Nizozemska policija uhitila je 23-godišnjaka koji je "reformiran" — u prijevodu, dečko je odslužio...

Nemojmo se pretvarati da je ovo priča o cyber kriminalu. Ovo je priča o tržištu rada.

ShinyHunters je ime koje zvuči kao da ga je smislio netko u marketingu za akcijsku figuru, a ne odmetnuta grupa koja je izvukla podatke iz FBI-ja i ucjenjivala rusku ransomware ekipu. Pročitaj to još jednom. Ukrali su podatke od FBI-ja. Ucjenjivali su Ruse. Ako postoji ljestvica "kome se ne zamjeraš", oni su na oba kraja odjednom, što je samo po sebi dostignuće koje zaslužuje priznanje, ako ne i plaketu. FBI, čija je cijela svrha da lovi takve, postao je njihova meta. Ruski ransomware, čija je cijela svrha da nikoga ne poštuje, postao je njihova mušterija. To nije kriminal. To je disruptivna inovacija u sektoru koji je već ionako pretrpan disruptivnim inovacijama.

I onda uhitili jednog 23-godišnjaka.

U Nizozemskoj. Zemlji koja je, ironično, jedan od rijetkih europskih kutaka gdje se IT struka plaća dovoljno da ne moraš krasti tuđe baze podataka da bi platio stan u Amsterdamu. Osim ako, naravno, nisi 23-godišnji "reformirani" haker, u kojem slučaju ti stan u Amsterdamu ionako ne treba jer ga vjerojatno ne možeš priuštiti ni s poslom, ni bez njega.

Ako je dečko "reformiran", zašto ga onda ShinyHunters toliko treba? Zašto je, u danima nakon njegova uhićenja, ostatak grupe DRAMATIČNO eskalirao — kao da im je netko izbio kralježnicu iz operacije i oni sada panično mašu rukama i nogama da dokažu da su još živi? Ako je bio samo "reformirani" suradnik s margine, njegovo uhićenje ne bi izazvalo ništa osim uzdaha olakšanja. Ovo je izazvalo bijesnu eskalaciju prema FBI-ju i Cl0p-u. To nije reakcija grupe koja je izgubila malog igrača. To je reakcija grupe kojoj su odrezali ruku.

Dakle, pitanje koje nitko u Nizozemskoj očito nije postavio prije nego što je dečko pušten na slobodu: što točno "reformirani" znači u praksi? Znači li to da je odložio laptop i otišao raditi u skladište? Znači li da je otvorio obrt? Ili znači da je pristao na nešto što nitko ne želi napisati u priopćenju za javnost — da je nastavio raditi, samo tiše, za nekoga drugoga, dok je pravni sustav kimao glavom i govorio "on je sada dobar čovjek"?

Reforme su lijepe na papiru. U stvarnosti, ljudi koji su jednom otkrili koliko je lako uzeti tuđe podatke i pretvoriti ih u novac ne postaju odjednom ljubitelji etičkog hakiranja i vikenda na Plitvicama. Postaju oprezniji. Postaju bolji u tome što rade. Uče iz grešaka koje su ih dovele do suda, a ne iz moralnih lekcija koje su im sudovi izrecitirali.

Ovo nije cinizam. Ovo je promatranje. Dečko je imao 23 godine kad su ga uhitili. To znači da je imao 19, možda 18, kad je počeo raditi stvari zbog kojih je prvi put osuđen. U tom razdoblju života, mozak još uvijek radi na principu "ako možeš, zašto ne bi" — i to je upravo ono što svaki cyber kriminalac iskorištava. Ne nedostatak morala, nego nedostatak straha. Strah dolazi kasnije, kad shvatiš da kazna nije apstraktni pojam iz udžbenika nego nešto što ti se stvarno dogodi.

A onda, kad se "reformiraš" i vratiš u društvo, otkriješ da tvoje vještine imaju tržišnu vrijednost koju nitko ne želi priznati. Ne možeš raditi u banci. Ne možeš raditi u osiguranju. Ne možeš raditi u državnoj upravi. Ne možeš raditi u bilo kojoj firmi koja radi bilo kakvu ozbiljniju provjeru zaposlenika. Ali možeš raditi kao "konzultant" za ljude koji ne pitaju previše. I tako, evo nas, opet u istom krugu.

Nizozemska je, inače, poznata po nečemu drugom — po tome što je jedna od rijetkih zemalja koja je shvatila da se cyber kriminal ne rješava samo zatvorom. Imaju programe, imaju inicijative, imaju ljude koji rade s bivšim hakerima i pokušavaju ih preusmjeriti u legalne vode. To je plemenito. To je i naivno, ali plemenito. Jer problem nije u tome da bivši haker ne želi raditi legalno. Problem je u tome da legalno tržište ne zna što bi s njim. Ne možeš ga staviti na čelo sigurnosnog odjela jer nitko ne vjeruje bivšem lopovu da čuva sef. Ne možeš ga staviti na dno jer je prekvalificiran. I tako ostaje u sredini, u sivom prostoru gdje se nudi "konzultantske usluge" ljudima koje je bolje ne imenovati.

ShinyHunters je, u međuvremenu, pokazao nešto što bi svaki sigurnosni stručnjak trebao uzeti kao udžbenički primjer: kad ukloniš jednog člana, grupa ne slabi — grupa eksplodira. To nije slabost. To je snaga. To znači da su duboko umreženi, da imaju strukturu koja preživljava gubitak pojedinca, i da su spremni na osvetu koja je, u ovom slučaju, bila usmjerena prema dvije strane koje bi trebale biti najzaštićenije na svijetu. FBI je dobio po nosu. Cl0p je dobio po novčaniku. A nizozemska policija je dobila naslovnicu u novinama i uhićenog 23-godišnjaka kojeg će, ako sve prođe po planu, za nekoliko godina opet puštati na slobodu, s malo više iskustva i malo manje iluzija.

Jer to je stvar koju nitko ne želi reći naglas: zatvori ne reformiraju ljude. Zatvori ih samo odgađaju. A ako je dečko bio dovoljno dobar da ga ShinyHunters toliko treba, onda je dovoljno dobar i da preživi zatvor, izađe, i nastavi tamo gdje je stao — samo opreznije.

Strašno je što je najveća vijest iz cijele ove priče zapravo to da je FBI-ju netko ukrao podatke, a nitko se ne pita kako je to uopće moguće. Agencija koja ima proračun veći od BDP-a pola svijeta, koja zapošljava najbolje forenzičare koje novac može kupiti, koja je lovila hakere dok su ovi još bili u pelenama — i onda joj neka grupa s imenom koje zvuči kao da je izašla iz animea ukrade podatke i ucjenjuje njome ruske kriminalce. To nije neuspjeh jedne agencije. To je neuspjeh cijelog sustava koji se hvali time da je najbolji, a onda izgubi od ekipe koja očito zna nešto što oni ne znaju.

A to što znaju je jednostavno: ljudi su najslabija karika. Uvijek bili, uvijek će biti. Možeš imati najbolji firewall, najbolju enkripciju, najbolji sustav provjere — ako netko unutra pogriješi, sve pada. A ljudi griješe. Stalno. Pogotovo kad su mladi, kad su talentirani, kad su "reformirani" i kad im netko ponudi priliku koju legalni svijet ne može.

Nizozemska je uhitila jednog. Ostali su još tamo. I eskaliraju.

To nije kraj priče. To je tek početak sezone.

Izvor: krebsonsecurity.com