Hakerzy do wynajęcia to nie scenariusz filmu, tylko realny rynek usług. Najlepszym przykładem jest Hidden Lynx, grupa zawodowych cyberprzestępców z Chin, którą opisali eksperci firmy Symantec. Poniżej dowiesz się, jak działała, czym są ataki typu "wodopój", ile kosztowały drobne usługi włamywaczy oraz czym przestępca różni się od legalnej usługi, jaką jest etyczny haker do wynajęcia. 

Spis treści 

1.Kim jest haker do wynajęcia?  

2.Hidden Lynx: kim byli i kogo atakowali  

3.Dwa zespoły: Moudoor i zespół Naid  

4.Atak watering hole (wodopój) krok po kroku  

5.Przynęta: fałszywy raport o chińskich hakerach  

6.Ile kosztują hakerskie usługi i kto z nich korzystał  

7.Sprawa Alghanimich: włamanie w sporze rodzinnym  

8.Etyczny haker do wynajęcia: legalna alternatywa  

9.Co grozi za zlecenie włamania?  

10Jak się chronić przed atakami na zlecenie  

11.FAQ  

1. Kim jest haker do wynajęcia? 

Haker do wynajęcia to osoba lub grupa, która za opłatą włamuje się do systemów, kont lub urządzeń wskazanych przez klienta. Tego typu usługi bywają nielegalne (włamanie na cudzą skrzynkę pocztową, kradzież danych firmy) albo w pełni legalne (zlecone przez właściciela testy zabezpieczeń). Granicę wyznacza jedno: zgoda właściciela systemu. 

2. Hidden Lynx: kim byli i kogo atakowali 

Grupę zawodowych hakerów działających na zlecenie odkryli specjaliści Symanteca. Działający w Chinach przestępcy to hakerska elita: mają najlepsze narzędzia i wysokie umiejętności techniczne, a do ataków wykorzystują najnowsze, świeżo odkryte luki w zabezpieczeniach. 

Nazwę Hidden Lynx (Ukryty Ryś) nadali im analitycy Symanteca, od znaków pojawiających się w komunikacji między członkami grupy, zainfekowanymi komputerami i serwerami. 

To nie była pierwsza taka grupa. Inna chińska formacja, APT1, miała się włamywać do serwerów amerykańskich instytucji rządowych. Obok nich działają mniejsze grupy i pojedynczy hakerzy do wynajęcia. 

Cele Hidden Lynx obejmowały: 

• banki,  

• korporacje zbrojeniowe,  

• giełdy,  

• firmy telekomunikacyjne,  

• firmy z sektora energetycznego.  

Tak szeroki wachlarz celów sugeruje, że grupa działała na zlecenie: na życzenie klienta mogła wykraść dowolne dane. 

3. Dwa zespoły: Moudoor i zespół Naid 

Hidden Lynx liczył od 50 do 100 osób, prawdopodobnie podzielonych na co najmniej dwa zespoły o różnych zadaniach: 

• Zespół podstawowy używał koni trojańskich (trojanów) o nazwie Moudoor do włamań do systemów komputerowych.  

• Zespół Naid, jednostka do zadań specjalnych, stosował bardziej wyrafinowane techniki, a nazwę wziął od wirusa, którego używał najchętniej.  

Eksperci Symanteca opisali ich metody jako cierpliwe i precyzyjnie zaplanowane, a nie spontaniczne wypady amatorów. Atakujący potrafią zainfekować dostawcę, a potem czekać, aż zainfekowany sprzęt trafi do prawdziwego celu i nawiąże kontakt z ich serwerem. 

4. Atak watering hole (wodopój) krok po kroku 

Atak watering hole (po polsku "wodopój") polega na tym, że napastnik nie atakuje celu bezpośrednio, tylko infekuje miejsce, któremu cel ufa: stronę internetową, dostawcę oprogramowania lub firmę zabezpieczającą. Nazwa pochodzi od drapieżnika, który czeka przy wodopoju na ofiarę. Technika jest stosowana od około 2009 roku. 

Przykład z historii grupy: 

1. W czerwcu 2012 roku hakerzy próbowali włamać się do amerykańskich firm zbrojeniowych.  

2. Dokumenty chroniła firma Bit9, dostawca zabezpieczeń.  

3. Zamiast forsować ochronę, Hidden Lynx włamał się do samego Bit9 i przejął kontrolę nad systemem zabezpieczeń.  

4. Zaufanie do dostawcy otworzyło drzwi do właściwego celu.  

To klasyczny atak na łańcuch dostaw (supply chain attack): najsłabsze ogniwo zaufanego partnera staje się furtką do dobrze chronionej organizacji. 

5. Przynęta: fałszywy raport o chińskich hakerach 

Podobny pomysł wykorzystali inni hakerzy (nie wiadomo, z której grupy). Zainfekowali raport firmy Mandiant o chińskich grupach hakerskich, w którym oskarżała ona o liczne cyberataki grupy sponsorowane przez chińskie władze. Wskazówkami miały być adresy IP oraz godziny pracy zgodne z czasem szanghajskim. Chiny zaprzeczyły oskarżeniom. 

Atakujący użyli raportu jako przynęty: zamiast prawdziwego dokumentu rozsyłali konia trojańskiego, który pozwalał im wykonać kolejny etap szpiegowskiej operacji. To przykład phishingu opartego na wiarygodnym temacie: ofiary (analitycy, dziennikarze, specjaliści IT) same chętnie otwierały plik. 

6. Ile kosztują hakerskie usługi i kto z nich korzystał 

Stawki Hidden Lynx nie są znane. Znane są za to ceny "drobnych usług": włamanie do popularnej skrzynki pocztowej reklamowano w sieci od około 150 dolarów, z obietnicą wykonania w mniej niż 48 godzin. 

Z usług najemnych cyberprzestępców korzystali m.in.: 

• brytyjski tabloid News of the World,  

• francuski koncern Électricité de France, który chciał dostać się do komputerów organizacji Greenpeace.  

Mandiant uważał też, że za atakami na amerykańskie gazety stali hakerzy z Chin, którzy mieli śledzić powstające publikacje o majątkach przywódców partii. 

7. Sprawa Alghanimich: włamanie w sporze rodzinnym 

Nie każde zlecenie dotyczy tajemnic państwowych. Najgłośniejszy przypadek to spór kuwejckiego milionera Bassama Alghanimiego z bratem Kutaybą o podział majątku wartego setki milionów dolarów (udziały w bankach, nieruchomości w Nowym Jorku, Londynie i Los Angeles oraz dzieła sztuki). 

Kutayba zapłacił chińskiemu hakerowi 400 dolarów za hasło do skrzynki brata. Wykradzione e-maile z rachunkami, informacjami o zdrowiu i prywatną korespondencją posłużyły do szantażu, a potem zostały opublikowane w internecie. Dowodzi to, że pojedyncze, tanie włamanie może mieć skutki warte setki milionów. 

8. Etyczny haker do wynajęcia: legalna alternatywa 

Skoro włamywacze są do wynajęcia, firmy mogą wynająć etycznego hakera: specjalistę, który atakuje systemy klienta za jego zgodą i według umowy, aby znaleźć luki, zanim zrobią to przestępcy. Etyczny haker do wynajęcia to w praktyce wykonawca testów penetracyjnych (pentestów) lub zespół red team. 

Czym różni się od przestępcy? 

Cecha	Haker kryminalny	Etyczny haker
Zgoda właściciela systemu	Brak	Pisemna umowa i zakres testów
Cel	Kradzież, szantaż, szpiegostwo	Wykrycie i naprawa luk
Wynik	Szkoda dla ofiary	Raport z rekomendacjami
Odpowiedzialność prawna	Karna	Umowna (z NDA)

Co obejmuje usługa? Zwykle testy aplikacji webowych i mobilnych, testy sieci i infrastruktury, socjotechnikę (np. symulowane phishingi), audyt konfiguracji chmury oraz raport z priorytetyzacją ryzyk. 

Jak wybrać wykonawcę? 

• Sprawdź certyfikaty (np. OSCP, CEH, CREST) i doświadczenie w twojej branży.  

• Wymagaj umowy z zakresem testów, NDA i zasadami postępowania w razie awarii.  

• Zapytaj o metodykę (np. OWASP, PTES) i przykładowy, zanonimizowany raport.  

• Uważaj na ogłoszenia obiecujące "hakowanie kont" czy "odzyskiwanie haseł". To zwykle oszustwa albo oferta nielegalna.  

9. Co grozi za zlecenie włamania? 

W polskim prawie karnym nieuprawniony dostęp do informacji lub systemu informatycznego (m.in. art. 267 Kodeksu karnego) jest przestępstwem. Karalne jest też podżeganie i pomocnictwo, więc zleceniodawca odpowiada tak samo jak wykonawca. Kutayba Alghanimi nie włamywał się sam, a mimo to jego sprawa trafiła do sądu. (Przed publikacją zweryfikuj aktualne brzmienie przepisów lub skonsultuj je z prawnikiem.) 

10. Jak się chronić przed atakami na zlecenie 

1. Włącz uwierzytelnianie dwuskładnikowe (2FA) na poczcie i kluczowych kontach. Hasło za 150 dolarów przestaje wtedy wystarczać.  

2. Używaj menedżera haseł i unikalnych haseł do każdej usługi.  

3. Nie otwieraj niespodziewanych załączników, także tych, które wyglądają jak wiarygodny raport.  

4. Aktualizuj system i oprogramowanie, bo atakujący polują na świeżo odkryte luki.  

5. Weryfikuj dostawców: zabezpieczenia firmy są tak mocne, jak jej najsłabszy partner.  

6. Zlecaj regularne pentesty, bo lepiej, żeby lukę znalazł etyczny haker niż przestępca.  

11. FAQ 

Czy można legalnie wynająć hakera? 
Tak, jeśli jest to etyczny haker lub firma pentesterska działająca na podstawie umowy i za zgodą właściciela testowanych systemów. 

Czym jest grupa Hidden Lynx? 
To chińska grupa zawodowych hakerów działająca na zlecenie, opisana przez Symantec, licząca od 50 do 100 osób i atakująca m.in. banki, firmy zbrojeniowe i energetyczne. 

Co to jest atak typu watering hole? 
To infekowanie zaufanej strony lub dostawcy, z którego korzysta właściwa ofiara, aby ominąć jej zabezpieczenia. 

Ile kosztuje etyczny haker do wynajęcia? 
Cena zależy od zakresu testów, wielkości systemu i czasu pracy. Wycena następuje po ustaleniu zakresu (scoping). 

Czy zlecenie włamania jest karalne? 
Tak. Zleceniodawca może odpowiadać jako podżegacz lub pomocnik.