Már a 90-es években is lopták a tévéközvetítések reklámszünetei alatt rögzített szitukat. A műholdakról. Akkor a webkameránkba miért ne másznának bele a hackerek? Sőt Edward Snowden szerint az amerikai kormány is pontosan ezt tette az NSA-n keresztül.
Valamikor az ezredforduló táján a Magyar Televízió Médiamix című műsora egy egész adást szentelt azoknak a műholdon közvetített pillanatoknak, melyek nem mentek le élő adásban, mégis kiszivárogtatták őket.

Miről is van szó? Ha a televízióban élő adást látunk, ugye, vannak reklámszünetek. De ezekben a műsorszünetekben is közvetítik a műholdak a helyszínen lévő kamera által felvett képeket, vissza a tévécsatorna központjába, ahol majd adásba kapcsolják a kamerát, ha újra itt az idő. Ezek a holtidős percek elvileg nem tartoznak a széles közönségre. Általában politikailag inkorrekt beszólások vagy káromkodások színesítik. De élelmes hackerek már húsz éve is hozzáfértek a közvetített audiovizuális jelekhez és ellopták őket.

Ennek köszönhetően láthattuk például, hogy a CNN talkshowkirálya, Larry King a reklámblokk alatt – megszegve az újságírói etikát – egyeztet interjúalanyával, Bill Clintonnal arról, hogy mit kérdezzen meg tőle, és mennyire keményen vagy engedékenyen faggassa őt egy-egy témáról a műsor következő blokkjában. Össze is omlott a King merészségéről szóló imázs.

Ez viszont további kérdéseket vet fel: ha műholdon továbbított adást is meg lehetett hekkelni, akkor a webkameránkat miért ne lehetne? Nos, valójában ez is előfordulhat. Bizony voltak már példák rá, hogy embereket pereltek be azért, mert áttörték egy-egy felhasználó tűzfalát, rögzítették a szobájában történő eseményeket, és közszemlére tettek például intim pillanatokat a neten.

Ebből a fotóból szúrták ki, hogy a webcam le van ragasztava. (fotó: YouTube)
Erről a fotóról szúrták ki, hogy a webkamera le van ragasztava.
Fotó: YouTube

Ezt a távolról vezérelt, egy trójai segítségével megvalósuló támadást rattingnek hívják. A hacker ráveszi a felhasználót, hogy klikkeljen egy linkre, amely olyan honlapra juttatja, ahol rosszindulatú szoftver (malware) van. Az behatol a gépbe, és távolról hozzáférést biztosít a hackernek.

De nem csak a bűnözők használják ki, hogy beláthatnak az életünkbe. Az amerikai nemzetbiztonsági hivatal, a National Security Agency (NSA) Edward Snowden által kiszivárogtatott dokumentumai szerint az NSA-nek két programja is volt arra, hogy magánszemélyek és cégek webkameráin és mikrofonjain keresztül kukucskáljon és hallgatózzon.

Zuckerberg tudja

Ezek tudatában nem hat meglepetésként, hogy amikor Mark Zuckerberget lefotózták a Facebook főhadiszállásán munka közben (a fotó abból az alkalomból készült, hogy Zuckerberg a Facebook által birtokolt Ingstagram felhasználóbázisának növekedését ünnepelte), egy szemfüles megfigyelő, Chris Olson arra lett figyelmes, hogy Zuckerberg laptopján le van ragasztószalaggal takarva a webkamera és a mikrofon apró kis pontja. Olson nyomban feltett erről egy megjegyzést a Twitterre. És ahogy az lenni szokott, a bejegyzés önálló életre kelt, átvette a fél világ.

Lysa Myers biztonsági szakértő a The New York Timesnak azt mondta, hogy ha az ember végigsétálna egy kiberbiztonsági konferencia nézőközönségének soraiban, könnyebben meg lehetne számolni azt, hogy hány webkamera nincs letakarva, mint azt, amennyi le van fedve.

Az FBI igazgatója, James Comey áprilisban bevallotta egy diákkonferencián, hogy ő is szalaggal ragasztotta le a kamerát a gépén.

Testünkkel védhetjük az adatainkat

Biztonságos jelszó? Ugyan már! A szakértők szerint a jövőben egészen más módszerekkel védhetjük majd az adatainkat. Például a testünkkel.
Máshol a techguru is hibázott

Egy palesztin hacker 2013-ban már feltörte Zuckerberg oldalát a Facebookon – igaz, nem a kameráját. Tehát még az internet egyik leghatalmasabb urának online élete sem mentes az ilyen incidensektől.  2016 júniusában pedig az OurMine nevet viselő hackerkollektíva tört be Zuckerberg LinkedIn-, Twitter- és Pinterest-profiljába. És hol értesítették Zuckerberget a betörés tényéről? A Twitteren. „Csak teszteljük a biztonságodat” – szólt a felirat. (Az ezt mutató screengrabet, vagyis a képernyő lefényképezett mását az Engadget hozta nyilvánosságra.)

De valóban betörés történt? Vagy más személyazonosságának kihasználása? A LinkedIn ugyanis furcsa nyelvezetű sajtóközleményben tudatta a világgal, hogy értesült az „átvételről” (vagyis egy valós Zuckerberg-profil hackerek általi kisajátításáról?), és törölte a „hamis profilt” (vagyis azt mások hozták volna létre Mr. Z. nevében?). A LinkedIn arról nem akart nyilatkozni, hogy ez a malőr vajon a 2012-es betörés folyománya, amikor is 100 millió profilnak az adatai kerültek illetéktelen kezekbe. 

A malőrből egyesek azt vélték leszűrni, hogy Mr. Z. elkövette a legalapvetőbb és legostobább hibát: több honlapon is valószínűleg ugyanazt a jelszót használta. A The Hacker News nevű website azt állította, hogy az OurMine közlése szerint Zuckerberg jelszava mindössze annyi volt: „dadada”, és ezt tényleg több oldalon használta. (Az OurMine Twitter-oldalát időközben felfüggesztették.)

A másik hiba, amit Zuckerberg valószínűleg elkövetett – több milliárd netes felhasználóval egyetemben –, hogy nem használt kéttényezős azonosítást. Ez az, amit a pénzintézetek is csinálnak, ha bejelentkezünk online bankolásra: a netes belépéshez jelszót küldenek a mobilunkra. Így két eszközbe is be kell lépnünk jelszóval, hogy bármit tehessünk. (A telefon SIM-kártyája sem használható ugye jelszó nélkül.)

Engem is támadnak?

Nincsenek megbízható becslések arról, milyen gyakran történnek webkamerás kukkolások. Főleg azért, mert ha meg is történnek, a meglesett személy valószínűleg sosem értesül róla. A Digital Citizens Alliance 2015-ben kiadott jelentése szerint az e-kukkolások száma nő, és a célpontok főleg fiatal nők. A tanulmány szerint a trójai falovak alkotják a rosszindulatú szoftverek (malware) 70 százalékát.

Mit tehet az ember? Bonyolult jelszavakat használ, más-más jelszót a különféle oldalakon történő belépésekhez, rendelkezik tűzfallal, és rendszeresen frissíti a vírusirtót… majd pedig imádkozik.

És végül egy kis praktikus infó: a The New York Times a Have I Been Pwned? nevű honlapot ajánlja, ahol ha beírja az ember az e-mail-címét, a rendszer kiadja, hogy valaha behatoltak-e az inboxába illetéktelen alakok.

Forrás: The New York Times, Twitter