Yhtiöiden tietoturvaa uhkaavat hakkerit eivät toimi vain ja ainoastaan tietokoneiden välityksellä, vaan onnistuneeseen tietomurtoon tarvitaan usein myös esimerkiksi salasanojen urkintaa yrityksen työntekijöiltä. Yritysten tietoturvajärjestelyissä tulisi kiinnittää huomiota myös tällaiseen "sosiaaliseen hakkerointiin", varoittaa maailman tunnetuimmaksi hakkeriksi nimetty Kevin Mitnick.
"Sosiaalisen hakkeroinnin kohteena on ihminen, joten mikään tietoturvaohjelma ei voi sitä estää", konsulttina nykyisin toimiva Mitnick sanoi torstaina Helsingissä koulutusyhtiö Tieturin tietoturvaseminaarissa.
Salasanojen ja muiden vastaavien tietojen urkinta kohdistuu useimmiten esimerkiksi puhelinkeskuksiin ja muihin vastaaviin työntekijöihin, jotka eivät tiedosta tietoturvaan liittyviä riskejä. Salasanoja urkkivat hakkerit teeskentelevät olevansa esimerkiksi yhtiön omia työntekijöitä ja ovat tehneet perusteellista taustatyötä kuulostaakseen uskottavalta.
Taustalla omakohtainen kokemus
Mitnick tietää mistä puhuu, sillä hänellä on laaja omakohtainen kokemus yritysten tietojärjestelmiin murtautumisesta. Hakkerivuosinaan Mitnick tunkeutui muun muassa Nokian ja Motorolan tietojärjestelmiin käyttäen sekä sosiaalisia taitojaan että tietokoneosaamistaan.
"En tienannut hakkeroinnilla rahaa, vaan harrastin sitä älyllisen uteliaisuuden ja seikkailunhalun vuoksi", Mitnick kertoo.
Vaikka Mitnick ei omien sanojensa mukaan hyötynytkään taloudellisesti hakkeroinnistaan, kohteli Yhdysvaltain oikeusjärjestelmä häntä ankarasti. FBI:n vuonna 1995 kiinni saama Mitnick joutui istumaan vankilassa yli neljä vuotta, vaikka yhtiöille hakkeroinnista koituneet kustannukset olivat hänen mukaansa lähinnä marginaalisia.
"Minua ihmetyttää, että jättimäisistä tappioista minua syyttäneet pörssiyhtiöt eivät koskaan tiedottaneet tappioistaan pörssissä, vaikka pörssisääntöjen mukaan näin pitäisi tehdä", Mitnick toteaa.
Mitnickin mukaan hänen kohteluunsa vaikuttivat vahvasti myös tiedotusvälineet, jotka revittivät hänen tekemisistään suuria sensaatiouutisia. Julkkishakkeri onkin välillä saanutkin kokea olevansa "internetin Osama bin Laden".
Kypsymättömyyden aika jäänyt taakse
Mitnick myöntää tehneensä väärin, mutta hänen mukaansa hänen "kypsymättömyyden ajan" teoillaan on ollut myös myönteisiä vaikutuksia.
"Ainakin olen nostanut ihmisten tietoisuutta tietoturvaongelmista ja luonut runsaasti työpaikkoja tietoturva-alalle", Mitnick naurahtaa.
Mitnickin mukaan asenteet hakkerointia kohtaan ovat kääntyneet Yhdysvalloissa päälaelleen parinkymmenen viime vuoden aikana.
"1980-luvulla hakkerointiin vielä kannustettiin lukioissa, mutta nykyisin sitä pidetään yhtenä terrorismin muotona", Mitnick toteaa. Hänen mielestään on myönteistä, että nykyisin keskustellaan nettietiikasta, mitä käsitettä ei vielä parikymmentä vuotta sitten tunnettu.
Viime aikoina runsaasti harmia aiheuttaneiden tietokonevirusten kehittäjiä Mitnick pitää vandaaleina, ei hakkereina.
Kissa ja hiiri -leikki jatkuu
Mitnick pyörittää nykyisin Los Angelesissa omaa Defensive Thinking -konsulttiyhtiötään, joka on erikoistunut testaamaan yhtiöiden tietoturvaa. Lisäksi hän ansaitsee elantoaan tietoturvaluennoitsijana eri puolilla maailmaa.
Mitnickin päämääränä on nostaa toistaiseksi vain pari henkeä työllistävä yhtiönsä alansa markkinajohtajaksi. Yhtiö on keskittynyt sosiaalisen hakkeroinnin torjumiseen, jolla saralla amerikkalaisyhtiöillä on Mitnickin mukaan paljon parannettavaa.
Mitnick naurahtaa, että saa nykyisin hakkeroida laillisesti ja maksua vastaan.
"Aika monet takavuosien hakkereista työskentelevät nykyisin aidan toisella puolella", Mitnick toteaa.
Mitnickin mukaan tietoturva-alalla jatkuu tulevaisuudessakin nykyisen kaltainen tietoturvaeksperttien ja hakkereiden kilpajuoksu, sillä sataprosenttisen turvallista tietojärjestelmää ei ole vielä keksitty.
"Kissa ja hiiri -leikki jatkuu entisellään", Mitnick ennustaa.