Ni špijunske, ni priče o dvojnim identitetima, lažnim ili istinitim, nisu novost ni u Srbiji ni u svetu. Menja im se samo scenografija, odnosno epoha u kojoj se odigravaju. Bilo da je u pitanju komšija koji prijavljuje proslavu sveca, što rezultira Golim otokom, bilo da je reč o izraelskom špijunskom softveru s imenom bića iz grčke mitologije kojim je najmanje 14 osoba u Srbiji targetirano, a koji nabavljaju srpske službe. Tako su bar preneli studenti koji su saznali da su njihovi telefoni napadnuti. Sa ličnim podacima, teme se opet dotiču službi bezbednosti koje su delile pasoše s lažnim imenima kriminalcima koje bi slale na zadatke po Evropi. Manje-više, priče s kojima su, naročito politički aktivne ličnosti, bilo na Istoku ili na Zapadu, imale susreta, svako na svoj način. Ali šta da radite danas, u dvadesetim godinama 21. veka, kada saznate da su vaši podaci, od JMBG-a do broja pasoša, ukradeni i da se vaše ime, prezime, datum rođenja i prebivalište poklapaju sa osobom koja je počinila neko krivično delo, daleko od vašeg doma, pogleda i niti jednog mogućeg susreta uživo?
FSS tvrdi da nije bilo hakovanja
Nova, moderna verzija priče, čiji kraj još uvek nije poznat i čiji se nastavak(ci) s nestrpljenjem očekuje, počinje u prvoj polovini aprila kada na adresu Fudbalskog saveza Srbije stiže mejl sa nepoznate adrese. Hakeri tvrde da su upali u bazu sa ličnim podacima sportista i traže novac kako podatke ne bi objavili. Odgovora iz FSS-a nema. Ali nema ni odustajanja hakera – baza se može prodati i nekom drugom. Više od mesec dana kasnije, ona završava na forumu, na famoznom dark vebu. Istraživanje koje je obavio Bi-Bi-Si Srbija pokazuje da su imali uvid u bazu sa gotovo 47.000 unosa i više od 11.400 jedinstvenih identifikatora – među njima su jedinstveni matični brojevi, brojevi pasoša i viza, a deo podataka potvrđen je kao validan. Među ljudima čiji su podaci tamo pronađeni su srpski reprezentativci u fudbalu Aleksandar Mitrović, Dušan Tadić, Strahinja Pavlović, Filip Kostić, Dejan Joveljić, Dragan Stojković Piksi, ali i košarkaške kolege Bogdan Bogdanović, Nikola Milutinov, Vasilije Micić i drugi…
Anđela Savić iz Beogradskog centra za bezbednosnu politiku podseća na slučajeve kompromitovanja baza Fudbalskog saveza Srbije, Telekoma, odnosno m:SAT TV, APR-a, jedne ginekološke klinike i EPS-a. Dark veb se odnosi na sadržaj kojem se ne pristupa uobičajenim pretraživačima, već uz pomoć posebnog softvera, poput Tor pretraživača. Taj prostor koriste kriminalci za prodaju ukradenih podataka, droge, oružja i za druge nezakonite aktivnosti. Ipak, Savić upozorava da bi bilo pogrešno dark veb poistovetiti isključivo sa kriminalom. „Koriste ga i aktivisti i građani koji žive u autoritarnim režimima i suočavaju se sa cenzurom interneta“, kaže ona. Tor omogućava veći stepen privatnosti, pa ga koriste i novinari, uzbunjivači, organizacije i mediji koji žele da njihove informacije budu dostupne ljudima kojima je pristup internetu ograničen.
Hakeri tvrde da su upali u bazu sa ličnim podacima sportista i traže novac kako podatke ne bi objavili. Odgovora iz FSS-a nema. Ali nema ni odustajanja hakera – baza se može prodati i nekom drugom
Zajedničko mnogima od oštećenih jeste što su prethodnih godina boravili u hotelu Srbija Luks, u okviru Sportskog centra FSS-a u Staroj Pazovi. Tamo je, između ostalih, boravila i košarkaška reprezentacija Srbije pred Evropsko prvenstvo 2025, a sam hotel, međutim, nije namenjen samo sportistima, pa se postavlja pitanje da li su u bazi i podaci drugih gostiju, koji nisu poznati široj javnosti. Slučaj je prijavljen policiji i tužilaštvu, a krajem avgusta uhapšen je muškarac osumnjičen za neovlašćeni pristup mrežama FSS-a i RFZO-a i preuzimanje velike količine podataka. Istraga je u toku.
Istovremeno, ostaje nejasno: FSS tvrdi da njihov server nije napadnut i da su podaci „hakovani s drugog mesta“. Poverenik za zaštitu podataka o ličnosti, koji nije odgovorio na pitanja Radara, za Bi-Bi-Si kaže da je, prema nalazima kontrole, došao do indicija da je kompromitovanje moglo da se dogodi preko sistema, dok Ministarstvo turizma tvrdi da nema saznanja da je taj sistem bio kompromitovan. Problem je i što ljudi čiji su podaci ukradeni, prema Bi-Bi-Sijevom istraživanju, nisu bili obavešteni. Ni FSS ni hotel do 11. juna nisu obavestili poverenika o incidentu, iako postoji obaveza prijavljivanja povrede podataka. Neki sportisti su za krađu svojih podataka saznali tek od novinara. A posledice nisu samo to što je nečiji JMBG ili broj pasoša završio na internetu.
Nije pitanje da li krijemo nešto, ali svako od nas ima kontakt sa onlajn servisima, ima prepiske, ima sadržaje šta voli da čita i gleda. Na kraju krajeva, finansije, pare – sve je to u digitalnom svetu
Vladimir Radunović
Takvi podaci mogu se koristiti za krađu identiteta, „pecanje“ i druge prevare, a kada jednom dospeju na internet, veoma ih je teško potpuno ukloniti. Lični podaci kriminalcima omogućavaju da prevare budu mnogo ubedljivije i personalizovanije. Kupci takvih podataka nisu samo klasični sajber kriminalci i prevaranti, već i posrednici koji prikupljaju i preprodaju baze, organizatori kol-centara, akteri korporativne špijunaže, a u pojedinim slučajevima i državne ili sa državom povezane grupe. „Ukradeni ukršteni podaci mogu služiti za krađu identiteta, različite telefonske prevare, ’pecanje’ i personalizovane kampanje, za otvaranje naloga, ali i za fizičko ugrožavanje“, upozorava Savić, uz napomenu da digitalnu i fizičku bezbednost ne treba posmatrati odvojeno. Dodatni problem predstavlja razvoj alata zasnovanih na veštačkoj inteligenciji. Oni omogućavaju kriminalcima da mnogo brže analiziraju ogromne količine podataka, kreiraju ubedljivije i personalizovane fišing poruke i preciznije odaberu mete.
I „obični“ građani su meta
Vladimir Radunović, međunarodni stručnjak za sajber bezbednost, smatra da je u konkretnom slučaju najpre važno utvrditi da li je kompromitovana jedna baza ili su podaci prikupljeni iz više različitih izvora. „Ono što hakeri rade jeste da će probati na jednom mestu da uzmu ogroman broj podataka“, kaže Radunović, podsećajući na slučaj MTS-a i prodaju baze korisnika satelitske televizije, u kojoj se nalazilo više od 400.000 korisnika. Tolika količina podataka, prema njegovim rečima, može da ukazuje na to da bezbednosti baze nije posvećeno dovoljno pažnje. Problem, pritom, ne mora biti samo u tehnologiji. Mogući propusti odnose se i na operativne procedure, tehničku zaštitu i broj ljudi koji se njome bave. Nekada je uzrok mnogo jednostavniji – ljudska greška ili nemar. „Sistem je skrojen dobro, ali ljudi koji treba zaštitu da nameste ne znaju, ili ih baš briga, ili pogreše“, kaže i dodaje da kada je reč o podacima koji su se pojavili u aktuelnom slučaju ne isključuje mogućnost da njihova baza nije potekla iz Fudbalskog saveza Srbije, već iz hotela u kojem su sportisti boravili. To bi, između ostalog, moglo da objasni i pojavljivanje podataka drugih sportista, poput košarkaša. Hoteli, podseća, takođe raspolažu velikom količinom ličnih podataka i imaju obavezu da ih štite. Slični problemi već su viđeni i kod velikih međunarodnih servisa. „To smo videli na mnogo većim nivoima, kao sajt Booking kojem baze cure, a u tim su slučajevima uglavnom procurili pojedinačni podaci, dok je u aktuelnom slučaju obim informacija znatno veći. Zato se, smatra on, pitanje odgovornosti ne može automatski svesti na FSS. „Ko je tu sad kriv, FSS ili hotel koji takođe barata podacima o ličnosti i podleže istom zakonu kao FSS?“ Postoji i treća mogućnost – da podaci uopšte nisu ukradeni iz jedne baze. Kriminalci mogu da ih prikupljaju sa više mesta, a zatim međusobno povezuju. Upravo je to, kaže Radunović, deo njihovog biznis-modela: da ono što pronađu na jednom mestu dopune informacijama iz drugih izvora i tako dobiju što potpuniji profil pojedinca. Opasnost od takvih baza građani, međutim, često potcenjuju. Kao jednu od najčešćih zabluda navodi stav: „Što bi mene neko napao i šta neko može da radi s mojim podacima, nemam ništa da krijem.“ To, upozorava, nije dobar način razmišljanja. Jer gotovo čitav svakodnevni život danas ostavlja digitalni trag – od komunikacije i sadržaja koje pratimo do finansija i pristupa različitim servisima. „Nije pitanje da li krijemo nešto, ali svako od nas ima kontakt sa onlajn servisima, ima prepiske, ima sadržaje šta voli da čita i gleda. Na kraju krajeva, finansije, pare – sve je to u digitalnom svetu. Oni će misliti da vi zovete preko telefona. A ovo su najbanalnije stvari“, kaže on.
Ukradeni podaci mogu služiti za krađu identiteta, različite telefonske prevare, „pecanje“ i personalizovane kampanje, za otvaranje naloga, ali i za fizičko ugrožavanje
Anđela Savić
Što više podataka napadač poseduje, to ima više mogućnosti da pronađe slabu tačku u digitalnoj zaštiti pojedinca. Informacije o datumu rođenja, na primer, mogu biti korisne jer ih ljudi često koriste prilikom kreiranja lozinki. „To sve kriminalcima znači da probijaju naloge malo-pomalo, jer kidaju najslabiju kariku: šifra, mejl, Fejsbuk, banka i tako dalje“, objašnjava Radunović. A ukradeni podaci ne moraju nužno završiti samo u rukama kriminalaca. Detaljan profil pojedinca ima i komercijalnu vrednost, pa takve informacije mogu biti interesantne kompanijama koje se bave marketingom i profilisanjem potrošača. „Kada imaju vaš detaljan profil, to nikome nije drago“, zaključuje Radunović.
Kada je reč o zaštiti, odgovornost je, pre svega, na onima koji podatke čuvaju – državnim institucijama, kompanijama, zdravstvenim ustanovama, hotelima i drugim organizacijama. Savić smatra da učestala curenja velikih količina podataka ukazuju na čitav niz mogućih propusta: sistemi se ne održavaju i ne ažuriraju redovno, preveliki broj ljudi ima pristup osetljivim bazama, kontrole pristupa su slabe, a institucije neretko prikupljaju više podataka nego što im je zaista potrebno. Istovremeno, građani često nisu dovoljno jasno obavešteni o tome koje podatke ostavljaju, zbog čega se prikupljaju i kako će biti čuvani. Time im je, kaže Savić, praktično onemogućeno da procene rizik i utiču na način na koji se njihovim podacima upravlja nakon što ih jednom ostave u nekoj bazi. „Svako curenje ličnih podataka treba prijaviti povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti u roku od 72 sata“, navodi Savić, uz napomenu da o incidentu treba blagovremeno obavestiti i građane čiji su podaci ugroženi.
„Kako da znam ko sam, ako nisam ja?“, upitao je glavni junak Saramagovog romana Udvojeni čovek. Iako je u citatu jezgrovito jeziva, egzistencijalističku i filozofsku dilemu možda može nadjačati ona realna. Ukoliko postoji sumnja da je počinjeno krivično delo, poput neovlašćenog pristupa računarskom sistemu ili iznude, slučaj treba prijaviti policiji i nadležnom Posebnom javnom tužilaštvu za visokotehnološki kriminal. Građanima čiji su podaci procurili savetuje se da odmah promene lozinke na važnim nalozima, uključe dvofaktorsku autentifikaciju i budu posebno oprezni sa neočekivanim pozivima, porukama i imejlovima koji od njih traže lozinke ili druge lične podatke. Važno je i pratiti bankovne račune i reagovati ukoliko se pojavi bilo kakva sumnjiva aktivnost.
