Третья цифровая. Кибератака в разы дешевле терактов, но ее последствия могут стать катастрофой

В ближайшие годы ЕС и США потратят на отражение кибератак больше, чем на войну в Афганистане или Ираке. Организация подобных атак на порядок дешевле обычных терактов, а их последствия могут обернуться катастрофой.

Летом 2010-го Пентагон перешел к финальной стадии операции «Олимпийские игры», которая должна была избавить США и Израиль от иранской атомной угрозы. По оценкам аналитического центра The Iran Project, прямой военный удар по Тегерану стоил бы Белому дому не меньше $2 млрд. только в первые шесть месяцев войны, не говоря уже о последствиях в виде роста нефтяных цен на 30% и ответной агрессии по отношению к Израилю. Кроме того, новый конфликт, скорее всего, стоил бы Бараку Обаме второго президентского срока.

Проблема разрешилась неожиданно. В результате сбоя в компьютерах, обслуживающих атомные объекты Ирана, более 1000 обогатительных центрифуг были разрушены из-за изменения режима работы, вызванного компьютерным вирусом, который в Иране прямо называют разработкой Госдепа США.

Позже этот вирус — Stuxnet — вырвался из защищенной сети в интернет. За два года он, по данным аналитиков компании McAfee, нанес ущерб в $150 млн.

Хотя в Белом доме упорно отрицают причастность к разработке вредоносной программы, разрушение центрифуг привело к тому, что военная операция была отложена минимум на два года.

Об усилении давления на Тегеран демократы заговорили только сейчас, после того, как выиграли выборы.

Но развитые страны не могут чувствовать себя в безопасности. После компьютерных учений в 2011 году эксперты в Брюсселе пришли к выводу, что система их безопасности глубоко уязвима. Из 14 стран ЕС стресс-тесты в виде пробных атак, по данным государственного фонда Security & Defence Agenda, смогли пройти только пять, сохранив военные тайны и обеспечив работу ключевых систем жизнеобеспечения. В итоге общие расходы Евросоюза на компьютерную безопасность в размере $2,5 млрд. были признаны недостаточными.

Аналогичная ситуация складывается и в США. После оценки потенциального ущерба от кибертерроризма, проведенной силами Министерства внутренней безопасности США (US Department of Homeland Security), оказалось, что одновременная атака на системы жизнеобеспечения, банки и ВПК всего за день может нанести стране колоссальный ущерб в $700 млрд. Это больше, чем весь оборонный бюджет США. Соответственно, затраты на компьютерную защиту государственных организаций в размере $3,2 млрд., по мнению US DHS, должны быть немедленно увеличены.

«Общемировые военные бюджеты в будущем году точно будут урезаться. А вот расходы на компьютерную оборону будут только расти, ведь сейчас все осознали ее важность», — рассказывает Тедди Немерофф из Steptoe &Johnson LLP.

Жертвы атак В 2012 году, по данным Microsoft Security Intelligence Report, большая часть кибератак (59%) была направлена не столько на похищение информации, сколько на блокирование работы сайтов крупных компаний и правительственных организаций — преимущественно в развитых странах.

Например, в июле 2012 года система социального страхования в Калифорнии была заблокирована в ходе масштабной DDоS-атаки (направление в систему огромного количества запросов для блокирования ее действий). Тогда же было похищено более 387 тыс. данных по социальным страховым взносам и 87 тыс. номеров кредитных карт. Всего, по информации компании McAfee, за 2012 год в результате блокирования деятельности государственных сайтов по всему миру был нанесен ущерб в $2,5 млрд. Наконец, осенью 2012-го Тегеран, по заявлениям ЦРУ, решил ответить на операцию «Олимпийские игры» и смог обрушить сеть из 30 тыс. компьютеров саудовской нефтедобывающей компании Saudi Aramco. Один из самых больших нефтяных гигантов с годовым оборотом в $403 млрд. вынужден был простаивать полдня, нанеся тем самым миллионные убытки покупателям из США, ЕС и Японии.

В ответ в США создали кибервойска, которые подчиняются Агентству специальных операций ЦРУ и должны контролировать все недружественные проникновения в государственные сети.

В 2012 году их бюджет составлял полмиллиарда долларов. Но, по словам главы Barrett Values Centre Ричарда Барретта, в этих войсках непосредственно служат всего 900 человек, и они не в состоянии обеспечить глобальную безопасность сетей США. «Американские военные пока не могут защитить даже свои собственные серверы от проникновения», — заявил «Инвестгазете» эксперт.

Еще более сложная ситуация сложилась в частных компаниях, контролирующих сферы, от которых зависит безопасность государства. Так, сейчас более 70% всей финансовой информации в развитых странах хранится на подключенных к мировой паутине серверах. «Не так сложно получить к ней доступ и потом обрушить систему, чтобы замести следы. А это может привести к многомиллиардным потерям», — говорит Грег Моррисетт из Гарвардского университета.

Действительно, в 2012 году почти 20 больших банков в США и ЕС подверглись атакам, направленным на блокирование работы или похищение данных.

Существующие системы защиты смогли противостоять только 67% атак — организаторы остальных добились своей цели. При этом частные компании, даже подвергшись атакам, не спешат тратить средства на защиту. «Государство не может обязать частные корпорации устанавливать мощные файрволы и фильтры для вирусов, ведь расходы на это могут быть очень большими», — рассказал «Инвестгазете» Стивен Буси, ведущий аналитик Heritage Foundation. По его мнению, сейчас значительная часть компаний очень уязвимы для атак.

Бедные против богатых По данным ООН за последний год, значительная часть подобных атак организовывается не частными структурами или отдельными хакерами, а военными подразделениями стран третьего мира или развивающихся стран, не слишком довольных гегемонией государств «золотого миллиарда».

Так, в 2011 году глава Аль-Каиды Айманаз-Завахири заявил, что Америка сейчас не готова к атаке в цифровой сфере и потому ее убытки намного превысят прямые потери от 11 сентября, составившие $500 млн.

Китай в 2012 году, по неподтвержденным данным, выделит $790 млн. на развитие наступательных компьютерных технологий. А Индия вслед за Пекином заявила, что не будет выдавать подозреваемых в кибератаках, поскольку законодательство в этой сфере не урегулировано и непонятно, кого именно можно назвать террористом.

В ООН считают, что в этой сфере задействованы более 250 тыс. человек по всему миру. В будущем, по мнению экспертов Гарвардской школы инженерии и прикладных наук, угроза таких

атак на государственные структуры будет только расти, так как системы управления стали больше сращиваться с компьютерными сетями. Большинство аналитиков считают, что кибертерроризм — это возможность для стран третьего мира отомстить своим развитым соседям. «Расходы на такую войну очень небольшие. Можно просто сделать заказ хакерам и ждать», — считает Пол Розенцвейг из Red Branch Law & Consulting. «В США или ЕС уже сейчас можно отключить свет или газ с помощью компьютера», — добавляет Ричард Барретт.

Защита от компьютерной агрессии становится столь же важной, как и физическая защита границ государств.

А это значит, что страны «золотого миллиарда» будут вынуждены на порядок увеличить расходы на кибербезопасность. В противном случае они рискуют погрузиться в хаос, организованный десятком грамотных программистов всего за $10 тыс. — именно столько, по оценкам экспертов, может стоить обрушение инфраструктуры среднего европейского государства.

Что у нас

Как ни парадоксально, но лучшей защитой Украины от кибертерроризма служит ее отсталость. «Государство не желает переходить на современные форматы связи потому, что это дорого стоит. Поэтому пока нашу связь невозможно взломать», — говорит эксперт по электронной безопасности при Кабинете Министров. Большинство утечек информации происходят из-за физического похищения документов, а не в сети. За годы независимости только корпорация «Укртелеком» пережила большую атаку, когда вирусами было заражено 700 компьютеров. Кроме того, в феврале 2011 года хакеры организовали DDoS-атаку на государственные сайты в ответ на изъятие серверов с файлообменника EX.UA.

Но это носило характер скорее акции гражданского неповиновения, нежели спланированного теракта. По информации «Инвестгазеты», в большинстве госорганов даже не пытались бороться с атаками. Чиновники просто ждали их окончания, поскольку паралич электронных систем не наносил особого ущерба.

Автор: Павел Сивоконь, «Инвестгазета» №45