Это может быть юридическая фирма, IT-компания, местный орган власти, министерство или компания взаимного страхования. Это факт: кибератаки становятся все более распространенными, а угрозы распространяются от крупных организаций с офисами, иерархической структурой и хорошими зарплатами до отдельных людей, действующих в одиночку, или случайных киберпреступников. И в английском языке есть слова, которые большинство людей не понимает, но которые являются знакомым жаргоном для тех, кто разбирается в кибербезопасности. Например, ransomware - тип вредоносного ПО, которое шифрует файлы, парализует работу и требует выкуп - обычно в виртуальной валюте - в обмен на восстановление файлов и предотвращение их утечки в открытый доступ. Или вымогательство данных, при котором злоумышленники, как правило, долгое время спокойно находятся во взломанной сети и более деликатно выбирают, «что взять». Это также позволяет им наблюдать за перемещением компании и лучше классифицировать утечку данных, составляя «курируемые партии» файлов для продажи, как объяснил El País Мауро Элдрич, представляющийся хакером и оратором. Или пентестинг - тест на проникновение, то есть атака на компьютерную систему, но с благородной целью найти уязвимости. Главные герои этой статьи связаны с этой техникой: это этичные хакеры, люди, которые используют те же методы, что и хакеры, но с целью найти слабые места и сообщить о них компаниям. Многие из них стали профессионалами и открыли консалтинговые компании. Когда кризис разгорается, они выступают в роли пожарных, приходящих на помощь, а иногда им даже приходится вести переговоры с «плохими» хакерами. По словам Андреса Гомеса, соучредителя компании Nexa, занимающейся кибербезопасностью и специализирующейся на этическом взломе, за последний год количество поступающих к ним дел «как минимум удвоилось». С ним согласны Сантьяго Розенблатт из Strike («атаки растут в геометрической прогрессии») и аргентинец Сесар Серрудо («кибератаки становятся все более успешными и приносят миллионные убытки»). Розенблатт прервал свой плотный график, чтобы немного побеседовать с El País. Последние несколько дней он провел в Монтевидео, а в эти выходные отправляется в путешествие: «В этом году я планирую жить в Нью-Йорке, - говорит он, - в 2023 году мы откроем объекты в Мексике, и я туда ездил; в следующем году, думаю, это будет западное побережье». Это 28-летний парень, ставший одной из фигур современности: он основал стартап Strike, который в 2022 году получил от инвесторов 5,4 миллиона долларов в рамках посевного раунда. Системный инженер, он говорит, что начал заниматься этим в три года - разбирал игрушки и собирал их вместе, чтобы понять, как они работают, - и, хотите верьте, хотите нет, он занимается хакингом с шести лет. Он вырос в доме между Поситосом и Пунта-Карретасом, и влияние семьи сыграло свою роль: его родители - инженеры; мать работала в компании по компьютерной безопасности и приносила ему диски с хакерскими программами. Раннее начало будет повторяться в рассказах почти всех интервьюируемых. «Моим развлечением было взламывать компьютер», - говорит он и упоминает видеоигры, приставки и трансляции NBA или изготовление „поддельных удостоверений личности“. В 14 лет он обнаружил ошибку на одном из сайтов - он не говорит, на каком именно, - которая позволила ему купить PlayStation, Smart TV, микроволновку и маленький телевизор для кухни, заплатив за доставку всего восемь долларов в то время. Он отправился в пункт сбора, но не забрал товар, а сообщил об уязвимости. -Я понял, что это реальность. И то, что началось как игра, переросло в работу: десять лет спустя он станет президентом и будет консультировать такие компании, как DLocal и PedidosYa. Он изучал кибербезопасность и искусственный интеллект в Оксфорде, получал предложения присоединиться к Amazon, но решил основать Strike, где сегодня работают 38 сотрудников, разбросанных по всему миру: они работают на более чем 100 компаний. Контракты варьируются от 2 000 до 200 000 долларов в год. -Что такое этический хакинг? -По сути, это использование тех же знаний, что и у киберпреступников, но для того, чтобы помочь компаниям решить их проблемы. Но я думаю, что это выходит далеко за рамки технологии. Это менталитет, образ жизни. [...] [...] [...] [...] [...] В Страйке они нашли все: доступ к счетам на сумму более миллиона долларов или к административным панелям банков, где они могли видеть всех пользователей, суммы денег и пароли. Далеко от Поситоса, на другом конце страны, Андрес Гомес (36 лет) родился и вырос в Артигасе, где в начале 2000-х годов, будучи подростком, участвовал в форумах и чатах, где много говорили о хакинге и вредоносном ПО. Он читал испанский журнал Hack x Crack, в котором было много руководств по взлому. Гораздо позже, в Монтевидео, после нескольких лет обучения, он участвовал в международных соревнованиях с программами вознаграждения в различных компаниях. -Я искал уязвимости, мне платили в Apple, MercadoLibre, Microsft и других платформах. Это моя ботаническая хакерская жизнь», - говорит Гомес. Но прежде всего сегодня он руководит службой Nexa, в которой работает 35 человек и которая ориентирована на местный рынок, в частности на банковский, медицинский и государственный секторы, и обслуживает около тридцати клиентов в месяц. -А как вы завоевываете доверие этих компаний? Потому что вы можете получить доступ к конфиденциальным данным. -Мы продаем доверие. С наступательной стороны мы работаем с 10 местными банками, которые мы взламываем, чтобы предотвратить взлом других. [...] [...] [...] За последний год количество похищений с вымогательством значительно увеличилось. За последний квартал у нас было даже четыре случая параллельно, что не так часто случается. У нас были случаи, когда в крупных компаниях стирали данные за 15 лет. Вы спрашиваете их: стоп, а как же резервные копии? «Мы их потеряли». Это кризис, это хаос. -Платят ли компании за вымогательство? -Мы рекомендуем не платить, чтобы не поощрять преступников, но окончательное решение всегда остается за ними. Именно поэтому у нас есть эксперты-переговорщики, которые взаимодействуют и определяют жизнеспособность безопасной сделки. -Как вы гарантируете, что если они заплатят, то получат свою информацию обратно? -Просто: они должны подчиниться, чтобы бизнес, в котором крутятся миллионы долларов, был устойчивым. То же самое касается утечки в темную паутину, если вы не заплатите. Информация будет обнародована. По словам Гомеса, случаев, когда информация была восстановлена, гораздо больше, чем тех, когда ее пришлось восстанавливать путем переговоров. Но это не просто. -Это кропотливая и напряженная работа. Все компании разные. Это наша самая дорогая услуга, и мы не хотим продавать ее вам. [...] [...] [...] [...] На конференциях он рассказывает об обнаруженной им северокорейской вредоносной программе, о новом векторе атаки Web3, который «позволяет создавать бессмертные вредоносные компоненты», и о том, «как мы профилировали и разобрали фишинговую кампанию наемной киберпреступной группы». Он, возможно, самый известный хакер в этих краях, представляет себя как Rioplatense («родился ли я в Уругвае или Аргентине - это самый компрометирующий вопрос, который вы можете мне задать»), и ему 33 года. Он изучал безопасность граждан в полицейском университете, но в основном говорит, что учился, «ломая» вещи. Он ездит по миру и выступает с докладами: руководит компанией Birmingham Cyber Arms и возглавляет группу, которая создала энциклопедию киберпреступности Рио-де-ла-Платы. -Мы почти ежедневно сообщаем об утечках информации как из государственных, так и из частных, больших и малых организаций. -Усилились ли проблемы при удаленной работе? -Да. Поверхность атаки и профиль угроз увеличились. В серьезной организации вы не ожидаете, что вашим соседом по сети будет несовершеннолетний, загружающий пиратские игры на устаревшем компьютере без защиты от вредоносного ПО; вы также не ожидаете, что вам придется иметь дело с маршрутизатором по умолчанию, который по большей части не видел обновлений или надежных паролей уже много лет. Сезар Серрудо (49 лет) - аргентинец, но с самого начала пандемии он вместе с семьей живет на острове Манса в Пунта-дель-Эсте. С тех пор он посвятил себя повышению осведомленности о кибербезопасности. Он является одним из главных героев мероприятия, которое пройдет в «Антел-Арене» 8 и 9 октября с бесплатным входом, и написал книгу «Руководство хакера по безопасности», которая скоро будет распространена во всех государственных школах. Он прославился 10 лет назад, когда доказал, что можно взломать светофоры в Нью-Йорке и других городах США. -Я не стал этого делать, потому что это было бы незаконно. Но я доказал, что если захочу, то смогу, - говорит он. У меня были технологии и знания, чтобы изменить данные и изменить работу дорожной системы». Каково это - быть хакером сегодня? -Я определяю себя как профессионального хакера. Потому что большинство людей понимают, что такое быть хакером, из того, что они видят в кино. -Многие люди придают этому понятию негативный заряд. -Но термин «хакер» возник как нечто позитивное. Большинство хакеров - хорошие люди. Родриго Тумайан (36 лет), генеральный директор и соучредитель Prometeo, технологического стартапа для финансового сектора, - еще один ранний последователей. Когда ему было девять лет, он прочитал статью финна Линуса Торвальдса, известного по разработке Linux. -Он разрешил сотрудничество. Каждый вносил свой вклад, - говорит он из Мехико, находясь в командировке. [...] [...] Когда он вырос, то основал свою собственную компанию по открытому банковскому обслуживанию и однажды нанял для клиента службу пентестинга. -Когда я увидел результат пентестинга, за который заплатил, я понял, что он неплох, но я могу сделать это сам. И он начал. Он добился таких результатов, о которых и мечтать не мог, и получил массу удовольствия: от доступа к базам данных крупных компаний с полным контролем до проникновения в документы и контракты, номера банковских счетов, электронные письма. -Каждый раз, когда он начинал пентест, он говорил моей жене: «Смотри, я собираюсь начать пентест». Потому что уровень одержимости был таков, что я исчез из человечества. Все, о чем я мог думать, - это как взломать систему клиента. Один родственник даже назвал его «хорошим полицейским кибербезопасности»; он считает себя «хорошим», но слово «хороший» ему не очень нравится. Он говорит, что в глубине души он просто оказывает услугу, за которую ему платят. Сегодня он уже не занимается этим из-за нехватки времени. Но это сослужило ему хорошую службу: отличительной чертой его компании является то, что в ней очень хорошо поставлена работа по обеспечению кибербезопасности. Матео Мартинес, 42 года, эксперт по кибербезопасности и соучредитель компаний Krav Maga Hacking и Lugapel, тоже не любит разграничения на хороших и плохих хакеров. Много говорят о «белых» и «черных» хакерах, - говорит он в своем офисе в Центре международной торговли, где работает около 20 человек. [...] Бухгалтер может заниматься мошенничеством, журналист может писать ложные новости - это одно и то же. Это относится к этике. К счастью, это очень нужная и хорошо оплачиваемая область. -Уругвайские компании уже понимают, что необходимо инвестировать... -Да, крупные компании и организации знают, что это часть их системы безопасности. В банковском секторе этичный взлом стал стандартом для каждого крупного релиза платформы. Небольшие компании отстают еще больше. Не говоря уже о частных лицах: два-три раза в неделю мы получаем письма от людей, чьи аккаунты в Facebook или Instagram были взломаны. И они просят вас: «Помогите мне, я не знаю, что делать». Пабло Брум (40 лет) путешествует на поезде по Японии, куда он приехал по работе и на отдых. Он живет между Соединенными Штатами и Уругваем и несколько отличается от своих коллег. Выпускник Джорджтаунского университета (США) по специальности «международные исследования» со степенью магистра в области международной безопасности, он не изучал программирование и пришел к этой теме со стороны обычной безопасности. По воле судьбы в 2013 году он прочитал о компании CrowdStrike, занимающейся технологиями кибербезопасности, которая находилась на подъеме: он подал заявку и стал аналитиком по кибербезопасности. Он проработал там восемь лет, затем перешел в Mercado Libre, а несколько месяцев назад стал независимым консультантом Polo Cyber. [...] Он предупреждает, что многие задачи можно «автоматизировать», поскольку существует ряд известных атак, но творческая часть является ключевой, когда «нужно начать смотреть на другие среды». -Тогда вам придется вручную перемещаться по сайтам. Работая в тех местах, где я работал, я имел возможность наблюдать множество подобных случаев, когда люди тратили часы, чтобы найти какой-то изъян в безопасности большой платформы, за который они надеются получить вознаграждение. -А существуют ли юридические проблемы? -Да, даже в самых развитых странах до сих пор встречаются спорные случаи, когда этичных хакеров, пентестеров или разоблачителей уязвимостей привлекают к суду или не платят за их находки. Это целая проблема, которая витает в воздухе.