Küberkuritegevus nõuab inimohvreid

Ilmselt on küberrünnakute tagajärjed siiski juba inimohvriteni viinud. Edukaid rünnakuid süsteemidele toimub pidevalt ja palju (RIA raporteeris järjekordse rekordaasta juhtumite poolest) ning Suurbritannia eelmise aasta WannaCry rünnak just inimohvreid suure tõenäosusega endaga kaasa tõi. Lunavara leviku tagajärjel suleti mitu Briti riikliku tervishoiusüsteemi NHS-i keskust ja BBC andmeil tühistati või lükati edasi vähemalt 6900 (kaudselt üle 19 000) protseduuri ja operatsiooni.

See tähendab, et kuigi operatsioonilaual keegi rünnaku tagajärjel ei hukkunud ning võimalikult paljud kriitilised protseduurid viidi siiski läbi, ei ole andmeid selle kohta, milliseid tagajärgi tõid kaasa needsamad tühistatud ja edasi lükatud operatsioonid, suletud keskustest ümbersuunatud kiirabiautod ja viibinud laborivastused. NHS teenindab 36 tunni jooksul miljonit inimest (sic!) ning neid kõiki jälgida oleks võimatu.

Kes oli süüdi?

Nagu ikka on küberturvalisuse kolmest komponendist – inimesed, protsessid, tehnoloogia – kõige nõrgem inimene. Haiglate turvaaugud olid ka vaatamata hoiatustele lappimata ning ründajatele lihtne saak.

Olen ise Suurbritannia tervisejärelevalveameti IKT-osakonnas töötanud aastail 2007-2011 ning mäletan hästi sealset protsesside aeglust tohutu suure bürokraatiamasina tõttu. Sealses tervishoiusüsteemis on poolteist miljonit töötajat, mis teeb NHSist töötajate arvu poolest maailma viie suurima hulka kuuluva asutuse. Hanked kestsid vahel terve aasta või kauem – selleks ajaks on ostetav tehnoloogia juba vananenud.

Kuna tervishoiusüsteemidele peab olema tagatud pidev ligipääs on nende uuendamine ja parandamine väga kulukas ja vaevarikas. Väikesed kurjategijate grupid on võimelised kiiresti tehnoloogiat välja arendama, koostööd tegema ja leapfrog-rünnakuid läbi viima, samas kui pooleteise miljoni töötajaga organisatsioon ei suuda sama kiiresti neile reageerida. Lisaks tervishoiuasutustele, kes RIA raporti kohaselt ka meil rünnakute ohvriks on langenud, hakkavad tõenäoliselt üha enam löögi alla sattuma ka isiklikud meditsiiniseadmed.

Võrdlemisi mugav on inimröövi asemel korraldada näiteks südamestimulaatori ülevõtmine, et lunaraha nõuda. Kuigi hetkel on see risk teoreetiline ja pigem telesarjadest nähtud, on ilmselge, et see muutub reaalsuseks tänu asjade interneti pealetungile, mis pakub piiramatuid võimalusi nii heade kui halbade kavatsustega kasutajale.

Juba praegu informeeritakse südamemonitori saajaid teoreetilise küberrünnaku riski eest, ning mida aeg edasi, seda tavapärasemaks selline nõustamine muutub. Lisaks seadme – minu näites südamemonitori – töö otsesele häirimisele võidakse hoopis modifitseerida infot, mis arstideni jõuab (mis omakorda tekitab olukorra, kus patsient saab valeravi), või näiteks saata seadmetesse viirus, mis seadet kahjustab.