Sigurnosna kopija je kao kondom: svi znaju da bi ga trebali koristiti, ali većina shvati da je...

Nije više pitanje hoće li te provaliti, nego kad će i koliko ćeš skupo platiti što si mislio da su tvoji podaci sigurni jer si platio nekome tko ti je obećao da će ih čuvati. ADT je samo zadnji u nizu, jedna od onih kompanija koje prodaju iluziju zaštite dok im vlastita sigurnosna arhitektura izgleda kao da ju je dizajnirao pripravnik na praksi 2003. godine. I to nije iznimka, to je pravilo.

Pogledajmo što se zapravo dogodilo. Grupa koja se zove ShinyHunters — ime zvuči kao da su se okupili u podrumu i odlučili da će hakirati svijet dok slušaju loš EDM — prijeti da će objaviti ukradene podatke ako ADT ne plati. ADT je potvrdio proboj. I sad svi čekaju. Hoće li platiti? Neće li platiti? Koliko će podataka završiti na dark webu? Koliko će ljudi sutra saznati da su njihovi alarmni kodovi, adrese i povijesti kretanja postali javno dobro?

Ovo je klasična situacija u kojoj kompanije koje bi trebale biti najsigurnije na svijetu pokazuju da su zapravo najranjivije. ADT je doslovno posao zaštite domova. Ako oni ne mogu zaštititi vlastite servere, koji kurac onda uopće rade? Prodaju ti komad plastike s antenom i nadaju se da nećeš pitati previše pitanja. I to funkcionira, dok ne funkcionira.

Ako si ikad instalirao sigurnosni sustav, znaš kako to izgleda. Dođe tip u kombiju, izbuši rupe, montira senzore, kaže ti da si sad siguran. Ne kaže ti da su njegove servere možda već kompromitirali klinci s laptopom i previše vremena. Ne kaže ti da je tvoja kamera možda već dio botneta koji napada neku drugu kompaniju. Ne kaže ti da je cijela industrija kućne sigurnosti izgrađena na laži da je tehnologija dovoljna.

A nije. Nikad nije bila. Sigurnost nije proizvod koji kupiš, nego proces koji živiš. I to je ono što kompanije poput ADT-a ne žele da shvatiš — jer ako bi shvatio, prestao bi plaćati. Plaćaš za mir, ne za sigurnost. Mir je skuplji.

I tu dolazimo do dijela koji boli. Podaci koje su ukrali nisu samo brojevi kreditnih kartica i email adrese. To su adrese na kojima živiš. Vremenski obrasci kad si kod kuće. Povijesti alarmiranja. Imena djece koja su upisana u sustav. Sve ono što si mislio da je sigurno jer si platio nekome tko ti je rekao da će ga čuvati. Sad je to roba na polici. I netko će je kupiti.

ShinyHunters nisu jedini. Oni su samo najnoviji. Prije njih su bili Lapsus$, prije njih REvil, prije njih netko drugi. Isto sranje, drugo pakovanje. Uvijek ista priča: kompanija skupi milijune korisnika, uloži minimalno u sigurnost, dođe netko tko je uložio više u hakiranje nego što je kompanija uložila u obranu, i sve se sruši. I onda kompanija izda priopćenje. Žao nam je. Poduzimamo mjere. Surađujemo s vlastima. I ništa se ne mijenja.

Jer se ne može promijeniti. Cijela industrija je izgrađena na modelu koji ne funkcionira. Prodaješ proizvod koji košta, ali sigurnost koju pružaš je uvijek korak iza napadača. I to je u redu dok napadači ne dođu. Kad dođu, sve se svede na to koliko brzo možeš reći "žao nam je" i koliko malo možeš platiti da se riješiš problema.

ADT će vjerojatno platiti. Ili neće. Nije ni važno. Podaci su već vani. Jednom kad ih netko ukrade, više ih ne možeš vratiti. Možeš samo naduvati jastuke i nadati se da će šteta biti manja nego što bi mogla biti. To je realnost. I to je ono što kompanije ne žele da znaš.

Ako si mislio da je tvoj alarmni sustav siguran, razmisli ponovno. Sigurnost nije u kameri na vratima. Nije u senzoru na prozoru. Nije u aplikaciji na mobitelu. Sigurnost je u tome da shvatiš da ništa nije sigurno. I da se ponašaš u skladu s tim. Ne ostavljaš ključeve ispod otirača. Ne pišeš lozinke na post-itovima. Ne vjeruješ kompanijama koje ti prodaju sigurnost kao proizvod.

Jer sigurnost nije proizvod. Sigurnost je stav. I ako ti netko proda proizvod koji ti obećava sigurnost, vjerojatno ti prodaje maglu. A magla, kao što znamo, ne štiti od ničega. Pogotovo ne od hakera s previše vremena i premalo etike.

I tako smo opet tu. Ista priča. taj obrazac. taj apsurd. Kompanije koje bi trebale štititi tvoje podatke ih ne štite. Hakeri ih kradu. I svi se pravimo da je to iznenađenje. Nije. To je posljedica sustava u kojem je profit važniji od sigurnosti, u kojem je marketing važniji od inženjeringa, u kojem je "žao nam se" jeftinije od "spriječili smo".

I dok ADT razmišlja hoće li platiti otkupninu, negdje u podrumu netko pregledava tvoje podatke. Tvoje adrese. Tvoje obrasce. Tvoj život. I smije se. Jer je lako. Jer je uvijek lako. Jer kompanije ne uče. Jer potrošači ne uče. Jer svi mislimo da se to događa nekome drugom.

Dok se ne dogodi tebi.

Izvor: bleepingcomputer.com