cyberprzestępca

Cyberprzestępca to sprawca przestępstwa popełnianego z użyciem systemów teleinformatycznych. Najczęściej działa dla zysku, ale w polskim uzusie słowo obejmuje także osoby działające na zlecenie państwa albo z innych pobudek; Niebezpiecznik pisze na przykład o dobrze zorganizowanych zespołach cyberprzestępców sponsorowanych przez rządy ^[1]. Prawo nie definiuje cyberprzestępcy jako osoby. Opisuje czyny, takie jak nielegalny dostęp do systemu, ingerencja w dane czy oszustwo komputerowe ^{[4] [5]}.

Czyny, które go definiują

Unijna dyrektywa 2013/40/UE z 12 sierpnia 2013 roku ujednolica minimalny katalog przestępstw przeciwko systemom informatycznym ^[5]. Każdemu z nich odpowiada przepis polskiego Kodeksu karnego.

Dyrektywa wymaga, by za te czyny groziła kara pozbawienia wolności w maksymalnym wymiarze co najmniej dwóch lat ^[5]. Za ingerencję w system lub dane maksimum ma wynosić co najmniej trzy lata, gdy narzędzie dotknęło znacznej liczby systemów, czyli na przykład przy użyciu botnetu, i co najmniej pięć lat, gdy czyn popełniono w ramach organizacji przestępczej, spowodował poważne szkody albo dotyczył infrastruktury krytycznej ^[5].

Dyrektywa obejmuje nie tylko samego sprawcę. Państwa członkowskie mają karać podżeganie i pomocnictwo do tych przestępstw, a także usiłowanie ingerencji w system lub dane ^[5]. Odpowiedzialność może ponieść również osoba prawna, jeśli przestępstwo popełniono na jej korzyść przez osobę pełniącą w niej funkcję kierowniczą ^[5]. Okolicznością obciążającą może być posłużenie się danymi osobowymi innej osoby w celu zdobycia zaufania osoby trzeciej, ze szkodą dla prawowitego posiadacza tej tożsamości ^[5]; takie działanie opisuje hasło kradzież tożsamości.

Najczęściej ściganym czynem pozostaje jednak zwykłe oszustwo. Kodeks karny w art. 287 karze tego, kto w celu osiągnięcia korzyści majątkowej lub wyrządzenia szkody bez upoważnienia wpływa na automatyczne przetwarzanie danych albo zmienia, usuwa lub wprowadza zapis danych informatycznych; grozi za to od 3 miesięcy do 5 lat pozbawienia wolności ^[4].

Jak działa

Współczesna cyberprzestępczość opiera się na podziale pracy. Jedni piszą złośliwe oprogramowanie, inni je rozsyłają, jeszcze inni wypłacają pieniądze. CERT Polska opisuje ten model na przykładzie LockBit: grupa rozwijająca kod udostępnia go przestępcom prowadzącym ataki w zamian za część okupu, co nazywa się ransomware-as-a-service (RaaS) ^[3]. Duża liczba niezależnych operatorów sprawia, że techniki ataków bardzo się różnią ^[3].

Najniższy szczebel to często osoby zwerbowane z zewnątrz. Niebezpiecznik opisał w 2019 roku, jak polscy cyberprzestępcy rekrutują słupy przez fałszywe ogłoszenia o pracy ^[2]. Schemat poniżej pokazuje drogę pieniędzy w takim scenariuszu.

RYS. 1Droga pieniędzy przez słupa

Słup ponosi odpowiedzialność karną, bo to jego konto przyjmuje skradzione pieniądze, a zleceniodawcy pozostają anonimowi ^[2]. Niebezpiecznik przypomina, że za „pranie pieniędzy” grozi odpowiedzialność karna z pozbawieniem wolności włącznie ^[2]. Pierwszym ogniwem łańcucha jest zwykle phishing ^[2].

Granica między cyberprzestępcą a grupą sponsorowaną przez państwo bywa płynna. Niebezpiecznik podkreśla, że grupy działające na zlecenie rządów atakują nie tylko cele rządowe, lecz także firmy z wielu sektorów ^[1]. Inną motywację ma haktywista, a jeszcze inną black hat działający na własny rachunek.

Skala

Statystyki CERT Polska pokazują, że cyberprzestępczość w Polsce to przede wszystkim oszustwa. W 2024 roku zespół przeanalizował 600 990 zgłoszeń i zarejestrował na ich podstawie 103 449 incydentów ^[3]. Oszustw komputerowych było 97 995, czyli 95% wszystkich obsłużonych incydentów i o 29% więcej niż rok wcześniej ^[3]. W tej kategorii znalazły się między innymi fałszywe sklepy internetowe i oszustwa inwestycyjne reklamowane w mediach społecznościowych ^[3].

Mniej liczne, ale najbardziej niszczące są ataki ransomware. W 2024 roku CERT Polska zarejestrował 147 takich incydentów; 87 zgłosiły firmy, 35 osoby fizyczne, a 25 podmioty publiczne ^[3]. Standardem jest podwójne wymuszenie: przestępcy wyprowadzają dane przed ich zaszyfrowaniem i grożą ich publikacją ^[3]. Organy ścigania w ramach operacji Cronos przejęły 20 lutego 2024 roku infrastrukturę LockBit, ale grupa wróciła do działania i w 2024 roku opublikowała 546 wpisów o włamaniach ^[3].

W WordPressie

Właściciel strony na WordPressie spotyka cyberprzestępcę zwykle pośrednio, przez automat. Dokumentacja WordPressa zaznacza, że wiele ataków prowadzą autonomicznie złośliwe boty ^[6]; zob. złośliwe boty. Strona nie musi więc być wartościowa, żeby padła ofiarą. Wystarczy, że ma znaną podatność we wtyczce.

Przejęta strona służy przestępcom jako zasób. Kampania Balada Injector, działająca od 2017 roku, przez lukę we wtyczce Popup Builder dawała atakującym dostęp do panelu, możliwość tworzenia kont administratorów i przekierowywania gości na podejrzane strony ^[7]. Ruch z cudzej strony zamienia się wtedy w przychód z fałszywych loterii albo subskrypcji powiadomień ^[7], a sama strona staje się narzędziem kolejnych oszustw.

Jak się bronić

• Aktualizować rdzeń, wtyczki i motywy; CERT Polska uznaje systematyczne aktualizacje za podstawę zabezpieczenia strony na WordPressie ^[7].
• Chronić konta silnymi hasłami i uwierzytelnianiem dwuskładnikowym ^[7].
• Nie przyjmować „pracy” polegającej na odbieraniu i przekazywaniu cudzych pieniędzy ^[2].
• Zgłaszać incydenty do CERT Polska, a podejrzane SMS-y na numer 8080 ^[3]; zob. zgłoszenie podejrzanego SMS-a na numer 8080 / zgłoszenie incydentu (incydent.cert.pl).