Ile Polacy wiedzą o cyber-zagrożeniach? Ten jeden podcast musisz przesłuchać - Konieczny, Szczęśniak

Myślę, że byśmy zaczęli od tego, żebyś ty po prostu się przedstawił. Przedstaw się, proszę.

Tak. Ja myślałem, że będzie jakiś jingiel. Jingiel później dorobimy z wykorzystaniem AI. Dobrze. To jestem Piotrek. Pracuję w Niebezpiecznik i Niebezpiecznika możesz i możecie patrzę do swojej kamery kojarzyć jako serwis, który pisze o bezpieczeństwie i niebezpieczeństwie. I dobrze, bo tym się zajmujemy. Ostrzegamy ludzi przed różnego rodzaju frami, atakami i niecnymi oszustami. Ale też realizujemy drugą misję, tajną, jeszcze bardziej tajną, o której za bardzo mówić publicznie nie możemy. Czyli mamy taki zespół uderzeniowy, który włamuje się do polskich i zagranicznych spółek i wykrada z nich dane i pieniądze. I później większość z tego oddaje razem z raportem, który mówi, dlaczego to wszystko się udało. I oczywiście robimy to na zamówienie tych firm, tych, że do których się włamuje. Nie inni. Dokładnie. Ty chyba, że jakaś firma chciałaby konkurencję? Nie, tego nie robimy. Oczywiście.

W takim razie, jaka jest według ciebie świadomość cyberzagrożeń takiego obecnego Kowalskiego?

Duża. Coraz większa. Z czego się bardzo cieszę, bo przez kilkanaście lat na to pracowaliśmy. I to jest wręcz niesamowite, jak czasem zdarza się jakiś atak, o którym jest głośno w mainstreamie. Ostatnio był to na przykład SPF, który powrócił, był wykorzystywany do atakowania polityków. No to zaczęło się o tym głośno mówić, bo jak jest wykorzystywany do atakowania przeciętnego Kowalskiego, to się o tym nie mówi, bo kto by się tam Kowalskim interesował. Ale co innego jakiś minister. No i jak tak przeglądałem nasze archiwum, kiedy pierwszy raz pisaliśmy o spoofingu, no to się okazało, że było to ładne 12 lat temu, kiedy zwracaliśmy uwagę na tego typu problem. I i teraz te problemy się materializują, jest o nich coraz głośniej, coraz częściej. Ale są też kampanie, które uświadamiają Polaków, mieszkańców naszego kraju, pod kątem tego, na co uważać. Jakie są najpopularniejsze ataki. I bardzo się z tego, bardzo się cieszę, że wiele firm, niezależnie od tego, wiesz, jaką ma misję, czy co sprzedaje, czym się zajmuje, ma taką chęć mówienia o aspekcie Cyber Security. No najczęściej w połączeniu z ich usługami, tak? Czyli na przykład świadczą firmę jakąś usługę i mówią: "A, uważajcie, bo z tą naszą usługą związane są takie zagrożenia" i edukują Polaków w tym wąskim fragmencie. No ale inna firma w innym wąskim fragmencie, my i koledzy z branży w szerszym fragmencie. Także myślę, że dzisiaj bardzo dużo wiedzy jest. Jeśli ktoś nawet nie ogląda telewizji, ale smyra popularne portale, no to prędzej czy później się na coś natknie. Wy zresztą też przecież wspominacie bardzo często o jakiś elementach związanych czy cyber, czy z takim szerzej rozumianym safety w internecie i na świecie.

Zatem, okej, bo mówisz, że ta świadomość jest coraz większa, że jest duża, ale wciąż słyszymy o takich przypadkach, że ludzie dają się oszukać na Blika. No i o przypadkach związanych ze spoofingiem. Może byś coś więcej powiedział właśnie o tym spoofingu, a później może opowiemy chwilę o tym Bliku?

Tak. Wiesz, będziemy dużo słyszeli o takich atakach i o ofiarach z wielu powodów. Jeden z tych powodów jest taki, że po prostu przestępcy się zinformatyzowali. Ostatnio słyszałeś o tym, że ktoś komuś wyrwał torebkę na ulicy, a przecież jeszcze kilka, kilkanaście lat temu takie doniesienia się pojawiały. No dzisiaj, po co ryzykować, że ta osoba, której wyrwiesz torebkę, biega szybciej od ciebie, jak możesz wyrywać te wirtualne torebki w internecie? I w zasadzie, no, niewiele czasu, wysiłku cię to kosztuje, bo gotowe narzędzia, scenariusze postępowania są. I w tym bym raczej upatrywał zwiększenie takiej naszej świadomości, czy może w przestrzeni medialnej obecności tego, że się mówi o pewnych zagrożeniach. No ale dlaczego to się wciąż zdarza? Ty użyłeś tego sformułowania "oszustwo na Blika", na które Blik się bardzo oburza, no bo po części ma rację. Tak, to nie jest oszustwo na Blika, bo to nie jest problem związany z Blikiem jako usługą. Też oszustwo na wnuczka, na policjanta, są skamy na OLX-ie, o OLX-ie też bardzo nie lubię, jak się tak o tym mówi. No ale generalnie podłożem tego wszystkiego jest socjotechnika, czyli możliwość wpływania, oszukiwania, trochę bazowania, trochę na naiwności, na niewiedzy i generowania takich emocji, które wyprowadzają z logicznego myślenia przez przestępcę. Więc w przypadku skamu, oszustwa na Blika, najczęściej mamy do czynienia z kimś, kogo znamy, z kim utrzymujemy kontakt na Messengerze, na przykład na Facebooku, bo tam najczęściej te scenariusze mają miejsce, gdzie odzywa się do ciebie twoja znajoma ciocia i mówi: "Oj, słuchaj, Szymon, tutaj robię zakupy w aptece internetowej i no, oni tylko Blikiem przyjmują, a ja Blika nie mam, albo moja aplikacja przestała działać, bo Rosjanie atakują banki i wszystko leży. Czy kopsnąć mi kod na Blika, czy pożyczyłbyś mi te dwie stówy, bo ja tutaj super ważne leki muszę kupić, bo inaczej..." Albo jest jakaś taka wzruszająca, ckliwa, ale prawdopodobna historia, bo też powiedzmy o tym, że przestępcy, oszuści nie zawsze idą tak, jakbyśmy powiedzieli, na pałę. Oni często czytają historię tej korespondencji, na przykład przyglądają się do kogoś na Messengerze i czytają z kim, czytają historię. Zwróć uwagę, że ostatnio wprowadziła takie zabezpieczenie, że trzeba jakiś tam PIN wpisać, żeby się dostać do tej dalszej historii, między innymi też po to, żeby trudniej było po przejęciu konta zrozumieć, jaka relacja was łączy i czy to rzeczywiście jest ciocia i na przykład, czy ona ma problem z insuliną, czy ma problem z okiem i te leki mogą być bardziej wiarygodne podane w tej historii. Więc ktoś znajomy może do nas pisać i może doładować dużo wiedzieć o tej osobie, za którą się podaje. Zakładam, że może też dużo wiedzieć o nas, bo może być na naszym profilu.

Tak, na moim profilu może, ale zazwyczaj nie wie, bo ta ciocia, której konto przejęto, to z jej konta przestępca napisze do absolutnie wszystkich i nie będzie za bardzo tracił czasu na to, żeby ciebie sprofilować. Podane i ty jako człowiek majętny i dobroduszny będziesz chciał ten kod przekazać. Przekażesz ten kod w dobrej wierze. No to zaakceptuję, że tam złe...

Właśnie, właśnie do tego zmierzam. Jeszcze nie akceptujesz, bo jak samo przekazanie kodu cię nic nie kosztuje i nie tracisz pieniędzy, przestępca ten kod wprowadza tylko nie w formatce w aptece, tylko w bankomacie. Więc ty na swoim ekranie smartfonu, gdzie wygenerowała ten kod w aplikacji bankowej, zobaczysz: "Próba wypłaty pieniędzy w Koszalinie", na przykład. A ciocia nie jest z Koszalina. Więc tu może ci się zapalić taka lampeczka. Możesz dopytać cioci: "Ciociu, a co ty robisz w Koszalinie?". A ona powie, że jest nad morzem. I wtedy dopiero zaakceptujesz. Więc tutaj znowu jest jakby to ogranie tej osoby. Oszukiwani ludzie apelują: "Tak, dzwońcie do tych, którzy chcą od was pożyczyć pieniądze". No bo czasem faktycznie ciocia może być w Koszalinie i może potrzebować tych dwóch stówek na leki, coś się stało. No to zadzwonienie do cioci, usłyszenie jej głosu spowoduje, że uwierzysz w tę historię i wtedy powiesz: "No dobrze, to jednak ci ten kod dam". A co przestępcy teraz robią? Mówią: "Ale ja jestem w Koszalinie. Nie, to rozumiesz, że tu jest morze i właśnie mi telefon wpadł do morza, więc ja nie mogę odebrać tej rozmowy". Tak? Albo rozmowa jest odbierana, ale jest włączony mikrofon. Różne są techniki, które kamerze jakby mają na to, żeby zbić twoje obiekcje. Jak to się mówi językiem marketingowym? Czy oni są jak tacy dobrzy handlowcy, którzy sprzedają zestaw kołdry i pościeli? Jakiekolwiek byś miał wymówki, że tego nie potrzebujesz, to oni mają 15 powodów konkretnie na tę wymówkę, dlaczego jednak tego potrzebujesz. I dlatego to jest takie skuteczne. Ale w wielu przypadkach tutaj po prostu ludzi gubi rutyna. Chcą pomóc. Te kwoty może są niewielkie i łapią się, nie wszyscy się łapią. Natomiast jeśli to jest atak masowy, a możemy założyć, że każdy ma po kilkadziesiąt znajomych, konta są przejmowane regularnie, no to w ciągu dnia jesteś w stanie przejąć kilkanaście do kilkudziesięciu kont i wysłać od kilku tysięcy do kilkudziesięciu. Sama statystyka mówi, że jakiś procent osób się nad to nabierze. I jak od tego procenta sobie policzymy po dwie, trzy stówki, no to jednak będzie to jakiś urobek, zarobek. Swoją drogą, ja powiedziałem o tym, że te pieniądze są wypłacane w bankomacie, ale to nie do końca jest prawda, bo przecież można coś kupić faktycznie w aptece, może jakieś takie mniej dostępne leki i sobie je odebrać, bo ja potrzebuję tego produktu, więc ta historia się zepnie pod kątem tego, że faktycznie ciocia potrzebuje leków w aptece.

To jak to się dzieje, że te konta są przejmowane? Przecież mam hasło, mam login, mam hasło. Czy widziałeś kiedyś w internecie szokujący nagłówek?

Codziennie widzę. A w ile z nich kliknąłeś?

Ja klikam we wszystkie. No, ja nie we wszystkie, ale w część tak. Myślę, że każdy z nas jest winny kliknięcia szokujące nagłówki, bo to tak w clickbait to jest potwierdzona skuteczność, zwłaszcza jak tam jest nawias kwadratowy, galeria i "znalazł jeden sposób na...". I to są właśnie takie wiadomości, które mogą się tam pojawić w feed, nie wiem, jak to powiedzieć po polsku, karmniku na naszym Facebooku, twarzoksiążce. I te wiadomości bardzo często dotyczą na przykład porwania w okolicy. No to chciałbyś wiedzieć, kogo porwali, albo może jak ten porywacz wygląda, bo być może i ciebie by chciał porwać albo twoich najbliższych, więc warto go zidentyfikować. A tam jest informacja, że jest galeria i wizerunek podany, tylko on jest taki zamazany na tym podglądzie. Klikasz, szukasz tam wiadomości. Jest bardzo realnie wyglądający artykuł, pisany być może przez albo Czata GPT. Swoją drogą, cały ten portal wygląda super wiarygodnie i super podobnie do jednego z bardzo znanych portali, z którymi każdy z nas miał do czynienia. No i wreszcie jest ten film. Zobacz, o 6:00, jak klikasz na Play, to się pojawia informacja, że to porwanie było tak drastyczne, że musimy potwierdzić twój wiek. A żeby potwierdzić twój wiek, to zaloguj się do Facebooka. No, jak się nad tym zastanowimy na spokojnie, to to jest głupie, jak logowanie do Facebooka ma potwierdzić wiek. Ale ludzie mówią: "No dobra, chcę zobaczyć ten film". Byłem na Facebooku. Może Facebook nie weryfikuje, bo wiadomo, treści drastyczne, to czasem jakieś tam zdjęcia rozmywa. No i sporo osób się loguje, jeśli nie mają dwuetapowego uwierzytelnienia, dwuskładnikowego logowania, dwukroknego, i tak dalej, bo jest wiele nazw na to. Czyli podają tylko login i hasło, żeby dostać się do swojego konta. No to niestety, to ten login i to hasło ma teraz przestępca i on jest w stanie na to konto się zalogować, udawać ciocie i okradać innych. Także tutaj bez świadomości tej cioci, bo loguje z innego urządzenia, natomiast ciocia też jest, ciocia jest też zalogowana, a czasem ciocia jest też wylogowana. Wylogowana, bo przestępca zmienia jej hasło, żeby się ciocia nie zalogowała i nie pisała do wszystkich, nie ostrzegała, że została zhakowana. Także też tak, tak na marginesie. Sporo osób, jak jest ofiarą tych ataków, ale nie doszło ofiarą i widzi taki komunikat atakującego: "Daj dwie stówy na Blika". A wie, że to nie jest od tej cioci, bo ciocia siedzi zaraz obok. No to pisze: "Ty głupi przestępco, to nie ma sensu". Tak. Lepiej jest rzeczywiście postrzegać znajomych tej osoby albo do tej osoby wprost zadzwonić i powiedzieć: "Słuchaj, czy wiesz, że twoje konto jest przejęte?". Bo pisanie do niej na Messengerze, z którego otrzymujemy wiadomości od o s przestępcy, no to wiadomo, że do tej osoby te wiadomości nie dotrą, bo przestępca prawdopodobnie je po prostu bardzo szybko skasuje, po to, żeby nie pojawiły się na jakimś innym podpiętym urządzeniu tej naszej cioci, która, której tożsamość została skradziona. Czyli nie do końca tak dobrze jeszcze jest tą świadomością, bo uwierzytelnianie wieloskładnikowe, czyli to, że już nie tylko mamy login i hasło, ale mamy jeszcze to coś dodatkowego, tak jak mówiłeś, na przykład SMS, czy gdzieś potwierdzenie w jakieś dodatkowej aplikacji, czy może później jeszcze chwilę powiemy o kluczach sprzętowych. Jednak wielu ludzi tego nie konfiguruje, a wiele portali czy jakiś takich usług nawet mailowych nie wymaga tego domyślnie.

Zakładam, że wynika to z tego, że chcemy, żeby była ten proces założenia tego pierwszego konta, pierwszy proces braku tego słowa "experience", doświadczenie, wygodnie, bezowo, albo inne angielskie słowo.

I masz rację. Chociaż ja stoję raczej na stanowisku, że ta świadomość jest. Bo gdybyśmy ciocię zapytali tydzień wcześniej: "Ciociu, czy możesz podać login i hasło na innej stronie niż Facebook, login i hasło do Facebooka?", to by powiedziała, że nie. Czy ona tę świadomość ma? Ale zwróć uwagę na to, że tutaj ten atak składał się z tej warstwy emocjonalnej, z tego wyprowadzenia z równowagi. To jest właśnie to piękno tej socjotechniki. Każdy z nas chyba lubi oglądać magików czy też iluzjonistów i zachwycać się tym, jak oni oszukują publiczność i czasem nie do końca rozumiemy, co oni robią, nie wiemy, jak to działa, chociaż możemy sobie zg Na czym polega dany trik magika, ale mamy świadomość, że to nie jest realne. I podobnie jest właśnie z tymi atakami, że ci fiszer socjotechniczny, parszywi i godni więzienia i lochów, no niestety są takimi magikami, iluzjonistami trochę. I oni bazują na tej chwili zauroczenia, na tym wybiciu z równowagi. My na przykład, jak włamują się do tych naszych klientów, do spółek, na konta użytk za pomocą fishingu, próbujemy wyłudzać te loginy, hasła, to bardzo często w tym, w tym mailu takim zaczepnym, używamy pretekstu, który ma trochę zestresować pracownika. No, bardzo dobrą formą jest mail w postaci w tytule: "Wypowiedzenie". I takie wypowiedzenie, brakuje mi teraz tego słowa, takie karne wypowiedzenie dyscyplinarne. Tak, zwolnienie dyscyplinarne. I w treści maila masz: "Ze względu na obserwowany na pana, pani laptopie zebrane dowody w załączniku, ze skutkiem natychmiastowym, na podstawie bla bla bla, wypowiadamy umowy". I to świetnie działa. Znaczy, gwarantuję ci, że każdy wtedy chce spojrzeć w ten załącznik, co oni zauważyli. Tak, w sensie, którą z tych stron, na których byłem i wiem, że nie powinienem być, jednak coś tam, jakiś monitoring wyłapał. Tylko, że tutaj ten impuls jest tak duży, że słuszna jest obawa, że wysyłając takiego fish maila z takim pretekstem do 2000, 3000 pracowników, a często dokładnie taka jest skala odbiorców, w zależności od wielkości spółki, no jest pewne prawdopodobieństwo, że dwóch czy trzech z nich dozna jakiegoś medycznego doświadczenia, którego nie chciałoby doznać. I warto też mieć świadomość, że ta symulacja ma oczywiście na celu otworzyć oczy, pokazać zagrożenie, no ale nie kosztem życia i zdrowia ludzkiego. Także osoby testujące są tros w gorszej sytuacji niż atakujący, bo atakujący nigdy nie zada sobie pytania: "Czy mnie interesuje, czy dany pracownik przy okazji wykituję?". Tych pracowników. Także to jest ten problem. Natomiast jeśli chodzi o te, te serwisy, które nie, nie, nie wymuszają, no to tutaj po części jest to, na co zwróciłeś uwagę, żeby to było miłe, szybkie i przyjemne i żeby nam się pieniążki, jak to niektórzy mówią, szybko wlewały do naszych skarbcu. Użytkownik spędza i mniej mu rzucamy pod nogi, tym prawdopodobnie dłużej zostanie w naszym serwisie i więcej obejrzy reklam.

Tak, dokładnie tak. Albo na przykład zaloguje się wtedy, kiedy my chcemy, żeby się zalogował, bo ma hasło, nie że zapomniał klucza czy jakieś tam inne rzeczy. Natomiast to jest też po części koszt, dlatego że obsługa tego dwuskładnikowego uwierzytelnienia wymaga implementacji, przemyślenia pewnych rzeczy, no oczywiście tam testów, ale to jest jednorazowo. Ale później też obsługi użytkowników, bo część użytkowników, no niestety sobie z tym nie da rady. I tutaj dochodzimy do smutnej rzeczywistości, gdzie my na naszym poziomie rozumiemy ten mechanizm, jesteśmy w stanie go wdrożyć w życie, zastosować, wytłumaczyć najbliższym, ale jest masa osób, która nie będzie w stanie zrozumieć, na czym to polega, co to jest ten, ten klucz, czy nawet skonfigurować sobie takiej aplikacji z tymi kodami. I tu wydaje mi się, że jeszcze warto byłoby wspomnieć, że jak już ktoś chciałby sobie włączyć, a powinien, dwuskładnikowy uwier, dwukrok, bo znowu widzisz różne nazwy. Tak, sama nazwa jest już taka odstraszająca.

Dwuskładnikowe. Dokładnie tak. Mogliby to nazwać "bezpieczne logowanie" albo "emoji gratis", to wtedy każdy by na pewno skonfigurował, bo chciałby mieć emoji gratis. Natomiast to uwierzytelni ten drugi krok, nie powinien być nigdy robiony na podstawie jakiegoś kodu, czy to kodu z SMS-a, którego przywołała, czy to kodu z aplikacji, gdzie zmienne są te kody. I sporo osób się teraz zdziwi, to nawet technicznych, bo to regularnie się dzieje. Dlaczego? Dlatego, że te kody można wyłudzić. Czyli wracając do cioci, która kliknęła w szokującą wiadomość, ona wprowadziła login i hasło i dalej nie widzi twarzy porywacza, bo jest jeszcze informacja od Facebooka: "Ciociu, a teraz wprowadź kod". No i ciocia ten kod z aplikacji przepisze albo z SMS-a przepisze. No, pytanie, jak z SMS-a, jak przecież Facebook nie wie, że ona się loguje. No, ale, ale ten przestępca właśnie przed sekundą się zalogował. Tak, naprawdę, jakiś bot, który ten kod wyłudził, co powoduje, że Facebook wysyła ten kod, co powoduje, że ciocia go odbiera w momencie, kiedy się loguje. Więc dla niej to jest naturalne. I co powoduje, że ciocia ten kod przepisze? Bo bardzo chce twarz tego porywacza zobaczyć. Więc te kody da się wyłudzić i obejść ten second factor za pomocą takiej socjotechniki. No chyba, aczkolwiek, aczkolwiek zakładam, że nie w każdym przypadku. Więc choćby ta metoda na kody czy SMS-y jest bezpieczniejsza, lepsza niż...

Tak, tak, tak. Bo nie, bo nie wszyscy to robią. Bardziej stosuje się to w takich atakach nieco ukierunkowanych. Chociaż dzisiaj jest już trzy, co najmniej narzędzia, które to automatyzują. Adept tej sztuki nie musi nawet wiedzieć, że jest taki problem, po prostu sobie zapinasz odpowiedni soft, który robi wszystko za ciebie za niewielką opłatą. Bot się loguje, bot sczytuje, to jest na tej podrobionej stronie podanej.

Chyba, że, chyba, że, no właśnie, chyba, że ktoś tak jak wspomniałeś, używa kluczy sprzętowych, kluczy U2F. No i znowu będziemy szli teraz w nazwy albo paski. To jest teraz implementacja tych kluczy na urządzeniach, które posiadamy. To są takie keyword jak FIDO 2, jak YubiKey, jeden z producentów, czy Titan, drugi z producentów. Jest tego naprawdę sporo. Natomiast klucz, ktoś gdzieś sobie wpisze, prawdopodobnie znajdzie takie rozwiązanie, które no od 100 do 200 zł w podstawowej formie, ale rzeczywiście jest nie-fisowska. Naukowcy tego nie obejdą. Także tu warto. Tylko teraz pytanie, czy ktoś jest na tyle świadomy, żeby zainwestować te 100, 200 zł, aby ochronić swoje konto na Facebooku, czy na Gmailu, czy na Twitterze, czy gdziekolwiek indziej? Mnie się wydaje, że jeśli ktoś prowadzi biznes, zarabia na swoich profilach, jest, nie wiem, influencerem i to konto jest dla niego super istotne w mediach społecznościowych, to jest głupotą, jeśli tego nie zrobi, bo z dnia na dzień może stracić kontakt z klientami. Natomiast z punktu widzenia zwykłego Kowalskiego, każdy z nas, nie zdajemy sobie z tego sprawy, większość z nas, że na skrzynce mailowej mamy masę cennych informacji zgromadzonych przez lata. Być może ostatnio ktoś był u notariusza i dostał kopię aktu notarialnego zeskanowaną, tam jest masa wrażliwych informacji. Być może ktoś kupował mieszkanie, być może ktoś dostał pilot księgowej, być może ktoś i tak dalej, albo wysyłał zdjęcia paszportu do wizy. Masę przypadków, jak atakujący się włamie, i my to obserwujemy regularnie na analizach incydentów u naszych klientów, to nie jest tak, że ktoś, kto wchodzi na skrzynkę, to sobie przegląda maile po kolei. No najczęściej próbuje podpiąć jakieś rozwiązanie, które zrzuci te wszystkie maile, żeby zabezpieczyć ten materiał dowodowy do do późniejszej eskalacji takiego ataku. Ale jak nie ma takiego czasu, to najczęściej wpisuje kilka keyword, takich jak PESEL, jak nazwisko panieńskie matki, jak pewne różne słowa kluczowe, które wyłap z tych 12, 13, 15 lat maili, tej tej tej długiej historii, konkretne informacje, które bardziej samość. I z tymi informacjami na przykład pójść do operatora i wyłudzić kartę SIM, a dzięki temu można przejąć kody autoryzacyjne z bankowości internetowej i snuć jakieś różne scenariusze. Tylko też, żeby tutaj nie wpadać w panikę, jeśli ciocia jest zwykłą ciocią, a nie ciocią prezesem jakiejś prezeską jakiejś firmy, no to prawdopodobnie jej to nie grozi, bo atakujący jednak musi poświęcić trochę czasu, czy dla niego to jest koszt, żeby się skupić na takiej ofierze i dopiero jak inwestuje ten czas, no to oczywiście liczy na zysk. Także atakujący nie jest kretynem, wbrew pozorom, przynajmniej większość nie jest. I oni poświęcają ten czas tylko na tak zwane HVT, jak my to mówimy w branży, czyli High Value Targets, takich VIP-ów, którzy rzeczywiście widać, że mają coś na koncie, więc warto ten wysiłek włożyć, warto podrobić te dokumenty kolekcjonerskie sobie wygenerować, warto nawet znaleźć jakiegoś słupa, który pójdzie do operatora i tą kartę SIM wyrobi w czyimś imieniu, żeby później przekierować rozmowy czy SMS-y, bardziej w tym przypadku, a następnie jeszcze dostać się do konta bankowego, mając wszystkie dane, podpiąć lewą aplikację, uwierzytelnić się, zwiększyć limity i okraść to konto. No, duży wysiłek, tak? Ale w niektórych przypadkach bardzo opłacalny.

No i zauważcie, że wystarczy tylko włamać się do kogoś na maila. Tak, tak. Mail to jest taki, ja zawsze żartuję, cyfrowy paszport Polsatu w internecie, gdzie rzeczywiście tym, tym, tym mailem można sobie odzyskać dostęp do wielu różnych kont. Jak masz skrzynkę mailową, no to, to, to masz wszystko. Tak, nawet jeśli korzystasz do różnych z różnych haseł w różnych serwisach, no to jak jesteś na czyjejś skrzynce mailowej i tam powiedzmy, ktoś miał skomplikowane hasło: "Kwiatuszek 17 wykrzyknik", bo musi być wykrzyknik na końcu, i do Facebooka byś się tej osoby chciał dostać i to hasło nie pasuje, no to przecież zawsze możesz kliknąć "Przypomnij mi hasło". I co Facebook zrobi? Wyślę ci fajnego linka na skrzynkę pocztową, gdzie będzie można kliknąć, bo na skrzynce pocztowej ofiary jesteśmy. No i następnie ustawić własne hasło. I to jest ten problem.

No właśnie, to może wróćmy tutaj, bo pewnie wielu osobom teraz się pojawia pytanie: "No dobra, mówiliśmy tutaj o Facebooku, ale to jak ktoś mógł się włamać do mnie na skrzynkę mailową?". I mówiliśmy o fishingu. Może też powinniśmy trochę zdefiniować, co to ten phishing jest, bo celujemy tutaj powiedzmy takiego typowego Kowalskiego. Jakbyś to zdefiniował? Bo wydaje mi się, że fajnie, jakbyśmy powiedzieli to na przykład, znamy przykłady SMS-ów, które które dostajemy na przykład od od gazowni, czy od elektrowni, że tutaj jest niedopłata, czy nawet od przewoźników, od przewoźników jest niedopłata za za paczkę. Kliknij tutaj, żeby się zalogować i żeby dopłacić. Rozumiem, że możemy też dostać, znaczy w ogóle, po pierwsze, jak to się dzieje, że ja mogę dostać SMS-a od przewoźnika, albo ja mogę dostać maila niby z mojej skrzynki, czy z mojego banku, ale to nie jest mój bank? No to zacznijmy od tej definicji fishingu.

Więc phishing to jest atak, który zawsze się uda. Ja jestem tego 100% pewny, dlatego, że sporo osób pewnie teraz, jak nas słucha, ogląda, mówi: "Nie, no, ja bym się to się nigdy nie nabrał na takiego SMS-a, ja bym nie kliknął w tego linka, przecież widzę, że tam jest coś podejrzanego". Ale te osoby mogę odesłać na niedawnego tweet na profilu Niebezpiecznika, gdzie podaliśmy taki przykład z RN Bankiem. Jak sobie napiszecie RN obok siebie, to zauważycie, na czym trik polega. Jak m tak. I o co chodzi? Chodzi o to, że phishing zawsze się uda, jeśli jest dobrze dopasowany do osoby, w odpowiedniej chwili, no i z takim konkretnym, z konkretnym pretekstem, który pasuje do tej osoby. Tak? Czy jeśli to jest faktycznie klientem banku, jeśli on faktycznie sprawdza na przykład na smartfonie, jeśli jest odrobinę rozproszony i jest szansa, że kliknie. Ba, ja prawie s fisowska w różnych zacnych firmach, włączając w to banki. Także naprawdę nie ma znaczenia, czy jesteś młody, stary, gruby, chudy, siwy czy nie siwy, masz okulary czy nie. Znajdzie się jakiś taki, jak my to mówimy, wektor ataku phishingowego, który na ciebie zadziała.

Okej, ale jak to się dzieje? No bo jak to się dzieje, że ja mogę dostać SMS-a od mojego banku, ale to nie jest mój bank? To przecież, jak ktoś może wysłać SMS-a z numeru nieswojego? I tutaj wchodzimy w ten spoofing, o którym 12 lat temu informowaliśmy i ostrzegaliśmy. Tak. Musimy mieć świadomość, że my korzystamy z technologii, która bardzo często została wymyślona kilkadziesiąt lat temu. No, maile, jeśli dobrze pamiętam, to jest końcówka lat 60, wdrożona na początku tylko i wyłącznie w zamkniętej, bezpiecznej sieci wojskowej. A dzisiaj praktycznie w tej samej formie jest używana w otwartej, niebezpiecznej sieci, nie tylko wojskowej. My korzystamy z technologii, która ma kilkadziesiąt lat, no bo jest tak popularna, tak powszechna i tak wygodna w użyciu. Oczywiście tam się pojawiły DKIM, SPF, DMARC i tak dalej, o czym pewnie ty więcej mógłbyś powiedzieć. Natomiast to wciąż jest ta technologia, która nie była projektowana w taki sposób, żeby poświęcić dużo uwagi na uwierzytelnienie nadawcy komunikatu. Po drodze została wymyślona, raczej ujawniona, kryptografia asymetryczna, która nam bardzo w internecie pomogła do tego, żeby uwierzytelniać stronę komunikacji i też gwarantować, gwarantować poufność takiej komunikacji. No tylko, że w mailu, te SMS-y, to PGP, to ja nie wiem, czy ktokolwiek, może akurat w grupie, która nas ogląda, pewnie będzie kilka takich osób, ale zapytajmy kogoś na ulicy, co to jest i jak z tego korzystać, to nawet jak będzie kojarzył skrót, to myślę, że nie będzie w stanie wygenerować certyfikatu czy klucza. Tak? A jak wygeneruje, ja mam, ja mam często taki przypadek, jak jak spojrzysz na przykład na klucze publiczne związane z moim imieniem i nazwiskiem, no to na serwerach kluczy będzie ich kilkanaście. Dlaczego? Jeden jest mój, a reszta to są osoby, które chciały się ze mną skomunikować, wygenerowały klucze, ale nie skumały, że muszą dla siebie klucze wygenerować, tylko generowały dla mnie, bo wydawało im się, że tak trzeba i opublikowały je na serwerach kluczy. Więc to jest tak, marginesem, taka dygresja. No i i mamy właśnie ten problem z tożsamością sieci telefoni komórkowej, bo tutaj poruszyłeś kwestie SMS-ów, kwestie spoofingu telefonicznego. To niekoniecznie musi być SMS, bo to może być też rozmowa telefoniczna przychodząca z numeru, który jest taki sam jak numer banku czy cioci z Koszalina. I to jest kwestia tego, że możesz zdefiniować w nagłówku, techniczne sformułowanie, to pod kogo się podszywa, czy jakby kto jest nadawcą komunikatu i wrzucić taki komunikat do sieci, niekoniecznie będąc tym nadawcą. I to jest uznaniowe w sensie sieci. Serwery mówią: "No to skoro się tak podpisał, to nim jest i tyle". Tyle wystarczy. Dopiero te mechanizmy uwierzytelniające, czy pewne reguły po stronie telefonii komórkowej, operatorów telefonii komórkowej, mogą powiedzieć: "Hola, hola. No ale ciocia z Koszalina, no to tylko jak z Koszalina zostawia takie połączenie, to jest ciocią z Koszalina". A jak w tym samym czasie robi takie połączenie z Indii, to może już nie do końca jest ciocią z Koszalina. Tylko, że też nie do końca, bo ciocia z Koszalina mogła wsiąść w Szymanach, no może nie tak blisko, ale na lotnisko i polecieć do Indii i za chwilę łączyć się telefonicznie z Indii, bo dlaczego nie. To jest internet, tut akurat sieć telekomunikacyjna, która jest połączona. Jak pomyślimy o tym, że te technologie, może telefonii komórkowej, trochę później niż w latach 60, ale były tworzone, muszą ze sobą współistnieć na całym świecie, żeby te połączenia w roamingu działały, jest wiele różnych przypadków brzegowych, które trzeba obsłużyć. To bardzo ciężko wdraża się nowoczesne rozwiązania. Czy jakby aktualizacje protokołów, które, no z dnia na dzień, to jest niemożliwe, żeby zauważyć atak i powiedzieć: "Okej, no to to teraz uznajmy, że wszyscy operatorzy będą przed tym atakiem się chronili, bo technicznie my wiemy, jak to zrobić". No, ale trzeba to jeszcze wdrożyć. Czy trzeba zmienić sprzęt, czy za ten sprzęt, kto musi zapłacić? I i ten element zapłacić jest problematyczny. W Polsce przez 12 lat nikt nie chciał zapłacić. Dopiero ataki na polityków spowodowały, że o tym zaczęło się mówić głośno, pojawiło się oburzenie społeczne. No i w takim przypadku pojawiła się też ustawa, która powiedziała: "No to wy za to zapłacicie". Czy brakuje tego elementu prawnego, który mówi: "Tak, mówiąc brutalnie, złapie za mordę odpowiedzialny organ albo organizacje za to, żeby wdrożyły jednak to bezpieczeństwo, które od lat mogły wdrożyć, ale którego nie wdrażał, bo tak było wygodniej, a przede wszystkim, bo tak było taniej". Bo przecież to, to, to ludzie tracili, tak, a nie te organizacje, które były tutaj takim utrzymywaczem tego.

Rozumiem. Te zabezpieczenia po stronie GSM nie działają cały czas, czyli dalej mamy idziemy w tym kierunku prawnie, ustawowo, natomiast cały czas na chwilę obecną takie ryzyko jest i codziennie się to odbywa. Codziennie ktoś do kogoś dzwoni z numeru banku, podaje się za kogoś z banku i próbuje wyłudzać jakieś informacje.

Nie do końca, w sensie ta ustawa jest przewidziana celowo. Jeśli mówimy o polskiej ustawie, żeby wdrażała pewne mechanizmy stopniowo i powoli. I faktycznie, część tej ustawy jest już wdrożona. Zobaczymy, jak jak będzie wyglądało wykorzystanie reszty. Jesteśmy na etapie obserwacji, jak przestępcy się przystosowują do nowych zasad i jak będą je obchodzili. Bo z infolinii banku, numeru infolinii banku, nie da się już zadzwonić do Polaków. Te połączenia u polskich operatorów są blokowane. Pa, one były blokowane jeszcze zanim ta ustawa oficjalnie weszła w życie, czyli niezgodnie z prawem, ale przymknijmy na to oko. To było dobre, niezgodnie z prawem. W końcu trzeba było z tym zrobić porządek. Tutaj też pomaga to, że numery infolinii banków, to są stacjonarne. One nie mają prawa pojawić się przy wejściu z zagranicy do operatora, czy z roamingu. No bo przecież call center, infolinia banku nie podróżuje, mam nadzieję. I i to to bardzo ułatwiło sprawę. Natomiast to nie ułatwi sprawy, jeśli chodzi o podszywanie się pod numery telefonów komórkowych. One mogą podróżować. Jeśli chodzi o, no, nadpisywanie, tak? Czy ma być jakby taki rejestr nadpis, z których może korzystać dana instytucja? Na razie jest to ograniczone tylko do firm właśnie związanych na przykład z tym światem, albo rządowym, albo finansowym. No, ale miejmy nadzieję, że to będzie bardziej poszerzone. Czyli pojawi się taka wi Lista. Jest już, już jest. I tak duży krok, że te ograniczenia zostały wprowadzone. Więc możemy być spokojniejsi, jeżeli chodzi o pewne SMS-y. Natomiast chyba wszystkie. No, zapytajmy na przykład bez golania, kto wie, jaki sufiks, dodatek do nadpisuje nazwiemy ją XYZ i od organizacji XYZ z jakimś dopiskiem. No to pytanie, który z tych SMS-ów to jest organizacji. I tutaj przestępcy prawdopodobnie będą bazowa dokładnie na tym, że zawsze się znajdzie jakiś operator na świecie, gdzie będą mogli ustawić nazwę nadawcy. I takich operatorów jest, znaczy, oni muszą być. To też warto może o tym powiedzieć, bo cały marketing SMS-owy bazuje na tym, że jak ja jestem klientem Biedronki albo Lidla, to ja chcę otrzymywać SMS-y od Biedronki albo Lidla, podpisane jako Biedronka albo Lidl. I jest masa operatorów, również w Polsce, czy usługodawców, którzy świadczą takie usługi wysyłki SMS-owej. No i, no, mają prawo tak. Chcą tylko, fajnie by było, jakby to tylko Biedronka albo Lidl mogły się podpisywać w taki sposób, stosując tą komunikację. No, ale za granicą ktoś może nie być świadomy istnienia Biedronki albo Lidla. I tutaj jest pole do, no, pewnego rodzaju nadużyć. Też w większości osób, popatrz, jakie, jak, jakie długie to w ogóle jest słowo Biedronka. Ile błędów można w nim zrobić, jak na przykład tak, a albo Lidl. Małe, duże litery też mogą się pojawić. Więc tutaj są różne triki, które przestępcy wykorzystują. Natomiast my obserwowaliśmy już od roku sytuacje, w której te SMS-y, o których ty wspomniałeś, od przewoźników, były wysyłane w ogóle z numeru telefonu komórkowego, zwykłego, takiego, wiesz, 537 coś tam coś tam, którego nie kojarzysz, który ci się nie podmienia na nic, ale jest podpisany jako na przykład InPost albo albo DHL. No i sobie myślisz: "Kurde, a może to jest kurier, bo kurierzy przecież mają swoje tak, wiozę przesyłkę, gdzie ją zostawić, tak?". Kto dzisiaj nie czeka na przesyłkę? Ja dzisiaj czekam na przesyłkę, ty prawdopodobnie, te, i tu kolega też czeka na przesyłkę, bo on codziennie czeka na jakąś przesyłkę. To jest i to jest moment, w którym mówimy, że wszystkiemu winne są chińskie serwisy, które wysyłają przesyłki do Polski. Ale to jest tak, że faktycznie: "O, jest niedopłata. Kurde, co ja w ogóle, ale coś zamówiłem. Wiem, że na pewno coś. Czekam, zamówiłem to, to".

Nie chcę teraz zajmować się całym tym. Mama jeszcze raz, płatność BLIK, czy z kimś tam się komunikować. Widzę często, że nawet te linki do jakiejś tam bramki opłat, one nawet tam już nie próbują, żeby one coś podrabiały. Już nawet nie ma tego RN Bank. No to akurat mówi o banku. Ale to jest jakiś zupełnie losowy ciąg znaków i ludzie i tak dają się złapać, klikają na tego linka i tam się logują. Nie sprzątają zupełnie, gdzie są i zawsze ktoś da się złapać. Dlatego phishing jest tym atakiem, który tak jak mówię, w 100% działa. Może niekoniecznie dzisiaj i na ciebie, ale jutro i na ciebie. I te linki one kują w oczy, one ciebie kują w oczy.

Ale jest taki bardzo znany przypadek, który pokazuje, że nie zawsze jest na przykład osoba, która jest matką, wychowującą samotnie dziecko, nie śpiącą trzecią noc z rzędu i nagle dostaje takiego SMS-a. No wiesz, ona jest półprzytomna i klika w tego linka. Tak, bo nie chce, żeby jej prąd wyłączyła elektrownia, czy gazownia, albo żeby kurier jej tą paczkę z pieluchami dostarczył na czas. No i tutaj mówimy o matce. No ale jest też młody, jurny pracownik korporacji IT, który ma problemy z alkoholem i on tak trochę półprzytomny wieczorem też takiego SMS-a może odebrać. I był taki przypadek w naszej branży, gdzie osoba się wprost przyznała, że no dała się zrobić, chociaż znała mechanika ataku. Po prostu dlatego, że była narąbana. Tak, wracała po grillu i no i nie pomyślała. Więc to zawsze jest jakiś taki odsetek i tego nie wyeliminujemy, ale możemy ograniczać to ryzyko i sprawiać, żeby takim przestępcom było trudniej atakować. Po pierwsze, a po drugie, żeby im było trudniej prać tą kasę.

No bo teraz to, o czym my nie powiedzieliśmy, to jest tylko pokazaliśmy początek ataku. Załóżmy, że ktoś da się okraść, przekaże te pieniądze oszustom, przestępcom. One gdzieś trafiają i one muszą być wypłacone. A przecież cały system bankowy jest kontrolowany przez korporacje i rodzinę bankierów. No to przecież to powinno być wszystko do namierzenia. No okazuje się, że nie jest. Bo jak jedna grupa atakuje ciebie na BLIK-a albo ciebie na link z InPostem lewym, to druga tak naprawdę przejmuje albo zakłada konta na tak zwane "muły", czy tak, takie słupy w naszym świecie. I korzystając z tożsamości tych osób, na ich konta, rachunki bankowe przelewa te pieniądze wykradzione od ciebie. Czy tak naprawdę ty sam je przelewasz, a później je wyprowadza w bankomatach albo zamienia na jakieś kryptowaluty. I to jest cały taki jako system krążenia tej gotówki. Nie zawsze się to uda. Czasem banki faktycznie działają, czasem to blokują. No czasem jest sprawa w prokuraturze, czasem to wraca po miesiącu, czasem nigdy nie wraca, ale coś się dzieje.

I bardzo ważne jest to, żeby nie tylko zwiększyć odporność Polaków, odbiorców tych scamów, ale żeby też uszczelnić ten system bankowy, sprawić, żeby on żwawiej reagował. To nie jest tak, że oni się nie starają, oni się bardzo starają, tylko kreatywność przestępców jest duża. No i spowodować, żeby ci ludzie nie zarabiali na końcu, nie wypłacali tych pieniędzy, bo wtedy to dla nich tak naprawdę będzie najbardziej bolesne.

Powiedzieliśmy o trochę o SMS-ach, natomiast chciałbym wrócić jeszcze do maili, bo wydaje mi się, że tego wątku nie do końca rozwinęliśmy. Ten wątek, bo kwestii SMS-ów ustaliliśmy, że jest coraz lepiej. SMS-ów czy połączeń telefonicznych, bo coraz trudniej jest się podszyć pod kogoś i zakładamy, że z czasem będzie coraz lepiej dla nas, obywateli, nie dla przestępców. Choć jak widzimy, przestępcy zauważyli, że mogą zupełnie na pałę, z dowolnego numeru próbować uderzać i też zawsze kogoś złowią. To z mailami wspominałeś, że to jest bardzo, to jest bardzo stara technologia. Pojawiły się różne zabezpieczenia, ale one nie zawsze są po stronie tego serwera odbierającego. I myślę tutaj też o takich rozwiązaniach popularnych, z których korzystamy, takich systemach mailowych darmowych. To tam często jest też tak, że też tym dostawcom nie do końca zależy, żeby rozpoznać każdy spam, każdą spam wiadomość. Jak to jest z tymi mailami właśnie? To jest łatwiej cały czas przestępcom jednak pisać te maile, czyli podawać się za kogoś innego niż są faktycznie?

Moim zdaniem jest trudniej, zdecydowanie trudniej. Znaczy, wiadomo, zawsze znajdziesz dostawcę skrzynek pocztowych w jakimś kraju, małego czy może mniejszego, mniej rozpoznawalnego, który pewnych zabezpieczeń nie wdraża, albo którego nawet antyspam nie działa dobrze. Czyli coś, co powinno od 10 lat działać wręcz idealnie. Łatwiej jest na pewno atakować w tej warstwie SMS-owej czy telefonicznej z dwóch powodów. Pierwszy to jest właśnie dlatego, że tam jeszcze te zabezpieczenia, takie jak w tych skrzynkach mailowych u dużych dostawców, no w zasadzie w ogóle nie istnieją. Tak? Dopiero teraz od niedawna to się zmienia. A druga jest taka, że my zawsze ten telefon mamy przy sobie. My na tego SMS-a zareagujemy pewnie szybciej niż na 50 maila w tej godzinie, który wpadł na moją skrzynkę. Tak? I to jest ten sposób zmiany ataku, czyli przejścia z atakowania ludzi na skrzynkach na atakowanie na SMS-ach.

No to też zależy bardzo od przypadku. Jeśli chodzi o skrzynki pocztowe, to tak, z doświadczenia, nie chcę tutaj ujawniać wszystkich trików, ale funkcjonuje dzisiaj taki termin "wygrzewania" skrzynek pocztowych. Czy jest kwestia różnego rodzaju systemów reputacji, nawet wymiany danych. Jak my zauważamy, bazując na naszych jakiś obserwacjach, pomiędzy dużymi dostawcami, gdzie jak ktoś założy skrzynkę dzisiaj u dostawcy A, a zupełnie niezwiązanego z dostawcą B, i wiadomość do dostawcy B, to ten dostawca B będzie mieć informację o reputacji adresu A. Dlatego, że operatorom pocztowym, różnym, nawet konkurującym ze sobą, zależy na tym, żeby pewne informacje o atakach wymieniać. No więc stosuje się różne techniki "wygrzewania" takich skrzynek. Bo jak się przygotowujesz do ataku, no to ja nie pamiętam, kiedy ostatnio robiliśmy spoofing mailowy, jakieś parę miesięcy temu, ale tylko dlatego, że klient w ogóle nie miał żadnych zabezpieczeń na swoich firmowych systemach pocztowych, miał ku temu jakieś powody, ale to możemy zostawić. To jest to jest incydentalna sytuacja. Natomiast to, co najczęściej wykorzystujemy teraz, imitując też działania prawdziwych atakujących, to jest stworzenie domeny zbliżonej lub wiarygodnie brzmiącej jako powiązanej z kontrahentem danej ofiary lub z samą ofiarą. No i to jest nowa domena, nie w sensie, my ją wymyślamy. Zanim zaatakujemy, no to jak takie zlecenie ma trwać miesiąc i my tą domenę dzisiaj kupujemy, to ta domena jest bardzo, bardzo świeża. Ona nie nadaje do ataku, ją właśnie trzeba w pewien sposób wygrzać, przygotować, tak żeby ominąć filtry antyspamowe. Ja oczywiście tutaj mówię o naszych klientach, którzy z reguły posiadają infrastrukturę Microsoftu dla firm w chmurze albo Google'ową. Są genialne i to ładnie widać, jak czasem jeden jest szczelniej, a czasem drugi jest szczelniej. I my dużo czasu poświęcamy na to, jak to omijać, tak żeby faktycznie ten mail w ogóle wpadł w inbox, a nie został odrzucony. Ale to są te same reguły, są możliwe do zastosowania i są stosowane w takich jakby serwerach pocztowych, które są zarządzane przez firmę. Chociaż zauważamy, że coraz mniej firm decyduje się na podjęcie tego ryzyka, żeby samodzielnie utrzymywać swoje serwery pocztowe i być może jest to dobra decyzja, chociaż zawsze powinna być poprzedzona jakąś analizą ryzyka. No ale trudniej moim zdaniem jest dzisiaj przemycić dobrego maila złośliwego, fałszywego, niecnego, niż właśnie ten atak zrobić na warstwie telefonicznej.

Ja z kolei mam wrażenie, że w świecie korporacyjnym więcej lata tych maili niż SMS-ów, no bo to jest to jest tańsze i to jest główna metoda komunikacji. I widzę, że ta sama metoda na pałę, którą stosują przestępcy wysyłając SMS-y, również działa. Czyli wyślijmy maila, podając się za kogoś tam, ale zupełnie z jakiegoś adresu totalnie niezwiązanego z domeną tej firmy. Tylko napiszmy, że jesteśmy ten Jan Kowalski, prezes, i że ten prezes tutaj chce natychmiast, żebyś się zalogował, albo żebyś natychmiast otworzył tą wiadomość, o której mówiłeś, o tym wypowiedzeniu zwolnieniu dyscyplinarnym. I też można w ten sposób obejść tą czujność użytkownika. Może zawsze będzie można, zwłaszcza jak taki mail zostanie wysłany w piątek o godzinie 16:30, kiedy firma pracuje do 17:00, wszyscy już mają spakowane, albo niektórzy są już w pociągu, gdzieś jadą na weekend i kończą swoje firmowe sprawy. Na małym ekranie, który klient pocztowy pokazuje ci pełen adres mailowy, najczęściej to jest właśnie to imię i nazwisko, tak? Albo zdefiniowana nazwa. Ten adres, nawet najgłupszy, najbardziej podrobiony, no może się nie pojawić.

Natomiast jeszcze wracając na chwilę do tego wątku mailowego, bo to, co całkiem sprytnie działa, no w naszej sytuacji niemożliwe do wykorzystania, ale bardzo często wykorzystywane dzisiaj przez grupy przestępcze, to jest przejęcie na przykład phishing, o którym mówiliśmy, struktury jednej firmy, zweryfikowanie w historii korespondencji, że ona dostarcza jakieś usługi do innej firmy i następnie komunikacja z powrotem, typu: "Ej, dwa lata temu sprzedaliśmy wam ubezpieczenie, ale czy wiecie, że zgodnie z nową ustawą możecie odzyskać 30% swojej kwoty ubezpieczenia? Jeśli tak, jeśli chcielibyście to zrobić, wypełnijcie tylko ten formularz." I to jest komunikacja w wątku tym historycznym sprzed dwóch lat. No bo to jest ten prawdziwy nadawca, który się wcześniej komunikował. I tutaj ten element zaufania. No to już jest czek, jest okej, tak? W sensie, no odzywa się do mnie mój ubezpieczyciel sprzed dwóch lat, ja pamiętam tą rozmowę, jest w tym samym wątku, on mi cytuje poprzednie wiadomości. Dlaczego miałbym nie otworzyć załącznika? Bo to już jest jakby wygrana komunikacja, korzystając z tej terminologii, którą przed chwilą ustaliliśmy. No i to już jest super fajny wjazd do firmy. Tylko to wymaga zaatakowania kogoś i później jakby skupienia się na tym, jak mówimy, łańcuchu dostaw. Tak? Czyli przejęliśmy pośrednika, dostawcę i w ten sposób wnikam do infrastruktury, omijając trochę pewne zagrożenia.

No ale wiesz, tak samo można zrobić z przekupieniem pracownika, który pracuje w danej firmie. Czyli mówimy to tu o tym insider, gdzie no, no każdy jest na to narażony, jeśli ma więcej niż jednoosobową działalność, w której zatrudnia samego siebie. To już mówimy o takim temacie tego corporate espionage, co zresztą jest dość popularne od dawna. Nie wiem na jaką skalę się to dzieje w naszym kraju. Aż boję się zapytać. No tak zwanym, są grupy przestępcze, które mówią tak: "Nie lubisz swojego szefa Janusza? Zarabiasz za mało? Chciałbyś zarobić plus na przykład 600 dolarów? Pobierz ten plik na swój komputer firmowy i go uruchom." No i to jest rozpoczęcie ataku na infrastrukturze firmowej już wewnątrz. Zakładając, że ten plik jest dobrze przygotowany, antywirus nie wykryje w pierwszych minutach działania. Może się coś tam zru, może się i pracownik zarobił 600 dolarów, a zawsze będzie mógł przecież powiedzieć: "No nie wiem, no ściągnąłem tak, tak, bo to nie jest tak, że wiesz, że on wchodzi na stronę Zaatakuj Swojego Szefa Janusz.pl i tak jest to jakby oczywiste, że ktoś go nakłonił do tego." To bardzo często są pliki podmienione na znanych serwisach, które ktoś gdzieś tam umieścił i pracownik może powiedzieć: "No myślałem, że to od kontrahenta przyszło mailem, faktycznie wydawało mi się, że to jest faktura, tak? Kliknąłem." Ba, ja powiem coś mega niepopularne. Latami stoję na tym stanowisku. Jeśli dzisiaj w roku 2023, czy czwartym, czy piątym, też ktoś z pracowników klika załącznik, infekuje swoją stację roboczą, swoje urządzenie, to to nie jest wina tego pracownika, to jest wina działu IT. Bo my od lat mamy metody, które uniemożliwiają taki atak, albo jeśli dopuszczamy tego typu działanie od strony pracownika, bardzo szybko go wykrywają i ograniczają. A już na pewno, jeśli chodzi o ransomware, jesteśmy w stanie po takim ataku się podnieść albo nie dopuścić do jego propagacji. Jeśli tego jakaś firma nie ma, to znaczy, że przespała trochę to, co powinna była zrobić w temacie Cyber Security w ostatnich 10 latach. Tak, to nie jest nowość, o tym się dużo mówiło. Jeśli ktoś przyoszczędził na tym, no to może go to zaboleć, ale to nie jest wina pracownika. My zawsze powinniśmy zakładać, że mamy takiego pracownika, który będzie chciał zarobić te 600 dolarów w darknecie od kogoś. I komputer, czyli mówiąc wprost, wszystkich trzeba traktować jako podejrzanych wrogów i maksymalnie ich ograniczać, żeby sobie nie zrobili krzywdy. Oczywiście, sobie nie zrobili krzywdy, żeby nie zrobili krzywdy firmie.

Według mnie to jest bardzo ważna rzecz, którą tutaj powiedziałeś, bo rozmawiając ze znajomymi, którzy pracują w różnych korporacjach, czuję czasem, że nie do końca rozumieją, dlaczego nie mają dostępów do wszystkiego. Dlaczego mają zasadę ograniczenia dostępów, że dopiero kiedy oni faktycznie potrzebują, to muszą o te dostępy poprosić. No to są właśnie te zabezpieczenia, żeby mieć dostęp tylko do tych informacji, do których faktycznie potrzebujesz, bo w przypadku na przykład kradzieży danych do twojego konta przez jakąś przez jakieś third party, ograniczasz w ten sposób, w jaki zasięg ci hakerzy mają w twojej firmie. Włamywacze, włamywacze, hakerzy. Właśnie, bo to chyba jest trochę inna definicja, bo nie tak trochę żartobliwie to wtrącił, ale ale tak, jeśli chcemy zrobić tak, tak zwaną "gównoburzę" w komentarzach, no to musimy powiedzieć, że to nie są hakerzy. Niektórzy będą się opierali, że to są crackerzy. No to generalnie są nawet nie cyberprzestępcy, bo przedrostek "cyber" jest bez sensu, to są przestępcy. No są złodzieje, tak? To są to są atakujący, są po prostu złodzieje. Więc bo ludziom zazwyczaj się wydaje: "No to ktoś nam się włamał do firmy, ktoś nam zainfekował serwery, ktoś nam przejął konta pocztowe, ktoś nam zaszyfrował dane, czy ktoś na przykład ukradł mi pieniądze? Jakiś haker ukradł mi pieniądze?" Przestępca. Ja to cytuję, cytuję teraz kogoś. Natomiast okazuje się, że to nie są goście w ciemnych kapturach, siedzący, siedzący w ciemnych pomieszczeniach, gdzie mają całą ścianę monitorów i tam coś na linii komend wpisują szybko, jak na filmach z Jamesem Bondem. W "Siwinska" tam było chyba, był taki haker Boris w "Siwinska". Tam była taka baza, do której przesłał taki helikopter. O, niestety, życie to nie film. Życie to nie film. Więc okazuje się, że to są, to wcale nie trzeba być jakimś geniuszem komputerowym i geniuszem zła, żeby kogoś w internecie okraść. Tak? Można być młodym profesjonalistą z MacBookiem w modnej kawiarni i okradać ludzi, którzy kaszkiecie na przykład. Tak? No dzisiaj Uber, kto się włamał do Ubera? Pamiętasz te historie? O którym włamaniu do Ubera mówimy? Bo o tym najgłośniejszym chyba sprzed sześciu miesięcy, jakoś było. No ja dla mnie najciekawsze włamanie do Ubera to było to włamanie, gdzie gdzie ktoś się włamał, a później szef zespołu bezpieczeństwa przekonywał, że że się nie włamał, że się nie włamał, a potem była sprawa sądowa, która powiedziała, że jednak się włamał i niezbyt dobrze się to skończyło. Takie jakby sprawy swoją drogą, do tuszowania jest jest bardzo powszechne i też daje takie taki mylny obraz tego, jak to wygląda.

Ale ja chciałem powiedzieć o jednej rzeczy, że w nawiązaniu do tego, co powiedziałeś, bo bo to jest bardzo celna uwaga. My dzisiaj mamy coś, co się nazywa "Crime as a Service". Ja mogę być po prostu zły z natury, ale absolutnie nie techniczny. Ale jak wiem, gdzie wejść w internety, to mogę sobie zatrudnić tego Borisa do tego, żeby mi tam kogoś wykonał. Tak? Jeden, później jakiegoś tam Matiego, który mi zrobi eskalację albo infiltrację danych, a potem jeszcze Łysego, który jest genialny w praniu pieniędzy. Więc ja moją moją korporację zła mogę poskładać z puzzli. I to jest przerażające, że że dzisiaj takie puzzelki są na tych forach. Szczęśliwie, czasem tym puzzelki jest jakiś podwójny agent, który jest podstawiony przez siły dobra i okazuje się, że że ktoś wpada. No właśnie, jaka jest skuteczność polskich organów ścigania w egzekwowaniu takich? Powinienem zacytować tego miłego pana z wodociągów kieleckich, ale no prawda jest taka, że chcielibyśmy, żeby była większa. Tak dyplomatycznie można to powiedzieć. No jest to związane oczywiście z funduszami. Jest to związane z tym, że zawsze przestępcy, i to niezależnie od tego, o jakim kraju mówimy, będą ten krok przed. I to jest taka tak taki wyścig, jak się w myszkę i kotka. Tak? Czasem myszka ucieka bardziej, czasem kotek ją łapie, ale potem myszka może dalej uciekać. I niestety, to będzie trwało. Jak się pojawia jakakolwiek metoda zabezpieczenia wymyślona przez człowieka, albo teraz AI, to prawdopodobnie ta metoda za chwilę zostanie w jakiś sposób, mniej lub bardziej dopracowana, którą można dzisiaj kupić i mieć rozwiązany problem Security na 5 czy 6 lat. Tylko to jest proces, a proces oznacza, że my musimy ciągle monitorować, analizować, obsługiwać, ulepszać, wdrażać i znowu monitorować i tak dalej i tak dalej i tak dalej. To się nigdy nie kończy. Dlatego ludzie z branży Cyber Security, no nie śpią, tylko trzymają Cyber Credence cały czas i próbują tutaj reagować na nowe ataki. Od momentu, kiedy my zaczęliśmy tą rozmowę, prawdopodobnie podatności na forach wyszły, albo inne rozwiązania. Ktoś już je być może wykorzystuje, ktoś inny już myśli, jak im zapobiec. I to jest ciągła walka tych dobrych z tymi złymi. A czasem ci źli przechodzą na stronę dobrych, chociaż rzadziej niż ci dobrzy przechodzą na stronę złych.

W takim razie, jeżeli ktoś ukradnie mi dostęp do mojego konta, wyczyści mi konto bankowe, włamie mi się na skrzynkę pocztową, albo po prostu okradnie mnie na BLIK-a, w tej kolejności, tej kolej, no odwrotnej, w jakiejkolwiek, to jest sens w takim razie zgłaszać to na policję?

Ja uważam, że tak. Z dwóch powodów. Pierwszy powód to może być powód bardzo potrzebny dla różnych organizacji, żeby rozpoczęły odpowiedni proces obsługi incydentu. Na przykład dla banku, żeby uznał reklamację, bądź dla twoich prawników, że sprawę ścieżkami sprawiedliwości, polskiego wymiaru sprawiedliwości pociągnę dalej. Ale drugi, z mojej perspektywy bardzo jakby potrzebny, to jest to, żeby nasze służby, nasze organy ścigania wiedziały, ile tego jest i jakimi metodami. Czyli żeby miały takie insight w to, jak działają przestępcy. A nie żeby była sytuacja typu: "No kradli mnie, ale mało, to mi się nie chce siedzieć na komisariacie obok kogoś, to być może jest całkowicie pijany i został tam zawinięty zupełnie innego powodu." No takie takie historie do nas docierają. Oczywiście, że przesłuchanie, które będzie, czy spisanie tych zeznań przez policjantów, którzy nie są w jednostkach Cyber, może być dla niektórych śmieszne i zabawne, bo to nie są ludzie, którzy się nad tym znają. Ich rolą jest coś innego. Oni mają ci wręczyć odpowiedni kwit, przyjąć zawiadomienie, przekierować je dalej. Także ja trochę nie rozumiem tego pastwienia się nad tym, jak wygląda nasz system. Znaczy, trochę rozumiem, ale trochę też nie rozumiem. Sugerowałbym tutaj wykazanie się większą wyrozumiałością. Zgłaszanie takich incydentów jest kluczowe, żebyśmy my wszyscy jako branża mieli większą świadomość tego, co się dzieje, gdzie się dzieje, przez kogo się dzieje. I zawsze jest ta jakaś szansa, to światełko w tunelu, że prędzej czy później ci zbiry wpadną. A jak wpadną, to będzie łatwo dojść do tego, kto wcześniej pokazywał ten modus operandi sprawców i kto potencjalnie może być ofiarą. I czasem się tak zdarza, że policja po kilku latach swojego śledztwa, po złapaniu przestępców, oddaje ci na przykład część twojego koła z roweru, który został ukradziony. A przenosząc to na tak, przenosząc to na cyber Security, to mogą ci jakąś MP3 wykradziono oddać. Czy już mówiąc bardziej poważnie, często się tak zdarzało i w Polsce też, że gangi ransomware, jak były rozbijane, to klucze deszyfrujące było bez płacenia okupu pozyskać i sobie rozszyfrować te pliki, które być może wydawało nam się, że bezpowrotnie utraciliśmy. Jeśli jeszcze je mieliśmy, zachowaliśmy te dyski, nie sformatowałem wszystkiego, no to można było dojść do tych danych zupełnie za darmo. Więc to to czasem się opłaca i czasem popłaca. Tak? Więc ja bym zachęcał do tego, żeby jeśli byliśmy ofiarą jakiegoś incydentu, zgłaszać to, przede wszystkim, żeby też ustawodawca miał jasny sygnał, czego jest więcej, na zwrócić uwagę. Czyli jeżeli już wiadomo, o wiele lepiej się zabezpieczać, niż później płakać nad rozlanym mlekiem. Jeżeli już mleko się rozlało, to to zgłaszamy. To zgłaszamy na przykład do banku, zgłaszamy na policję. Te dwa miejsca obowiązkowo, jeżeli ktoś nas okradł. Tak? Tak.

No ja myślę, że jak zwrócimy się w przypadku kradzieży środków z banku do banku, no to na pewno zostaniemy pokrzywdzeni. W większości przypadków procedura jest taka, że zostaniemy poproszeni o to, żeby zgłosić to na policję. No chyba, że to jest jakiś tam, nie wiem, front na na karcie płatniczej, no to może się okazać, że nie potrzebujemy takiego zgłoszenia, pieniądze też odzyskamy. Wtedy zgłaszamy bezpośrednio na przykład do Visa czy do MasterCard, do do Visa i Master Card poprzez procedurę chargeback za pośrednictwem banku. Nie jest to najprostsze. Nie wiem dlaczego to ukryli, pewnie to jest jakiś spisek, ale ale to faktycznie działa. Jeśli ktoś nie wie, czym jest chargeback, no to warto sobie o tym poczytać, bo w wielu sytuacjach można uratować pieniądze. Amerykanie z tego korzystają często, oni w ogóle się nie boją. Z czeków też korzystają, bardzo się nie boją. W Polsce już chyba nikt nie obsługuje czeków. My mamy klientów, którzy jest chyba jeden bank jeszcze, tak mi się wydaje, że przyjmuje. Bo ja kiedyś dla żartów, z pewnej amerykańskiej korporacji, która pośredniczy w sprzedaży reklam na naszym serwisie, zażyczył sobie wypłaty w czeku, tylko po to, żeby przeprocesować pierwszy raz w życiu taki czek w Polsce. No i potem żałowałem, bo bo niewiele pieniędzy mi z tego zostało, dlatego, że prowizje są dramatyczne, tak i procedura jest dość skomplikowana. My nam się cały czas zdarza, że klienci ze Stanów przysyłają nam czeki, mimo że mamy już wyraźnie napisane, tak, takie papierowe napisałem. No już teraz nic, odsyłamy, bo u nas na miejscu już nie obsługują czeków. Ale to dobrze. A próbowałeś poprosić ich o kod BLIK? Nie, bo w Stanach to jest nieznane. Niestety, trzeba robić ekspansję.

Niestety, to pytanie musi tutaj paść. Myślałem, że że uda nam się to ominąć, bo od półtora roku ciągle o tym słyszę i ty pewnie też. I zresztą teraz jesteśmy na konferencji związanej z cyberbezpieczeństwem, Confidence w Krakowie. Tutaj również o tym słychać. Co drugi wykład chyba jest na ten temat. Może tutaj akurat co trzeci. Sztuczna inteligencja, AI, w jaki sposób to może nam zagrozić? W jaki sposób może to pomóc cyberprzestępcom w jeszcze skuteczniejszym wyłudzaniu naszych danych i i zabieraniu nam pieniędzy?

Mam odpowiedzieć jak profesor Dragan? "Nas zabije." Możesz odpowiedzieć, ale musiałbyś na deskorolce przyjechać. No to nie są plusy i minusy, ale jak każdy konsultant odpowiem: "To zależy." Ja postrzegam w AI, jeśli mówimy stricte o takiej domenie cyberbezpieczeństwa, pewną jednak taką pomoc. Czyli jeśli ktoś potrafi skorzystać na przykład z Czata GPT, bo to jest chyba najbardziej "człowieczy" AI wychodzący do ludzi, jaki jaki obecnie istnieje, no to jest w stanie na jakieś swoje drobne problemy dość dobre, z tego co patrzyłem, rady uzyskać od tego LLM. Dlatego, że był szkolony na bardzo dobrych stronach internetowych, które w Polsce piszą o cyberbezpieczeństwie. Więc tym językiem można pozyskać kilka rad i to zawsze jest okej. Bo no ludzi z cyu jest mało. Nawet ten przytaczany wcześniej przykład policji, do której się ktoś zwraca i trafia na komisariat do do osoby, która no nie ma takiego przeszkolenia. Tutaj mogą być jakieś rady. Tylko no, wszystko ma swoje minusy i pewnym minusem jest to, że jak zapytasz o to, jak zareagować na włamanie na skrzynkę pocztową, to otrzymasz 80% poprawnych rad. Problem jest tylko taki, że brakuje tych 20%, które są są, które są czasem kluczowe. I jeśli tych 20% rad nie wdrożysz, to może ci się wydawać, że właśnie zabezpieczyłeś, aleś po ataku swoją skrzynkę pocztową, a przestępca dalej czyta twoją korespondencję. Więc jak nas boli ząb, to idziemy do dentysty. Zazwyczaj, jak nas boli brzuch, to idziemy do brzucha, czy jakiegoś innego od brzucha, tak? Ortopeda. Jak nas boli coś związanego z Cyber Security, to warto poszukać w okolicy, na przykład w pracy. No wiele firm ma już jakąś osobę albo od IT, albo od Cyber Security. Nawet na szczęście jest nas coraz więcej, żeby ta osoba doradziła tak profesjonalnie. To są mili ludzie. Jak już wyjdą ze swojej piwnicy, to to można ich jakimś tam batonikiem na przykład zachęcić, żeby trochę po opowiadali o tym, tak, bezglutenowym, albo jakieś sojowe latte im dać, nie wiem, no różne rzeczy lubią, tak? Albo naklejkę z Pokemonem. W każdym razie te osoby mają wiedzę, którą bardzo często są w stanie się podzielić i zrobią to jakby z dobroci serca, po to, żeby prywatnie komuś pomóc. Także nie ma problemu, że ja pracuję u dużego ubezpieczyciela, jak mam prywatny problem, pójdę do działu IT Security tego ubezpieczyciela, to on mi, kolega z pracy, odpowie. Tak jak z ulicy pójdę, to pewnie mi nie odpowie, nawet mnie wyrzuci. Ale chodzi wś wś o to, żeby w naszym otoczeniu poszukać takiej osoby, takiego "go to", do którego można podejść, zapytać o te problemy, bo bo wtedy dostaniemy tą odpowiedź troszeczkę lepszą, bardziej rzetelną. A w Cyber Security, niestety, ten margines błędu, no powinien w ogóle nie występować. Czyli jak coś zabezpieczamy, to dobrze byłoby zabezpieczyć już w taki sposób całkowity, stuprocentowy.

Ja się trochę tego obawiam, że że ludzie, którzy będą z AI korzystali do zwiększenia swojego bezpieczeństwa, zrobią to trochę na pół gwizdka, dlatego, że modele Ryzyk zagrożenia, które są, tego jest tak dużo i i nie ma, wiesz, jednej dobrej rady. Bo ja bym bardzo chciał ci teraz powiedzieć: "Słuchaj, jest jedna rada, którą jak jak zrobisz, to masz rozwiązany problem cyb Security." Ale tak nie ma. Bo trzeba zobaczyć, co dla ciebie jest najważniejsze. A dla każdego z nas coś innego może być najważniejsze. Dane na smartfonie, dane na komputerze, dane klientów, algorytm, który stworzyliśmy, pieniądze, które mamy. Różni ludzie, różne potrzeby. No i teraz jeszcze jest ten drugi problem: kto mógłby ci to zabrać? U ciebie to mogą być klienci, partnerzy, kontrahenci. U kogoś innego to może być na przykład toksyczny partner albo partnerka z byłego związku. Więc różny jest ten model ryzyka. I dopiero mając te te te te odpowiedzi na te dwa pytania: co jest dla mnie najważniejsze, kto by mi chciał zaszkodzić, można zacząć w ogóle powiedzieć: "Aha, to w takim razie jesteś narażony na takie ataki i tak, tak, tak, albo tak możesz z tym walczyć. To kosztuje tyle, tyle, tyle i tyle. To jak sobie wdrożysz, to będziesz super bezpieczny." Ale będziesz przeklinał mnie pod nosem codziennie, dlatego, że będziesz musiał robić 15 dodatkowych kroków i jeszcze uginać się przed laserami, zanim się zalogujesz na swoją skrzynkę pocztową. I to też nie tak powinno wyglądać. Trzeba sobie zdać sprawę z tego, że bezpieczeństwo, cyberbezpieczeństwo, czy jakby gwarancja zwiększenia tego cyberbezpieczeństwa, często jest kosztem wygody. I to jest kompromis, na który nie każdy jest w stanie pójść. I może to jest okej, jeśli rozumie ryzyka, albo sobie odpowiednio zdywersyfikować te swoje najukochańsze pieniądze w różnych bankach, bo jak mu się noga potknie, to tylko na jednym koncie i tylko część tych milionów. Dostaniesz tutaj właśnie już podpowiedziałeś kwestii pieniędzy, choćby jak ktoś ma ich dużo, to lepiej nie trzymać w jednym banku, bo jaką mamy gwarancję bankach? Czy jak ktoś ich ma nawet nie dużo, to też lepiej nie w jednym banku. Znaczy, generalnie dobrze jest mieć kilka kont. Ja chociaż mam takich też kolegów, którzy mają konta absolutnie wszędzie, bo to jest takie zatknięcie flagi udanego dostawcy i dzięki temu na przykład przestępca nie założy tam konta na nich. No bo już konto jest, może ewentualnie prowadzi, przejąć, ale być może oni się o tym dowiedzą jakimś powiadomieniem z jednej z 50 aplikacji różnych banków, fintechów i tak dalej. Czy to jest zostawianie więcej danych w internecie? No tak, trzeba to zważyć. Teraz właśnie, co mi się bardziej opłaca. Natomiast już zupełnie poważnie, dwa, trzy konta w banku, to dzisiaj nie jest jakiś rocket science do założenia i warto to mieć, dlatego, że nawet jeśli zdarzy się taka sytuacja, która się w Polsce zdarzało często, czyli koparka przecina światłowód, jest jakiś atak chwilowy, ale jednak na obsługę płatności jednego z dostawców, no to może się okazać, że nasza ulubiona karta Visa nie działa, ale MasterCard działa. A w innym kraju, jak pójdziemy, to Visa nie przyjmują. Ale nie, czekaj, to tam MasterCard nie przyjmują, ale Visa działa. Tak, żeby było po równo. Może być zwykły maintenance w danym banku, a my akurat jesteśmy w Indiach albo w stanach i musimy. Dokładnie tak. Nie. Albo na przykład zalogujesz się lewą ręką, a włączyłeś sobie wcześniej analizę behawioralną na swojej aplikacji i aplikacja powie: "U, to nie ty" i ci zablokuje tą aplikację. Ty masz koszyk produktów na grilla i kolejkę 100 osób za tobą się zaczyna długi weekend. Pozdrawiamy tych, którzy za chwilę będą robili takie zakupy. I jest trochę słabo. Nie. No to się przełączasz na drugą mapkę i masz dostęp do funduszy. Można mieć też niesamowite, ale gotówkę w portfelu. To jest coś, o czym wiele osób dzisiaj tak w ogóle nie myśli. W sensie idzie, ja już od dawna nie mam gotówki. Jak jestem w restauracji, to zawsze muszę ją prosić, co? Żeby? No ja trochę mam, ale nie, nie, nie biję mnie. Mam mniej niż 100 zł i oddam po prostu, jak mnie ktoś poprosi. Znaczy, uważam, że że warto mieć, bo czasem mogą wiesz, paść nawet terminale i to nie ma znaczenia, czy masz kartę Visa, czy MasterCard, czy płacisz smartfonem z terminala, czy w Akademii po uci restauracji. Gorzej, jak oni będą musieli odebrać zapłatę, tak jak w fiction. To może jednak faktycznie coś będę nosił.

Wróciłbym jeszcze do tego AI, bo powiedzieliśmy, że być może po naszej stronie tych tych "good guys", dobrych, to pomoże. Natomiast po stronie "bad guys", tych złych, pamiętam, były takie słynne kampanie, gdzie phishing, wiadomo, też był tam. Will Smith od kogoś pożyczał pieniądze. Instagram pisał, pisał Ronaldo, Cristiano Ronaldo i to był to już potem było takie memiczne, to latało po necie. Był taki fragment wiadomości, którą wysłał tam Messi czy Ronaldo, o treści: "Cześć, to ja Ronaldo, drugiego konta, bo tamto mi się zablokowało. Czy możesz mi pożyczyć 200 euro na nowy but, bo mi się zepsuł?" To było też taką łamaną polszczyzną napisane. I często też czy wiadomości na Messengerze, czy jakimkolwiek innym komunikatorze, czy mailowo, przychodzą napisane po polsku, ale widać, że one nie są po polsku. Dzisiaj, korzystając z Czata GPT, czy z jakiegoś innego LLM, taki prę o to, że my mówimy dzisiaj o przestępcach, o złodziejach, powiedzmy, większość z nas słuchając tego, myśli: "Okej, to gdzieś wyobrażasz sobie, że to są ludzie z naszego kraju." Ale oni często nie są z naszego kraju. Oni mogą być zewsząd. I oni do tej pory dosyć łatwo było ich zdemaskować, bo jeżeli oni pisali do nas komunikat, to widzieliśmy, że coś jest nie tak. Albo często właśnie było tak, jak z tym butem, co się zepsuł Ronaldo. A dzisiaj oni już piszą poprawnie po polsku. Tak? A wciąż dalej pisze niepoprawnie, ale będzie profesjonalizm z tym AI.

Jeszcze jest tak, że no możemy go wykorzystywać do dobrych celów, tak, do pomocy. Ale to jest regulowane, w sensie korzystamy z oficjalnych narzędzi jako normalni ludzie. Za chwilę będzie jeszcze bardziej regulowane. Spod. Nie uważam, że w Europie, że my teraz jesteśmy na takim etapie, gdzie jest bardzo dużo samowolka. W sensie, wiesz, nie oficjalnie mówi na czym te modele były szkolone. Mnie na przykład, nie wiem, nie chcę, żeby to się nagrało i żeby mnie ktoś ciągnął za język w jakieś sprawie sądowej później. Nie przeszkadza mi to, że Open AI wyszkolił się z cyberbezpieczeństwa na moim serwisie, ale może mi powinno przeszkadzać. Może powinni mi trochę strząchnąć tego hajsu albo obniżyć abonament. Proszę. Więc zwłaszcza, że często odpowiedzi pewnie są w takim czacie GPT na przykład. Je do je, czasem się tak zdarza, może tam wpisać jakieś jednokamienne, ale i to, wiesz, to będzie regulowane. Czyli może może się okazać, że trudniej dostępna będzie ta wiedza dla normalnych osób, natomiast nie dla przestępców, jak zwróciłeś uwagę, bo można sobie w cudzysłowie swojego Czata GPT, tak, jakiś swój model lowy, kilka Open Source nowych jest postawić. Już dzisiaj są takie usługi, które, no smutne usługi, które podsyła zdjęcie jakiejś osoby, jakbyś ją chciał zobaczyć, n albo wskazujesz aktora, aktorkę i to samo, internet for porn. Tak? Więc to tutaj też to działa. To rozumiesz, wolałbym o tym nie mówić. Zapytaj C GPT, przetłumaczę. Internet jest do.

Rybołówstwa dokładnie. I są też modele, które atakujący może wykorzystać właśnie do tworzenia, chociażby tych "fish maili". My jeden z takich modeli lokalnie sobie zrobiliśmy, żeby nam trochę pomógł w niektórych kampaniach i to kurczę działa. Więc ja potrafię sobie wyobrazić, że ktoś to puści na szeroką skalę i nie będąc ograniczony kontraktem i etyką jakąkolwiek, będzie to wykorzystywać w atakach. Prawdopodobnie już dokładnie to robi.

Jeśli pomyślimy o klonowaniu obrazu czy wizerunku danej osoby, o klonowaniu głosu, no to w zasadzie mamy takie trochę narzędzie na zbrodnię doskonałą. A z drugiej strony, każdy z nas chciałby mieć swojego avatara, łatwego do sklonowania, żeby go wrzucać na te spotkania na Zoom i Teamsach i żeby się tym za bardzo nie przejmować, albo żeby choćby tworzyć filmy instruktażowe. Tak, dzisiaj można skorzystać z takich usług, gdzie nagrywasz 60 sekund siebie z wideo i audio, później możesz tłumaczyć jeszcze na różne języki, jeszcze na różne języki. Więc to wspaniała technologia, która przez regulatorów na naszym rynku prawdopodobnie będzie obarczona jakimś znaczkiem, logotypem, hologramem, bo każdy rozsądny serwis sprzedający to użytkownikom będzie musiał działać zgodnie z prawem. Ale przestępcy nie działają zgodnie z prawem i oni będą to samo wykorzystywali. Tą moc. Zobacz, można działać. Jak to można działać na emocjach? Chyba był już przypadek, albo to się dzieje już na dużą skalę, gdzie na przykład dziecko dzwoni do mamy i mówi, że zostało porwane. To nie tak działa. Jeszcze to nie tak działa. Mnie to zawsze już słyszałem tego case'a, że zadzwoniło dziecko, bo dziecko się nagrywało gdzieś tam na TikToku, był, był jego czy tam jej, tego dziecka głos w wielu nagraniach i to zostało później wykorzystane, żeby stworzyć jakiś taki komunikat.

Ale mamy nagranie z takiego scamu, bo właśnie to, co dzisiaj w 2024 roku w maju 20 którymś, żeby nie zdradzać, ale już powiedzieliśmy, że jesteśmy na confindence, to teraz do dnia dzisiejszego ja analizowałem naprawdę bardzo skrupulatnie wszystkie pięć czy sześć takich głośniejszych światowych przypadków na przestrzeni ostatnich dwóch lat, bo mniej więcej od takiego czasu to się gdzieś tam pojawia w różnych mediach osób, które mówią, że zostały oszukane. Rodziców, że córka zadzwoniła, że została porwana, zapłać pieniądze, albo zapłaciłem fakturę, bo to byłem z prezesem rozmawiałem, to to wyglądało jak prezes. Tylko w żadnym z tych przypadków nie ma żadnego dowodu. Ja rozmawiałem z dziennikarzami, którzy jako pierwsi te sytuacje opisywali, próbowałem dotrzeć do osób poszkodowanych, z niektórymi rozmawiałem, próbowałem zaglądać w materiały sądowe. Nigdzie nie ma żadnej próbki. No i oczywiście łatwo jest powiedzieć: "No przecież ja tego nie nagrywam tak periodycznie". No to nie mam takiego dowodu. Tylko właśnie dzisiaj jesteś ofiarą, która nawaliła milionów euro za fakturę i głupie jest trochę powiedzieć: "No nie, no to zupełnie brzmiał jak prezes, tylko ja myślałem, że to jest prezes, no dałem się podejść". Tak nie powiesz tego. Tak tylko powiesz: "To było AI, oni mnie tak zmanipulowali. Ja nie jestem kretynem, ja nie jestem debilem. To naprawdę był prezes". Tylko że niewygodnie. Nie ma żadnego dowodu, a wszyscy powiedzą: "Tak, ale ja poznałem przypadek rodziców, do których zadzwonił, powiedzmy, obcy numer". Bo ja zakładam, że to działało na takiej zasadzie, że zostało to nagrane, ta wiadomość była gotowa. Jako tak, tak technicznie, jak najbardziej technicznie to można zrobić. W praktyce też to można zrobić, tylko przestępcy dzisiaj tego nie robią, bo nie muszą, bo prościej mogą to robić na wiele innych sposobów.

A propos tych scamów na bliską osobę, w Polsce też funkcjonuje taki scam, gdzie dzwoni do jakiejś osoby, ktoś mówi zapłakanym głosem: "Był, był wypadek, pomóż mi, babciu". Tak, i szlochająca osoba brzmi jak szlochająca osoba. "Babciu, słyszymy". No to podstawiamy od razu. Dokładnie. A za chwilę, wiesz, włącza się Pan Policjant, który mówi: "No przepraszam, ale Szymon nie może rozmawiać, dlatego że jest, no, jest w takim stanie, ale doszło i tak dalej". I wyobraź sobie, że z pierwszej ręki znam przypadek, gdzie osoba, która zgłaszała taki telefon, mówiła: "Dzwoniła, dzwoniła moja wnuczka, to był jej głos, zapierał się na wszystko". Ja jestem w stanie to uwierzyć, że jej się tak wydawało i że ona miała. Natomiast później złapali szajkę osób, która w ten sposób oszukuje Polaków. No i czy oni korzystali z AI? Nie. No po prostu byli dobrymi aktorami, nie? Ale po prostu to jest kwestia tego, że my często w tym ataku nie myślimy logicznie. Mamy takie, nie wiem, widzenie tunelowe. To jest w przypadku wypadków samochodowych czasem tak, że nie widzimy innych rzeczy i ludzie z boku mówią: "No, jak on nie mógł tego widzieć?". Ale czasem tak jest, że czegoś nie zauważamy. Lubię stosować taką analogię do iluzji optycznych, kiedy też wiele osób da sobie obciąć rękę nawet coś ważniejszego, że widziało tam to, a nie tamto, a w rzeczywistości, no przecież to nie było to coś, bo to jest iluzja optyczna, bo nasze oko, nasz mózg działa w pewien specyficzny sposób. I w atakach przestępcy są genialni w wykorzystywaniu tego specyficznego elementu, który później. I znowu, ja, ja 100% jestem pewny, że te osoby są przekonane, że rzeczywiście to był głos tej córki, tego wnuczka, tylko że nie. No pewne rzeczy są do siebie podobne. Może to był jakiś brzuchomówca? Nie, nie brzuchomówca, taki naśladować głosów. Popatrz na przypadek naszego prezydenta. On dwa razy się chyba dał nabrać, że rozmawia ze znanymi politykami, a nie rozmawiał. Chyba raz to w ogóle jakieś rosyjskie radio do niego zadzwoniło, tak? Pomimo tego, że dużo się uczy, ciągle się uczy, ciągle się uczy w samochodzie, w samolocie.

Podsumowując, co osoba, która właśnie posłucha tego podcastu, powinna zrobić? Trzy podstawowe, może pięć, jak się rozwiniesz, kroki, żeby zwiększyć swoje bezpieczeństwo sieci. Dać lajka i subskrypcję, a zaraz potem podejść do tego w taki sposób, no tak zwanych "quick winów", tak? Czyli spróbujmy zrobić jedną rzecz, która nam jak najwięcej rzeczy pokryje. Zasada Pareto chyba mówi o tym, że wkładasz 20% wysiłku, żeby zrobić. Więc w cyberbezpieczeństwo można zainwestować w te klucze i to szczerze polecam. Jeśli ktoś chce ochronić swoje konto przed atakami phishingowymi, których jest bardzo dużo, które są łatwe do przeprowadzenia, na które naprawdę prędzej czy później się narazimy w mniejszym lub większym stopniu i może się okazać, że akurat będziemy w tym 1% naszego czasu w ciągu doby, gdzie jesteśmy na to podatni. Po co ryzykować? To jest. Tutaj dodam jeszcze może, żeby wyjaśnić, chodzi nam o klucze sprzętowe U2F, 2FA, o których mówił wcześniej Piotrek. I też dodam, bo są, wiem, które są osoby, które mówią: "Ja nie będę nosił żadnego klucza i go wkładał gdzieś tam do portu". Niekoniecznie. Nie zawsze je trzeba wkładać. One działają również z urządzeniami mobilnymi. Można je zbliżeniowo ze smartfonami, z komputerami. Wystarczy jeden klucz do każdego serwisu. Można dodać ten sam klucz. Pojawiają się już banki, gdzie można ten klucz użyć. Tak, tak. I tych banków jest coraz więcej. Ba, warto jest mieć dwa klucze, bo jak się zgubi jeden, to może być mały problem. Więc można dwa klucze. Ale jak nas ktoś słucha z Krakowa albo z Poznania, to jeden wystarczy. Nie, no, to, to niech znajdzie bliską osobę, której ufa i po jednym i na krzyż, krzyżujemy strumień. Dodamy może tylko, że ta sama konfiguracja też jest prosta, bo to się wchodzi w ustawienia konkretnego serwisu, czy to mamy Facebook, czy mamy nasz bank i tam definiujemy w ustawieniach, że chcemy, że mamy klucz. Wtedy konfigurujemy. Działa to na takiej zasadzie, że ten klucz nigdy nie da nam się oszukać, bo wpisujemy login, hasło, ale jeżeli jesteśmy na podrobionej stronie, mamy użyć tego klucza, to ten klucz będzie wiedział, że ta strona jest podrobiona. Tak. Jeśli dla kogoś to jest enigmatyczne, to na niebezpiecznik.pl jest taki filmik siedmiominutowy. Dzisiaj filmy minutowe, który mówi na czym polega praca tych kluczy, te, że jak, jak je konfigurować i dość przystępnym językiem. Ja mam tam czapkę z folii aluminiowej na głowie, dlatego idźcie zobaczyć i to powinno się wykrystalizować w głowie. Więc ten, ten klucz to jest naprawdę wydatek tych kilku złotych, który, który moim zdaniem popłaca. Bo absolutnie każdy incydent na skrzynkę pocztową, wyciek danych w obsłudze, w stresie, jest zdecydowanie bardziej kosztowny i generuje większą stratę niż te 160 czy 200 złotych. I kupcie ten klucz, gdziekolwiek znajdziecie najtańszy, może niekoniecznie na jakimś takim dziwnym serwisie z Chin, ale u jakiegoś takiego zaufanego producenta. I to byłaby pierwsza rzecz, bo to nam rozwiąże problem phishingu. Czyli nikt po prostu nam nie podsunie podrobionej strony, nie zalogujemy się, nie sprzedamy swoich danych.

No, ale jest taki problem, że nie, nie wszyscy te klucze obsługują. Nie wszyscy jeszcze obsługują. W tam, gdzie tych kluczy albo pasków, ci, którzy wiedzą, to wiedzą. Reszta niech to zignoruje. Kto tego nie obsługuje, no to, to, to tam warto zastosować podejście: "Mam inne hasło niż w innym serwisie". Bo my dzisiaj o tym nie mówiliśmy, ale zmorą każdego internauty jest to, że traci prywatność, kiedy korzysta z internetu. Ale traci nie tylko prywatność, ale też jego dane wyciekają nie na skutek tego, co my robimy jako użytkownicy, tylko na skutek często pewnych usług, serwisów. I po prostu należy założyć, że prędzej czy później nasze dane wyciekną, nasze hasła wyciekną z jakiegoś miejsca, a potem z innego, a potem z innego. Jak ja jestem zainteresowany Szymonem, no to po jego adresie e-mail przeszukam sobie wszystkie wycieki baz danych i zobaczę: "Aha, tu mu wyciekł serwis, gdzie kupował karmę dla swojego kota, tu mu wyciekł serwis rowerowy, a tu mu wyciekł serwis jakiś tam inny". I tu zamawiał przesyłkę na swój adres domowy, tu na firmowy, tu podał numer telefonu. O, już mam numer telefonu. Tu miał takie hasło, tu miał takie hasło, a tu miał takie samo hasło, tylko z końcówką trochę inną, związaną z serwisem. No to domyślę się, że być może do Allegro albo jakiegoś tam Gmaila to hasło może być związane też z tym serwisem, z samą konstrukcją, albo dokładnie tak samo, jak większość ludzi robi. Więc drugą rzeczą byłaby zmiana haseł na różne do każdego z serwisów. Ale to jest rzecz nie do zrobienia przez normalnego człowieka, zapamiętanie 100 kilkudziesięciu haseł. Na szczęście mamy menedżery haseł. No i menedżer haseł to jest darmowe rozwiązanie. A jak ktoś lubi płacić, to może zapłacić. Ale dla tych z Poznania i z Krakowa są darmowe. KeePass XC jest jednym z takich, który zawsze polecam, bo on może działać tylko na naszych urządzeniach, nie ma żadnej chmury. A niektórzy uważają, że chmura jest niebezpieczna i trochę mają w tym racji, trochę nie, to zależy. Więc taki menedżer haseł warto sobie zainstalować. Bitwarden. Dokładnie. Jest coś jeszcze, byś polecił? Żeby nie było, że nie po... Nie poleciłbym generalnie takich menedżerów haseł, które wymagają tego elementu chmurowego, no bo jednak warto kontrolować to, gdzie, kiedy i jak. I, no i KeePass pokazał, że jest dość dobry w zabezpieczeniu haseł, ale miał pewien incydent i udało się ten incydent atakującym przekuć na to, że mimo wszystko zyskali dostęp do części informacji, które były w menedżerze haseł, akurat tym u kilku osób bardzo wyselekcjonowany. LastPass. LastPass, to trzeba, trzeba zrobić głos jajowy mój i to potwierdzić postprodukcji albo tą Iwona. Więc menedżer haseł. I teraz tak, jak ktokolwiek tego jeszcze nie ma i zacznie to robić, to i tak nas będzie nienawidził, bo otworzy sobie menedżera haseł i mówi: "Kurde, mam 160 serwisów i muszę w każdym wyklikać nowe hasło, wprowadzić je, jeszcze podmienić". Tego się nie da zrobić. Znaczy, nikt normalny tego nie zrobi w jednej sesji. Więc dla tych, którzy dopiero zaczynają, dobra rada: zacznijcie od tego serwisu, do którego się dzisiaj loguje, jutro sobie dorzućcie ten, który się jutro loguje i tak przyrostowo można sobie to metodą małych kroczków, dokładnie, zwiększać. I to jest druga rada, która nam ogarnie temat jakby takiego bezpieczeństwa kont.

Moim zdaniem najważniejszy. Z trzecią radą mam problem, bo dałbym 33 trzecie rady, dlatego że jest dużo innych rzeczy, na które warto zwrócić uwagę. Myślę, że jeśli mogę zatrzymać, jeszcze zanim przejdę do trzeciej rady, bo tu zawsze się pojawia pytanie i ja, jak mówię o menedżerach haseł, zawsze dostaję to samo pytanie. Bo jedno to jest, jak ja to właśnie tam te 160 haseł wpiszę, to tutaj mamy tą metodę małych kroczków. Można sobie założyć, że w ogóle rok będziemy to robić. To i tak będziemy z każdym dniem dalej, ale będziemy smutni. Jak będziecie to przez rok robić, maksymalnie tydzień. Ale lepiej robić to przez rok niż przez następny rok nie zrobić nic. Ale tutaj podstawowe pytanie się pojawia: "No dobra, ale to, a ktoś mi się włamie do tego menedżera i mi ukradnie te wszystkie loginy i hasła?". Doskonałe pytanie. No i teraz tak, menedżer haseł nie chroni nas przed tym, że ktoś nam się włamie na nasze urządzenie, gdzie mamy menedżera haseł. Jak do tego dojdzie, to jesteśmy w dupie. Mam nadzieję, że mogę przeklinać. Naprawdę. To to jest game over, to jest koniec. Jak nas ktoś, jak nam ktoś przejmie urządzenie końcowe, naszego smartfona, nasz komputer, to jest pozamiatane. Nic nas nie uchroni. To jest, to jest generalnie przegraliśmy. Nie ma odwrotu. Możemy się nie zrestartować już z nowym życiem. Więc nie, to ryzyko adresuje menedżer haseł. Menedżer haseł adresuje inne ryzyko, równie bolesne jak to włamanie na nasze urządzenie i takie ryzyko, które zdarza się codziennie, bo i takie ryzyko, którego my nie kontrolujemy. Bo włamanie na nasz komputer w dużej mierze zależy od nas i tego, co, co my zrobimy albo co źle zrobimy. Natomiast menedżer haseł rozwiązuje problem, że nawet jak dostawca usługi da ciała i nasze dane wyciekną, to po części jesteśmy chronieni, bo inne nasze hasła menedżer haseł o to zadbał, żeby były różne. Więc nigdy nie powinniśmy myśleć o tym w ten sposób, że "ja nie korzystam z menedżera haseł, bo ktoś może mi się włamać na urządzenie i je wykraść". No, zwróć uwagę, że jakbyś nie miał menedżera haseł, a ktoś by ci się włamał na to urządzenie, to jakbyś ty te swoje hasła z głowy przepisywał, no to koder na przejętym urządzeniu i tak te wszystkie twoje hasła prędzej czy później zbierze. Jak mam w dziale takie same hasła, tak? To dokładnie. Więc menedżer haseł adresuje zupełnie inne ryzyko. I tak, jak się ktoś włamie na nasze urządzenie, to może nam zaatakować menedżera haseł, ale jak on się włamie na nasze urządzenie, mamy zdecydowanie większy problem. Zdecydowanie większą liczbę złych rzeczy może zrobić nam atakujący na naszym sprzęcie. To to generalnie jest najgorsza rzecz, jaka może się nam zdarzyć. Także mimo wszystko warto z tego menedżera haseł mieć. Menedżer haseł też możemy zabezpieczyć uwierzytelnianiem wielokrotnym. Czyli w innym menedżerze plus. Możemy też użyć klucza U2F. Faktycznie, nie da się. Ta baza menedżera haseł jest, jest, jest szyfrowana. Więc jeśli mieliśmy chwilowy epizod malwowy na naszym urządzeniu i nie odblokowaliśmy w tym czasie dostępu do menedżera haseł, to jest spora szansa, że, że mimo wszystko, nawet jak nam gwizdnęli się do naszych haseł, no chyba, że mieliśmy to hasło "abc123". Także to jedno hasło do menedżera haseł, to weźcie jakieś takie większe i sensowniej dłuższe, przede wszystkim. Dokładnie, bo łamanie haseł największe znaczenie ma długość hasła. Im dłuższa, tym więcej. Tak, od paru do kilku milionów lat, nawet może być. Dwa hasła 14 w górę. To zależy oczywiście od algorytmu. No właśnie, to zależy. Więc fajnie jest mieć tego informatyka z boku, którego się ktoś poradzi. No bo czerpanie wiedzy, nawet tak wartościowego i technicznego, głęboko podcastu jak ten, może nie być wystarczające. Tak. Więc jak, jak to mamy załatwione, no to właśnie na trzecią radę można by było powiedzieć: "No to korzystaj z jakiegoś antywirusa, który cię tam ochroni przed złośliwym oprogramowaniem". No to fajnie by było, gdyby taki był. No, ale takiego nie ma. No, Defender, zakładam, że jak ktoś korzysta na Windowsie, to ma już domyślnie włączonego i dobrze, bo, bo on jest okej. Tylko, no każdego antywirusa da się ominąć, bo antywirusy działają z reguły na znane zagrożenie, a żeby zagrożenie było znane, no to musi być kilka ofiar, które krzyczały i mówiły: "A!", i dopiero wtedy się antywirusy nauczyły. Więc może tak, może ta trzecia rada to powinna być taka, że lepiej nie klikać w mail od razu, jak przyjdzie, tylko poczekaj jeden dzień. Jak tam jest fałszywy załącznik, tego następnego dnia już antywirus wykryje. A tego pierwszego to mógłby nie wykryć. Także opóźnia wszystko jeden dzień. No, ale to jest zła rada. Tak, jest mega niepraktyczna. Więc ja bym o tych antywirusach nic nie powiedział. Bardziej bym zwrócił uwagę na to, żeby być czujnym i gdzieś tam, nawet jeśli to nie jest nasza domena, to to cyberbezpieczeństwo śledzić. Może jakieś doniesienia analizować, to co się dzieje. Tych nowych ataków jest bardzo dużo, ale one się nie pojawiają często. Bo jak mówimy o ataku phishingowym i my raz o tym przeczytamy i poznamy mechanikę tych phish na przykład SMS-owych, no to kolejny wariant na impost, kolejny wariant na PGE, albo kolejny wariant na dezynfekcję przesyłki, no to już nas nie ruszy, bo to jest ta sama mechanika. My to rozpoznamy. Ważne jest, żeby na bieżąco śledzić, dowiadywać się o tych nowych zagrożeniach. I tutaj w Polsce mamy sporo miejsc, gdzie możemy o tym usłyszeć. Jest, jest Niebezpiecznik, są inne serwisy piszące o bezpieczeństwie, jest, są certy, są publikacje w mediach mainstreamowych, bo bardzo często, jak my jakieś alerty wystosujemy, no to pojawia się to w takim mainstreamie i chwała za to wszystkim dziennikarzom, którzy to nagłaśniają.

Dał takie, mhm, oczy i uszy szeroko otwarte. Ale nie tylko po to, żeby samodzielnie korzystać z tych porad, tylko też, żeby ostrzegać najbliższych. Bo ja na przykład mam takich znajomych, którzy mi mówią, co zrobić z samochodem, bo się pasjonują motoryzacją, a ja się nie pasjonuje. Jestem im bardzo wdzięczny i chciałbym, żeby każdy miał takiego człowieka, który się pasjonuje cyberbezpieczeństwem, który by tam czasem podpowiedział, podesłał, wrzucił na jakieś wewnętrzne listy mailingowe, na Slacka, na, na, nie wiem, gdzie pewne informacje o tym, co jest może nowym zagrożeniem, na co należy uważać. Bo te, te ataki się zmieniają. To, to jeszcze na zakończenie komunikat w takim razie do wszystkich ludzi z naszej branży, do informatyków, wszystkich, nie tylko tych, którzy zajmują się cyberbezpieczeństwem. Czujcie się odpowiedzialni za to, żeby to nasze społeczeństwo kształcić, bo chyba tylko w ten sposób jesteśmy w stanie tak naprawdę tą wiedzę przekazywać dalej. I, i czujcie się odpowiedzialnie nie tylko, żeby kształcić, ale żeby pomagać tym osobom. Tak. A ja, jak, jak ktoś poczuł się właśnie teraz takie odpowiedzialne za swoich najbliższych i chciałby takie porady najsensowniejsze uzyskać, czy takie materiały, które są strawne, no przecież u was na kanale były bardzo strawne filmiki i super dowcipne, co, co pomaga nieść ten komunikat. Możecie też wejść na niebezpiecznik.pl ukośnik start. Jaka piękna startowa nazwa. I tam jest wypisanych kilka takich prostych kroków, od czego sugerujemy zacząć w ogóle przygodę z zabezpieczaniem. I włączcie cyber alerty, która jest darmowa, nie pobiera żadnych danych, można ją nawet zablokowanym pobrać. A jedyne, co robi, to jest takim alertem RCD, czyli w momencie, kiedy widzimy, że faktycznie coś istotnego się dzieje, coś nowego, nie spamujemy, ale jak jest coś, jakiś nowy sposób ataku, na który Polacy nie są przygotowani, zagrażający ich danym albo ich oszczędnościom, to wtedy leci taki alert i on bzyczy na telefonie i mówi: "Uważaj na to, bo dzisiaj coś się dzieje". I cieszę się, że to faktycznie działa, bo zazwyczaj nam ludzie pokazują screeny z tego alertu na powiadomieniu, a później na przykład taki SMS, który do nich wpada za kilka minut i oni już wiedzą, że, że to po prostu był jakiś fejk. Także to jest świetna rzecz, żeby zainstalować swoim najbliższym, mniej techniczną osobom, bo one mogą się o tym dowiedzieć, zanim wy znajdziecie chwilę czasu i z pracy się wyrwiecie, żeby zadzwonić, powiedzieć: "Mamo, mamo, a dzisiaj to jest taki atak". No i wiadomo, że też nikt pewnie nie będzie przepadał z takimi osobami, które za każdym razem będą komunikowały jakieś zagrożenia. No, ale, ale tak jak powiedziałeś, wydaje mi się, że budowanie tej świadomości to jest jedyna rzecz, która, która nam pozostała. Bo zwróćmy uwagę, że oprogramowanie czy sprzęt są coraz bardziej bezpieczne, pokrywają coraz więcej ryzyk, coraz trudniej jest tutaj znaleźć jakieś furteczki. No, ale za tym bezpiecznym sprzętem, na tym bezpiecznym oprogramowaniu, zawsze pracuje jakiś człowiek. I ten człowiek ma głowę i w tą głowę można się niestety dostać właśnie takim SMS-em wysłanym z nawet nie numeru banku, który gdzieś spowoduje jakiś proces myślowy. I taki człowiek, i to jest super istotne, sam się okradnie. Bo to też sporo ofiar bankowości internetowej, to nie jest tak, że ktoś mi okradł konto w banku, ja sobie sam okradłem konto w banku, bo myślałem, że rozmawiam z prawdziwym pracownikiem banku. I o ile to jest zabawne, to to jest przerażające z punktu widzenia ścieżki reklamacji, bo bank mówi: "No, ale przecież transakcję pan wpuścił, zodzie, peszcie, co chcecie. Transakcja była zrobiona z pana urządzenia, tego, z którego zawsze się pan loguje, to co my mieliśmy zauważyć? Pan to potwierdził kodem z pana urządzenia, znowu, tak? Adres IP się zgadzał, wszystko się zgadzało, behawiorystyka się zgadzała, pan to zawsze robił prawą ręką, pan się jak zwykle pomylił w nazwisku i tak dalej". No i bank mówi, że nie miał absolutnie żadnych przesłanek, żeby taką transakcję zablokować, bo wszystko tutaj się świeciło na zielono. A to się udało tylko dlatego, że w słuchawce był tam jakiś niecny, zły człowiek, który dobrze się podszywał pod pracownika banku i sterował, że trzeba wypłacić pieniądze, wpłacić na rachunek techniczny. No i założę się, patrząc też na oglądalność twojego kanału, i to jest akurat smutne, że, że prawdopodobnie kilka do kilkunastu osób, które nas teraz słuchają, ma w swojej rodzinie teraz, tak jak rozmawiamy, dziadka, babcię, ciocię, a może brata, może siostrę, która zainwestowała swoje pieniądze w obliczu inflacji w jakiś scamerski produkt i oni tam wpłacają kasę, inwestują, widzą wykresy, które idą na zielono do góry i się cieszą. A dopiero zauważają pewien problem w momencie, kiedy będą chcieli te pieniądze wypłacić, bo, bo się nie da wypłacić, bo oni już są oszukani. Więc to, co te osoby mogą zrobić, to porozmawiać z najbliższymi: "Czy ostatnio w coś inwestowali? Jak wam idzie? Gdzie inwestowali? Pokażcie mi". I okaże się, że, no niestety, część osób się zainteresowało tymi kryptowalutami, o których ostatnio było głośno, no bo Bitcoin tam wystrzelił do do góry, tylko że zainwestowały nie tego Bitcoina, w którego powinny. I efekt jest taki, że oni cały czas dopłacają, bo im dobrze. Także zapytajcie swoich znajomych, gdzie zainwestowali i dowiedzcie się, czy przypadkiem to nie są oszuści. Sprawdźcie to razem z nimi. A jak to są oszuści, to jedyne, co możecie zrobić, to ich przekonać tych znajomych do tego, żeby więcej kasy nie dokładali. To, co dołożyli, to, co wpłacili, już jest nie do odzyskania, natomiast możecie ich uratować, żeby więcej pieniędzy nie stracili. Po absolutnie każdym wykładzie, który mam i na sali jest 200 osób, ja o tym mówię. Zawsze się zgłasza jedna, dwie osoby, czyli tak, powiedzmy, 1 na 100, który rodzinie mówi: "No tak, dobrze, że powiedziałeś, porozmawiał mój tata i jest zrobiony na kilka tysięcy na kilkaset złotych". Także porozmawiajcie o tym. Są te wszystkie Baltic Pipe, to są te wszystkie inwestycje w różnego rodzaju gry komputerowe, które się pojawiają w fejkowych reklamach z Morawieckim, Obajtkiem, Dudą, ale też aktorami, w sumie, może nawet w przyszłości z tobą, zachęcające do tego, żeby inwestować w coś bazujące na czymś wizerunku, którym w kręgach ma zaufanie. Pewnie lepiej nie inwestować. No, ale, ale, wiesz, były chyba, bo my mieliśmy ten sam w pewnym momencie problem, że pod was i pod nas na Facebooku się podszywał fałszywe profile, które tam popychały jakieś kryptoscamy. Tak, to nie było w formie reklam wizualnych, zachęty do inwestycji, tylko raczej: "Prześlij mi Bitcoina, to ci odeślę dwa". Ale to jest ten sam mechanizm i ludzie się łapali na to. I ludzie się łapali na to. Nie. Więc to jest przerażające, że jak się popyta po znajomych, to się nagle okaże, że, no, no tak, bo ja mam zaufanie do tego czy innego polityka, bo to z prawej, z lewej strony, albo do tego czy innego dziennikarza i oni popłacą. A te reklamy sobie wiszą dalej, można je zgłaszać i serwis robi. Niestety, tak to wygląda. Dziękujemy, Piotrze. Dziękujemy, Szymonie. Dziękuję państwu i naszym awatarom.