Internet of Real Therats

Wprowadzenie

Dynamiczny rozwój nowych technologii pozwala na zwiększenie dotychczasowego potencjału państw, społeczeństw, a także jednostek. Aparat państwowy staje się bardziej skuteczny i szybszy w wykonywaniu swoich obowiązków względem obywateli, społeczeństwa są lepiej zintegrowane i skomunikowane. Obywatele zyskują szeroką gamę nowych możliwości, a ich życie staje się wygodniejsze. Postępująca cyfryzacja zmusza świat nauki do nieustannego rozszerzania definicji bezpieczeństwa, wprowadzając do życia człowieka nie tylko szereg udogodnień, ale także nowe, nieznane dotąd zagrożenia. Znaczącym wpływem na bezpieczeństwo jednostki odznacza się środowisko „Internetu Rzeczy”, technologii niezwykle trudnej do wąskiego zdefiniowania, wnikającej w niemal każdy aspekt życia człowieka. Często użytkownik nie jest nawet świadom korzystania z konkretnych udogodnień. „Internet Rzeczy” wspiera procesy związane z komunikacją międzyludzką, przemysłem, handlem, opieką zdrowotną, czy transportem, a koszty jego wykorzystania wykraczają daleko poza konieczność zakupu urządzeń, czy oprogramowania. Wprowadzając do cyberprzestrzeni ogromne ilości informacji oraz przenosząc odpowiedzialność za czynności i procesy na maszyny, użytkownik żyje wygodniej, jednocześnie narażając się na nowe zagrożenia. Do stworzenia skutecznych zabezpieczeń potrzebny jest czas, a także praktyka. Jak w każdym przypadku, budowanie infrastruktury bezpieczeństwa polega na pościgu za światem przestępczym i jego metodami działania, a Internet oraz technologie pokrewne zaopatrują przestępców w nowe możliwości działania, obnażając podatności i wrażliwość społeczeństwa informacyjnego¹. To pokrewne technologie informacyjne posiadają największy potencjał kryminogenny oraz nieprzewidywalne kierunki rozwoju wskutek kolaboracji z technologią sztucznej inteligencji. Coraz więcej przedmiotów podłączonych jest do sieci, przetwarzając dane o nieświadomych tego użytkownikach. W nadchodzących latach liczba urządzeń codziennego użytku przetwarzających dane i łączących się z Internetem będzie wzrastać, w ramach obniżających się kosztów samej technologii². Cyberbezpieczeństwo nie figuruje na szczycie listy priorytetów producentów sprzętu, jednak nawet zwiększenie wydatków na ten cel nie gwarantuje skuteczności podjętych działań. Temat „Internetu Rzeczy” staje się coraz bardziej popularny wśród ekspertów, a reforma prawa ochrony danych osobowych³ oraz kroki podejmowane przez Komisję Europejską wskazują kierunek nadchodzącej rewolucji w zakresie cyberbezpieczeństwa.

Czym jest „Internet Rzeczy”?

Termin „Internet of Things” przypisuje się osobie Kevina Ashtona, brytyjskiego badacza MIT⁴, który w 1999 roku stwierdził: „gdyby wszystkie przedmioty w codziennym życiu były wyposażone w identyfikatory i łączność bezprzewodową, mogłyby porozumiewać się ze sobą i być zarządzane za pomocą komputera⁵”. W latach dziewięćdziesiątych wizja była niemożliwa to zrealizowania, jednak rozwój łączności bezprzewodowej sprawił, że słowa naukowca stały się fundamentem prób definiowania tego zjawiska. To zadanie wypełnił m.in. Międzynarodowy Związek Telekomunikacji⁶, który określa „Internet Rzeczy” jako „globalną infrastrukturę dla społeczeństwa informacyjnego, umożliwiającą działanie zaawansowanym usługom poprzez łączenie fizycznych i wirtualnych rzeczy w oparciu o istniejące i rozwijane zdolne do współpracy technologie informacyjne i komunikacyjnej⁷”. Rzecz rozumiana jest jako „obiekt fizycznego lub wirtualnego świata, który jest zdolny do bycia zidentyfikowanym i zintegrowanym w sieci komunikacyjnej⁸”. Popularnym stało się określenie „ekosystemu”, który umożliwia pełną synchronizację działań podejmowanych przez urządzenia, bez udziału człowieka⁹. Technologia ta zakłada wyposażanie wszystkich urządzeń codziennego użytku w zaawansowaną elektronikę w celu zwiększenia ich funkcjonalności¹⁰. Infrastruktura „Internetu Rzeczy” dzieli się na czujniki i mikrokontrolery. Ich rozmiar oraz zapotrzebowanie na energię ulegają zmniejszeniu. Tym samym w danym systemie będzie można zastosować więcej takich urządzeń, potęgując tym samym pobór danych i potencjał „ekosystemu”. Wydajniejsze sieci bezprzewodowe pozwolą „rzeczom” na lepszą komunikację nie tylko w sieci Internet, ale także między sobą. Do telefonów, czy tabletów podłączonych do Internetu dołączać będą mieszkania, pojazdy, elementy infrastruktury miejskiej oraz urządzenia medyczne¹¹.

Nie samo zwiększanie funkcjonalności przedmiotów, a proces przetwarzania przez nie danych tworzy potencjalne zagrożenia dla człowieka. Często to użytkownik wprowadza do sieci dane na swój temat, ale w ramach rosnącego zaawansowania technologii, to urządzenia zbierają dane o nim, niezależnie od jego woli. W ten sposób „Internet Rzeczy” łączy się bezpośrednio z koncepcją „Big Data”, reprezentującą innowacyjne sposoby analizy, wizualizacji oraz pozyskiwania ogromnej ilości informacji w czasie rzeczywistym¹². Dane zbierane przez urządzenia wysyłane są na ogół do tzw. „chmury obliczeniowej”¹³.

„Ekosystem” obejmujący fizyczne przedmioty zbierające dane oraz mechanizm gromadzący je w jednym miejscu, do wypełnienia koncepcji Ashtona, wymaga dodatkowo procesu odpowiedniej analizy danych i podejmowania autonomicznych działań niezależnych od woli człowieka. Do tego służy technologia sztucznej inteligencji. W kontekście „Internetu Rzeczy” należy odejść od klasycznego rozumowania tego pojęcia, w którym propagowano wizję stworzenia robota, o inteligencji przewyższającej ludzką¹⁴. Właściwsze jest postrzeganie sztucznej inteligencji jako zbioru systemów informatycznych, które przy użyciu odpowiednich algorytmów są w stanie wykonywać czynności, do których normalnie potrzebna jest ludzka inteligencja, takich jak podejmowanie decyzji, czy rozpoznawanie. To pozwala na stworzenie procesów autonomicznych, uniezależnionych od człowieka, za pomocą narzędzi oferowanych przez infrastrukturę „Internetu Rzeczy”¹⁵. Technologia ta jest mocno niedoceniana, jednak wszechobecna, zainteresowane są nią wszystkie sektory przemysłu (w tym zbrojeniowy), usług, a także podmioty państwowe. Bez niej nie mogłyby funkcjonować współczesne systemy nawigacji, portale społecznościowe, czy wyszukiwarki internetowe. Rozwój sztucznej inteligencji wywołuje ogromne kontrowersje w środowisku naukowców, ale też producentów powiązanych usług i produktów, zdominowanego przez entuzjastów reklamujących same zalety swoich produktów¹⁶. Na czele sceptyków przesadnego uniezależniania procesów od ludzkiej woli stoi E. Musk, który stał się propagatorem stwierdzenia: „sztuczna inteligencja i rywalizacja na polu jej rozwoju na szczeblu narodowym może być czynnikiem, który wywoła trzecią wojnę światową”. Musk stanął na czele grupy 116 ekspertów, którzy wystosowali list otwarty do ONZ¹⁷, apelując o podjęcie działań mających zatrzymać rozwój broni autonomicznej, która ma być przyczynkiem do „trzeciej rewolucji pola walki” po wprowadzeniu prochu strzelniczego i broni nuklearnej w przeszłości. Główną obawą sygnatariuszy listy jest możliwość wymknięcia się maszyn spod ludzkiej kontroli¹⁸.

Z powyższych twierdzeń można wysnuć wniosek, że zwyczajne przedmioty stają się de facto urządzeniami o podobnej charakterystyce co komputery. Poparciem dla takiego rozumowania wydaje się próba legalnego zdefiniowania pojęcia „komputer” podjęta w Stanach Zjednoczonych – „wszelkie obiekty przeznaczone do przechowywania danych lub komunikacji bezpośrednio związane lub współdziałające z takimi urządzeniami”¹⁹. Stopniowo kolejne przedmioty codziennego użytku uzyskują możliwość podłączenia do sieci. Dla uporządkowania, warto przywołać klasyfikację systemowych zastosowań Internetu Rzeczy utworzoną przez M. Kołodzieja:

1. inteligentne domy, budynki, posesje;
2. inteligentne miasta;
3. monitoring pojazdów;
4. inteligentne sieci medyczne;
5. inteligentne przedsiębiorstwa i przemysł;
6. inteligentne systemy energetyczne i pomiarowe;
7. systemy monitorowania środowiska²⁰.

Ten sam autor wśród przykładowych zastosowań „Internetu Rzeczy” wymienia między innymi inteligentny budzik, który dostosuje porę alarmu w zależności od natężenia ruchu na drodze do pracy, sportowe obuwie zastępujące powszechnie używane już opaski sportowe wykonujące pomiary poszczególnych parametrów takich jak tętno, pojemnik na leki przypominający choremu o konieczności zażycia lekarstwa, czy też systemy w infrastrukturze miejskiej ułatwiające kierowcom znalezienie miejsca parkingowego.

Według raportu „Digital in 2017” udział urządzeń mobilnych na rynku elektroniki stale rośnie. Polska znajduje się w czołówce państw, pod względem korzystania z Internetu za pomocą urządzeń mobilnych. Około 57% ruchu internetowego w Polsce w 2016 roku przypadało w udziale smartfonom i tabletom. Skala wzrostu znaczenia tych urządzeń widoczna jest w statystykach światowego udziału urządzeń mobilnych w ruchu internetowym. W 2009 roku udział ten wynosił poniżej 0,7%. W roku 2016 było to już około 50% globalnego ruchu internetowego. Po raz pierwszy urządzenia mobilne wyprzedziły tradycyjne komputery w udziale w globalnym ruchu internetowym. Ten wzrost pokazuje pewien trend, który będzie się utrzymywał, a największy na to wpływ mają państwa rozwijające się, co zdają się potwierdzać światowi liderzy w zestawieniu – Nigeria, Indie, RPA i Indonezja, z udziałem urządzeń mobilnych w sieci około 80%²¹. Według Komisji Nadzoru Finansowego w 2015 roku 43% użytkowników smartfonów w Polsce korzystała z usługi bankowości mobilnej²². O rosnącej skali zjawiska opróżniania kont bankowych użytkowników smartfonów za pomocą złośliwego oprogramowania media informowały wraz ze wzrostem skalą tego zjawiska. Już kilka lat temu zauważono, że nie są to przypadkowe ataki, a przestępczy biznes, ukierunkowany na możliwie jak największą efektywność. Koncentracja hakerów²³ na urządzeniach mobilnych nie może dziwić, gdyż zabezpieczenia w nich stosowane są jeszcze mniej skuteczne niż te w komputerach personalnych, czy laptopach²⁴. Od wielu lat firma KasperskyLab w swoich raportach umieszcza szczegółowe dane dotyczące ataków i standardowych zagrożeń czyhających w sieci na urządzenia mobilne. Do największych należy zaliczyć:

1. niekontrolowane wycieki danych powodowane przez aplikację;
2. korzystanie z darmowych, niezweryfikowanych sieci Wi-Fi;
3. „spoofing”oraz „phishing”²⁵ (szeroka gama metod wyłudzania danych);
4. złośliwe oprogramowanie gromadzące informacje – „ransomware”, „malware”, „spyware”;
5. ataki na aplikacje modyfikujące ich kod, a w efekcie działanie.

W 2016 roku w ponad 30% państw członkowskich Unii Europejskiej organa ścigania wszczęły postępowania w sprawach nadużyć dotyczących przetwarzania danych w chmurze, a w blisko 50% z nich informowało o potrzebie gromadzenia dowodów z tego źródła. „Internet Rzeczy” stanie się w przyszłości nieodłącznym elementem „infrastruktury krytycznej”, która będzie narażona na zagrożenia płynące z cyberprzestrzeni mogące skutkować fizycznym lub psychicznym uszczerbkiem na zdrowiu²⁶. Zagrożenie dostrzega Europol, obecnie na celowniku cyberprzestępców znajdują się głównie dane osobowe i informacje biznesowe²⁷. Techniki te nie są nowym wynalazkiem, jest to po prostu adaptacja metod wymyślonych już na początku istnienia sieci Internet, przy wykorzystaniu pełni możliwości jaką daje „Internet Rzeczy”. Większość cyberprzestępców nieustannie skupia się na kradzieży danych, bo to one stanowią wartość samą w sobie, bądź są swego rodzaju „wytrychem” do dalszej przestępczej i szkodliwej działalności. Już w 2012 roku dane okrzyknięto „nową ropą naftową”, a slogan ten jest szeroko powtarzany w środowiskach naukowych i publicystycznych²⁸.

Dla „Internetu Rzeczy” największym zagrożeniem wydaje się być „hacking”, którego definicja sensu stricto została ujęta w kodeksie karnym, jako uzyskanie nieautoryzowanego dostępu do informacji. Nie oddaje to pełni zagrożeń, jakie „hacking” tworzy dla przedmiotów podłączonych do sieci. F. Radoniewicz rozszerza samo pojęcie na art. 267–269b Kodeksu Karnego. Jest to zjawisko, które może być rozumiane na wiele sposobów, a jego definicja będzie musiała obejmować coraz szersze spektrum czynności w toku postępu technologicznego. Prawo od dawna nie nadąża za rozwojem cyberprzestrzeni, a dystans ten będzie się pogłębiał. Problemem jest nie tylko definiowanie pojęć, ale również atrybucja czynów przestępczych i transgraniczny charakter działań²⁹. Uściślając pojęcie, „hacking” można określić jako uzyskanie dostępu do systemu teleinformatycznego, zakłócenie jego pracy oraz modyfikację lub usunięcie danych w nim zawartych³⁰. Większość ekspertów do spraw cyberbezpieczeństwa jest zgodna, że ścisłe definiowanie każdego cyberzagrożenia jest niezwykle trudne, a będzie ono zawsze zależało od atrybucji i celu napastnika, którym może być uzyskanie dostępu, oszustwo, kradzież, bądź zniszczenie danych³¹. Wykorzystywane przez hakerów narzędzia różnią się, są przedmiotem specjalistycznej debaty, w której osoba nie będąca informatykiem łatwo może się pogubić. Dlatego na potrzeby zwykłego użytkownika National Cyber Security Centre (komórka GCHQ³²) utworzyła klasyfikację cyberataków (na potrzeby przedsiębiorstw, jednak dotyczą one również użytkownika indywidualnego):

1. atak nieukierunkowany – napastnik obiera za cel jak największą liczbę urządzeń, usług i użytkowników. Najważniejsza jest liczba ofiar, a nie ich tożsamość. Do ich przeprowadzenia używane są techniki takie jak:
1. „phishing” – uzyskiwanie wrażliwych danych poprzez wysłanie wiadomości e-mail i użycie narzędzi inżynierii społecznej,
2. „waterholing” – tworzenie fałszywej strony internetowej, bądź przejmowanie tej prawdziwej w celu wykorzystania odwiedzających użytkowników,
3. „ransomware” – rozpowszechnianie złośliwego oprogramowania szyfrującego urządzenia (np. dyski twarde),
4. „scanning” – wyrywkowe ataki na przypadkowe urządzenia podłączone do Internetu;
2. atak ukierunkowany – w tym przypadku napastnik atakuje określonego użytkownika urządzenia, bądź usługi. Atak tego rodzaju może być złożoną operacją trwającą miesiące i na ogół jest procesem o specyfikacji dostosowanej do ofiary, dlatego może wyrządzić znacznie większe szkody. Takie ataki należy podzielić na:
1. „spear-phishing” – dystrybucja wiadomości e-mail, zawierających załącznik ze złośliwym oprogramowaniem, bądź link powodujący automatyczne pobieranie i instalacje takiego programu,
2. „botnet” – przejęcie kontroli nad urządzeniem, w celu przeprowadzenia ataku DDoS na innym urządzeniu,
3. przerywanie łańcucha dostaw – bezpośrednie atakowanie urządzeń, bądź oprogramowania zapewniającego usługi³³.

Do powyższej klasyfikacji warto dodać tezę K. Mitnick’a, który jako najsłabsze ogniwo w każdym systemie bezpieczeństwa informatycznego określa człowieka. Inżynieria społeczna wykorzystuje perswazję i wpływ do oszukania jednostki. Dobry inżynier społeczny jest w stanie wykorzystać ludzi do uzyskania potrzebnej mu informacji, nawet bez użycia technologii³⁴. Jeszcze do niedawna wydawało się, że tego typu zagrożenia dotyczą tylko komputerów personalnych, ale właśnie ze względu na internetową ekspansję „rzeczy” już dziś wiele urządzeń z podłączeniem do sieci można zainfekować za pomocą najbardziej prymitywnych działań, takich jak wysłanie wiadomości MMS na smartfon³⁵. Jak wskazuje raport Europolu dotyczący zorganizowanej przestępczość internetowej, gama złośliwego oprogramowania stosowanego przez cyberprzestępców nieustannie rozszerza się, a sztywne definiowanie zagrożeń traci na znaczeniu. Wpływ miał na to postęp w telefonii komórkowej, zamieniający aparaty w de facto mobilne komputery. Oprócz złośliwego oprogramowania cyberprzestępcy wykorzystują system płatności anonimowych oraz rozwój tzw. „kryptowalut”³⁶ do działań korupcyjnych, fałszerstw, czy prania brudnych pieniędzy. Internet oraz sieci ukryte stały się rynkiem handlu nielegalnymi dobrami oraz przestępczymi usługami. Kryminaliści wykorzystują zakodowane kanały komunikacji w taki sposób, by pozostać nieuchwytnymi dla organów ścigania³⁷.

Wprowadzanie autonomicznych procesów w ramach „Internetu Rzeczy” zwiększa liczbę zsynchronizowanych urządzeń, czujników, czipów i mikrokontrolerów, które często nie są nawet objęte ochroną oprogramowania antywirusowego³⁸. Skuteczność programów to kolejny problem wymagający pogłębionej refleksji. Dowodem na ich słabość stał się antywirus „Flame”, który wstrząsnął sektorem informatycznym i obnażył prawdziwą skalę zaniedbań producentów i ich bezbronność w obliczu zagrożeń. Mimo pogłębionej dyskusji w środowisku, nie znaleziono do tej pory złotego środka³⁹. Problemem jest nie tylko sama świadomość, ale również możliwość wykrycia ataku, która jest czasem mocno ograniczona, podobnie jak szansa na wykrycie sprawcy⁴⁰.

Współczesne systemy zabezpieczeń M. Goodman określił mianem „cyfrowej linii Maginota”, ze względu na mnogość połączonych ze sobą urządzeń, danych wprowa-dzanych do sieci i brak skutecznych środków bezpieczeństwa⁴¹. Flagowym przykładem wykorzystania podatności układu „naczyń połączonych” jest historia amerykańskiego dziennikarza M. Honana z 2012 roku. Głównym celem cyberprzestępców, którzy zaatakowali Honana było jego konto na Twitterze, jednak w międzyczasie uzyskali oni dostęp do kilku kont ofiary oraz wrażliwych danych osobowych. W pierwszej kolejności hakerzy uzyskali podstawowe dane osobowe dziennikarza. Te informacje dosyć łatwo można było znaleźć w Internecie, a dane te posłużyły przestępcom do zmanipulowania pracownika centrali telefonicznej firmy Amazon, obsługującej sklep internetowy, w taki sposób, by ten wyjawił cztery ostatnie cyfry karty kredytowej Honana. Te dane w połączeniu z adresem zamieszkania ofiary i odpowiednimi zabiegami inżynierii społecznej zastosowanymi wobec pracowników działu obsługi klienta pozwoliły na uzyskanie dostępu do konta AppleID, do którego przypisany był adres konta Google, połączonego z kontem Twitter. Włamanie się na te konta, przy zebranych już informacjach nie stanowiło problemu. W trakcie całej operacji cyberprzestępcy uzyskali dane o obecnej lokalizacji dziennikarza, usunęli zawartość dysków wszystkich urządzeń firmy Apple, które znajdowały się w pobliżu. Honan utracił dostęp do kilku kont, a jego reputacja została nadszarpnięta, bowiem hakerzy wykorzystali konto Twitter to publikacji obraźliwych komentarzy i wiadomości. Warto zwrócić uwagę, że napastnicy posiadali już tak ogromną liczbę danych, że wyrządzone przez nich szkody mogły być znacznie większe, w przypadku włamania się na konto bankowe Honana. Okazało się, że połączenie odpowiednich narzędzi inżynierii społecznej z podstawową wiedzą na temat informatyki, pozwala na wyrządzenie ogromnych szkód użytkownikowi sieci Internet i urządzeń „Internetu Rzeczy”. Obnażone zostały słabości systemów bezpieczeństwa największych światowych korporacji, obsługujących miliony klientów na całym świecie i gromadzących dane na ich temat. W tym przypadku został wykorzystany nie tylko mechanizm synchronizacji kont internetowych, ale również urządzeń, ponieważ uzyskując dostęp do jednego urządzenia Apple, „włamywacz” zlokalizował pozostałe zsynchronizowane urządzenia tej firmy w pobliżu, przez co również one stały się obiektem ataku⁴². Brak spójności i integralności między poszczególnymi zabezpieczeniami, różne standardy bezpieczeństwa poszczególnych dostawców usług są przyczynkiem dodatkowych zagrożeń dla użytkowników⁴³ „Internet Rzeczy” to przestrzeń, w której przetwarzane są informacje zawierające dane osobowe, ale również informacje dotyczące ich aktywności i działań. Celowa ingerencja, bądź wpłynięcie na działanie jednego z elementów sytemu, może bardzo źle wpłynąć na pozostałe, powodując reakcję łańcuchową, a w efekcie spowodować dysfunkcję całego systemu. Urządzenia zbierają i przetwarzają dane o coraz większym stopniu wrażliwości, zwiększając dolegliwość konsekwencji ich nieodpowiedniego zabezpieczenia⁴⁴.Urządzenia mobilne stają się nieodłączną częścią ludzkiej codzienności. Jednak nie tylko dorośli stają się beneficjentem coraz szerszego dostępu do zaawansowanej technologii. Również osoby niepełnoletnie korzystają z urządzeń podłączonych do sieci i mogą stać się ofiarą cyberprzestępców. Dane dotyczące dzieci po raz pierwszy padły łupem hakerów w 2015 roku, kiedy to jedna z firm produkujących zabawki podłączone do sieci została okradziona z danych około sześciu milionów osób nieletnich⁴⁵. Było to wydarzenie bezprecedensowe, w trakcie postępowania wykryto rażące nieprawidłowości w zakresie polityki ochrony danych osobowych, a rodzice zostali wezwani do zbojkotowania produkowanych przez nią zabawek⁴⁶. Obecnie większą obawę wzbudzają zabawki z technologią „Internetu Rzeczy”. Jednym z takich przypadków jest sprawa „Hello Barbie” – lalki umożliwiającej dziecku rozmowę z zabawką wyposażoną w mikrofony oraz funkcję rozpoznawania głosu. Nie budziłoby to wielkich kontrowersji, gdyby nie fakt, że zabawki posiadają połączenie z siecią, która umożliwia jej zsynchronizowanie ze smartfonem, a treść rozmów dziecka i zabawki zostaje przetrzymywana w „chmurze” producenta. Nie jest jasne do czego te dane są wykorzystywane⁴⁷. Norwescy eksperci przeprowadzili eksperyment, po którym określili „Hello Barbie” jako najbardziej podatną na cyberataki w związku z podłączeniem zabawki do sieci, które sprawia, że niemal każdy może dokonać próby jej zaatakowania⁴⁸. Podobne obawy pojawiają się w społeczeństwie niemieckim. Federalna Agencja ds. Sieci (Bundesnetzagentur) określiła inną zabawkę tego typu – „My FriendCayla” jako „nielegalne narzędzie szpiegowskie”, wymuszając na producencie wyłączenie funkcji sieciowych zabawki, która mogła zostać uznana za „narzędzie inwigilacyjne” w świetle niemieckiego Kodeksu Karnego⁴⁹. Wyniki przeprowadzonego przez niemieckich dziennikarzy eksperymentu pokazały, że za pomocą łączności Bluetooth możną uzyskać nieuprawniony dostęp do lalki i rozmawiać z dzieckiem. Lalka nie została zabezpieczona hasłem⁵⁰.

Praktyka pokazuje również, że urządzenia podłączone do sieci mogą stać się narzędziem znacznie poważniejszych nadużyć wobec nieletnich. Zagadnienie stało się poważne wraz z wybuchem afery w USA, kiedy to dyrekcja jednej ze szkół, udostępniając szkolne laptopy do użytku domowego swoim uczniom, jednocześnie zainstalowała w nim oprogramowanie szpiegowskie w celu obserwacji ich zachowań⁵¹. Wykorzystanie urządzeń rejestrujących w komputerach, czy smartfonach staje się powszechne w gronie cyberprzestępców. Rynek „elektronicznych niani” zyskuje na coraz większej popularności, a problemy z zabezpieczeniami zastosowanymi w tych urządzeniach pojawiły się w 2008 roku, gdy pewien mieszkaniec Stanów Zjednoczonych odkrył, że jego sąsiad posiadający takie samo urządzenie, tego samego producenta, jest w stanie podsłuchiwać i podglądać, co dzieje się w jego domu⁵². Poważniejszy przypadek miał miejsce w stanie Texas (USA) kilka lat później. Nieznany sprawca przejął kontrolę nad „elektroniczną nianią”, służącą do opieki nad dwuletnim dzieckiem użytkowników. „Włamywacz” oprócz możliwości rejestrowania tego co dzieje się w pokoju dziecka, uzyskał dostęp do mikrofonu, mówił do dziecka po imieniu, dodatkowo napastując je nieprzyzwoitymi wyrażeniami⁵³. Podobny przypadek miał miejsce w Ohio (USA), kiedy to kobieta odkryła, że z używanej przez nią „elektronicznej niani” wydobywa się męski głos, używający „obscenicznych” słów skierowanych do dziecka⁵⁴. Tego typu urządzenia nie tylko posiadają podłączenie do Internetu, ale również często są zsynchronizowane z tabletami, bądź smartfonami użytkowników, przez które „nianie” są często obsługiwane. Z raportu senackiej Komisji Handlu, Nauki i Transportu (USA), wynika, że producenci zabawek rzadko dbają o bezpieczeństwo informacji dotyczących dzieci, zbierając jednocześnie ich podstawowe dane osobowe, zdjęcia, treść wiadomości pisemnych oraz głosowych, czy dane dotyczące lokalizacji. Analizie zostały poddane przypadki masowych wycieków danych z takich firm jak VTech, czy Fisher-Price⁵⁵. Jak podkreśla Federalna Komisja Handlu (USA) wykradzione dane dzieci mogą być narzędziem w wyłudzeniach świadczeń socjalnych, otwieraniu kont bankowych, uzyskiwaniu pożyczek lub najmowaniu mieszkania⁵⁶.

Rozwijająca się automatyzacja nie pominęła budynków. Angielski termin „Smart Home” („Inteligentne Domy”) to inaczej obiekty, które wysyłają dane do sieci, a jednocześnie potrafią je odbierać i przetwarzać. To „ekosystem”, w którym przedmioty, sensory, czy urządzenia mogą się ze sobą komunikować, wymieniając dane za pośrednictwem łączności bezprzewodowej. Zebrane dane są przesyłane do chmury, gdzie następuje proces ich przetwarzania. Używając interfejsu (np. smartfon lub tablet), użytkownik może zdalnie korzystać z usług „Smart Home”⁵⁷. Wszystkie urządzenia w takim systemie (podobnie jak komputer) posiadają indywidualny adres sieciowy, a oprócz możliwości obsługi przez interfejs, system posiada zdolność do autonomicznego wykonywania różnych operacj⁵⁸.

Do najpopularniejszych rozwiązań w „Smart Home” należą systemy HVAC (ogrzewania, wentylacji i klimatyzacji), kontroli oświetlenia, systemy bezpieczeństwa i kontroli dostępu, systemy alarmowe, systemy przeciwpożarowe oraz systemy audiowizualne⁵⁹. Urządzenia produkowane są z myślą o minimalizacji kosztów i poboru energii. Na tym skupiają się producenci, kosztem kwestii bezpieczeństwa. Biorąc pod uwagę ilość połączeń oraz zsynchronizowanych urządzeń „Internetu Rzeczy” w systemach automatyki domowej, łatwo wyobrazić sobie skalę szkód jaką mogą wywołać cyberprzestępcy mając dostęp do ogromnej ilości danych wrażliwych domowników i mnogość potencjalnych punktów dostępowych. W jednym z raportów firma Kaspersky podkreśla rosnący udział cyberataków na urządzenia „Internetu Rzeczy” poprzez router, za pośrednictwem którego urządzenia łączą się z siecią⁶⁰.

Mimo początkowej fazy rozwoju systemów automatyki domowej, nie brakuje przykładów na ich podatności w zakresie bezpieczeństwa. W 2013 roku dziennikarz K. Hill, podczas pracy nad artykułem, wpisała w wyszukiwarkę internetową frazę „Smart Home”. Bez szczególnych umiejętności w zakresie informatyki ta czynność doprowadziła ją na stronę internetową firmy Insteon oferującej instalacje automatyki domowej, gdzie uzyskała dostęp do systemów kilku klientów firmy. Z poziomu strony internetowej Hill mogła kontrolować urządzenia (manipulować temperaturą w domu, a nawet otworzyć bramę garażową) w domach rodzin korzystających z usług Insteon oraz uzyskała dostęp do informacji na temat domowników. Afera, którą wywołała ta sytuacja, doprowadziła do odkrycia kolejnych nieprawidłowości w stosowanych przez firmę systemach⁶¹. Ofiarą przestępców może zostać niemal każde urządzenie w „Inteligentnym Domu”, nie wykluczając z tego grona tostera podłączonego do sieci. Nie oznacza to, że haker za wszelką cenę chce przejąć kontrolę nad urządzeniem wykorzystywanym do przygotowywania posiłków, po prostu zaprogramowane przez niego złośliwe oprogramowanie automatycznie wyszukuje niezabezpieczone porty w całej sieci⁶². Być może toster nie jest kluczem pozwalającym przestępcy na fizyczne włamanie się do domu, ale synchronizacja wszystkich „rzeczy” może doprowadzić cyberprzestępcę do innych urządzeń, przetwarzających wrażliwe dane, bądź będących elementami systemu bezpieczeństwa⁶³. Ataki na sprzęt AGD nie są jednak tak powszechne, jak te na sprzęt audiowizualny. Niepokojące stają się doniesienia o wrażliwości na cyberataki urządzeń takich jak „Apple Siri”, „Google Home”, czy „Amazon Echo”. Są to zyskujący na popularności „asystenci” dowodzenia „Inteligentnych Domów”, sterowane za pomocą komend głosowych. Możliwe jest zainfekowanie wirusem tych urządzeń w tradycyjny sposób, jednak chińscy i amerykańscy eksperci twierdzą, że za pomocą odtwarzania dźwięku o wysokiej częstotliwości (niesłyszalnych dla ludzkiego ucha) są w stanie przejąć kontrolę nad „asystentami”⁶⁴. Mało prawdopodobne by taka praktyka stała się powszechna, jednak takie przykłady pokazują, że wystarczająco zmotywowany napastnik może uzyskać nieuprawniony dostęp do urządzenia, bądź danych w sposób niemożliwy do przewidzenia. Wiele urządzeń w „Smart Home” wykorzystuje łącze Bluetooth. We wrześniu 2017 roku firma Armis odkryła nowe narzędzie w rękach hakerów zagrażające urządzeniom mobilnym, komputerom oraz urządzeniom „Internetu Rzeczy”. Eksperci Armis określili jako najbardziej zagrożone wszystkie rodzaje telefonów, tabletów oraz urządzenia „ubierane”. Zagrożone są również urządzenia w systemach automatyki domowej oraz „elementy infrastruktury krytycznej”, takie jak samochody i urządzenia medyczne. Łączna liczba urządzeń potencjalnie podatnych na atak została obliczona na ponad 8 miliardów. Wiele z nich zostanie uodpornionych na atak poprzez aktualizację oprogramowania, lecz będą to głównie smartfony i komputery⁶⁵. Nową podatność nazwano „BlueBorne”, nie jest to rodzaj złośliwego oprogramowania, a „wektor ataku”, który hakerzy wykorzystują dzięki wrażliwości urządzeń z włączoną łącznością Bluetooth. Uzyskując dostęp do jednego urządzenia, można z łatwością „włamać się” do kolejnego urządzenia z włączonym Bluetooth, nawet jeśli oba urządzenia nie zostały ze sobą wcześniej zsynchronizowane⁶⁶. Wielu użytkowników smartfonów posiada aktywną łączność Bluetooth przez cały czas użytkowania urządzenia. Można sobie łatwo wyobrazić sytuację, w której właściciel restauracji postanowił skorzystać w swoim lokalu ze sprzętu grającego z technologią Bluetooth (takie urządzenia zyskują na popularności, podobnie jak bezprzewodowe zestawy słuchawkowe). Gdyby hakerowi udało się uzyskać dostęp do wspomnianego głośnika, mógłby on za jego pośrednictwem „włamać się” do smartfonów dużej części klientów restauracji. Podobnie, mógłby przejąć kontrolę nad wszystkimi tabletami, komputerami i innymi urządzeniami z tym standardem łączności, które znalazły się w zasięgu głośnika. Identyczny scenariusz mógłby mieć miejsce w każdym domu i to niekoniecznie tym „inteligentnym”. Już dzisiaj w wielu gospodarstwach domowych znajduje się kilkanaście urządzeń Bluetooth, a część z nich korzysta również z łączności internetowej⁶⁷.

Zagrożenia dla prywatności płyną nie tylko ze świata przestępczego, ale również od producentów. Przykładem jest autonomiczny odkurzacz firmy Roomba, którego producenci chwalą się, że urządzenie zbiera informacje na temat swojego otoczenia w trakcie pracy „mapując” przy okazji mieszkanie użytkownika, a zebrane dane, mają być sprzedawane producentom systemów automatyki domowej⁶⁸.

Podsumowanie

Jeden artykuł nie jest formatem wystarczającym do ukazania pełnej skali zagrożeń jakie prezentuje sobą „Internet Rzeczy” i związane z nim technologie. Ingerencja w życie człowieka urządzeń podłączonych do sieci będzie coraz większa, wraz z postępem technologicznym, rozwojem technologii „ubieranych”, zautomatyzowanych i autonomicznych środków transportu, urządzeń medycznych podłączonych do sieci, czy rozwoju „Smart Cities”. Na przestrzeni lat zdaje się podupadać mit o skuteczności oprogramowania antywirusowego, producenci przeznaczają nieznaczne środki finansowe na wzmocnienie cyberbezpieczeństwa, a przestępcy znaleźli w Internecie bezpieczną przystań, chroniącą od atrybucji potencjalnych działań. Gromadzone dane będą wykorzystywane nie tylko przez przestępców, ale również przez międzynarodowe korporacje oraz podmioty państwowe. Zakres oraz sposoby ich użycia będą ograniczone jedynie wyobraźnią i możliwościami technicznymi dysponenta danych. Tworzy to wiele potencjalnych niebezpieczeństw, których skutki trudno jest przewidzieć. Wyzwania w zakresie cyberbezpieczeństwa stoją nie tylko przed indywidualnymi użytkownikami, ale również przed korporacjami, służbami bezpieczeństwa, prawodawcami. „Internet Rzeczy” staje się integralną częścią życia, której zabezpieczenie jest kwestią nieodzowną do zapewnienia bezpieczeństwa jednostki, społeczeństw i państwa. Niezwykle ważna jest współpraca i spójność podejmowanych działań, bowiem każda niezgodność i brak synchronizacji, będzie tworzyć luki w systemie bezpieczeństwa. Ich stopniowym wypełnianiem powinni zająć się eksperci, jednak odpowiedzialność spoczywa również na użytkownikach. Dlatego na koniec warto przytoczyć cytat K. Mitnick’a: „Odkryłem, że łatwiej jest manipulować ludźmi niż technologią”⁶⁹.