Koball na účte v online službe The WELL. Shimomura s kolegami odtiaľ sledovali pripojenia útočníka. Hovory cez mobilný modem sa podarilo spojiť s prístupovými linkami poskytovateľa Netcom v Raleigh. Podľa Markoffa útočník získal aj asi 20 000 čísel platobných kariet klientov Netcomu.

Záznamy operátorov GTE a Sprint a zameriavanie mobilného signálu zúžili pátranie na bytový komplex neďaleko letiska Raleigh-Durham. Mitnick tam býval pod falošným menom. Muža, ktorý sa mobilnými sieťami skrýval, tak nakoniec prezradil práve signál jeho telefónu.

Rozsudok: 46 mesiacov a 4 125 dolárov

Mitnick zostal vo väzbe viac než štyri roky bez procesu. Jeho priaznivci preto založili hnutie Free Kevin a tvrdili, že s ním úrady zaobchádzajú neprimerane. Sám neskôr opakovane uvádzal, že prokurátori sudcu presvedčili, že dokáže spustiť jadrovú vojnu hvízdnutím do telefónu. Doložené je to len jeho vlastným podaním. CNN pripomína, že sa šírili aj tvrdenia o prieniku do systémov NORAD, ktoré Mitnick poprel.

V roku 1999 sa priznal k štyrom bodom elektronického podvodu, dvom bodom počítačového podvodu a jednému bodu nezákonného odpočúvania. Federálny súd v Kalifornii ho 9. augusta 1999 odsúdil na 46 mesiacov väzenia. Podľa FCC predtým dostal aj 22 mesiacov za držbu klonovaných mobilov a porušenie dohľadu.

Sudkyňa Mariana Pfaelzerová mu podľa Computerworldu nariadila zaplatiť poškodeným 4 125 dolárov a sama sumu označila za „symbolickú“. Prokurátori žiadali 1,5 milióna dolárov. Poškodené firmy podľa Computerworldu vyčíslili škody na 80 miliónov dolárov, podľa The Irish Times až na stovky miliónov. Bezpečnostný odborník Ira Winkler vtedy odhadol, že reálna škoda bola bližšie k 1,5 milióna.

Sloboda bez počítača, potom kariéra v bezpečnosti

Mitnick vyšiel z väznice v Lompocu 21. januára 2000. Na tri roky dohľadu mal podľa NBC News zakázané používať počítače, mobily, modemy aj ďalšie zariadenia s výnimkou pevnej linky. Nesmel ani pracovať v počítačovom či telekomunikačnom odvetví.

FCC v decembri 2001 spochybnila, či má vôbec charakter na držanie rádioamatérskej licencie. Hlavný správny sudca Richard Sippel však 20. decembra 2002 rozhodol, že licenciu môže mať. Konštatoval, že Mitnick priznal trestnú činnosť, zaplatil náhradu, prejavil ľútosť a ospravedlnil sa viacerým obetiam. Počas dohľadu podľa probačného úradníka neporušil zákon.

Neskôr sa živil ako bezpečnostný konzultant, autor a rečník. Firmy si ho najímali, aby otestoval, či ich zamestnanci podľahnú rovnakým trikom, aké kedysi používal sám. Od novembra 2011 bol podľa firmy KnowBe4 jej spolumajiteľom a „hlavným hackerom“ (Chief Hacking Officer). Firma školí zamestnancov proti phishingu a sociálnemu inžinierstvu.

Kevin Mitnick zomrel 16. júla 2023 vo veku 59 rokov na rakovinu pankreasu, s ktorou bojoval 14 mesiacov.

Čo z jeho prípadu platí aj dnes

Mitnick nebol najlepší programátor svojej doby a doložené fakty nepotvrdzujú obraz všemocného hackera. Jeho sila podľa jeho vlastnej výpovede aj úradných dokumentov spočívala v príprave, znalosti interného žargónu a vytrvalosti. Z malých kúskov informácií od rôznych ľudí skladal celok.

CISA dnes odporúča byť podozrievavý pri nevyžiadaných telefonátoch a e-mailoch, v ktorých sa niekto pýta na zamestnancov či interné informácie. Identitu neznámeho človeka treba overiť priamo vo firme, ktorú vraj zastupuje, a údaje o organizácii neposkytovať, kým si nie si istý jeho oprávnením. Technológie sa zmenili, no postup z Mitnickovej výpovede z roku 2000 sa v phishingu a podvodných telefonátoch používa dodnes.

Zdroje