Jak pracuje etyczny haker: testy penetracyjne, Korea Północna i wybory na Facebooku
Słowo haker wielu osobom nadal podsuwa obraz nastolatka w bluzie z kapturem, który łamie hasła gdzieś w piwnicy. Rzeczywistość jest dużo ciekawsza – i przede wszystkim dużo bardziej zawodowa. Ten artykuł powstał na podstawie podcastowej rozmowy z etycznym hakerem Andrejem Šebeniem i opisuje:
- jak naprawdę wygląda praca etycznego hakera,
- jakie prowokacyjne porównanie najcelniej opisuje etyczny hacking,
- jak testuje się bezpieczeństwo banków, firm i środowisk chmurowych,
- dlaczego Korea Północna kradnie kryptowaluty i co ma z tym wspólnego Cambridge Analytica,
- i przede wszystkim: jak można dać się zhakować i w ogóle tego nie zauważyć.
Nagranie rozmowy jest po słowacku – wszystkie jej najważniejsze wątki znajdziesz poniżej po polsku.
Co naprawdę robi etyczny haker
Etyczny haker robi w dużej mierze to samo, co „klasyczny” atakujący – próbuje dostać się tam, gdzie zwykły użytkownik nigdy trafić nie powinien. Różnica jest jedna, ale zasadnicza: robi to za pisemną zgodą klienta i według wcześniej ustalonych reguł.
Typowy dzień to test nowej aplikacji webowej, sieci wewnętrznej banku albo środowiska chmurowego w dużej firmie. Cel jest zawsze ten sam: znaleźć podatności i słabe miejsca wcześniej niż ktoś o mniej szlachetnych zamiarach.
Jeśli chcesz zobaczyć, jak taki projekt wygląda w praktyce, zajrzyj na stronę testów penetracyjnych Haxoris.
Granica między testem a przestępstwem
Rozmowa wraca do tej myśli kilka razy: etycznego hakera od atakującego nie odróżnia technika, tylko pozwolenie. Narzędzia są te same. Uprawnienie – nie.
Bez zgody włamanie do systemu, obejście zabezpieczeń czy zdobycie cudzych uprawnień byłoby po prostu przestępstwem. Z pisemną zgodą klienta to samo działanie staje się usługą. Firma mówi w ten sposób mniej więcej tyle:
„Wolimy, żeby dziurę w naszym bezpieczeństwie pokazał nam dziś etyczny haker,
niż żeby za trzy miesiące wykorzystał ją ktoś anonimowy i zażądał okupu.”
Test penetracyjny to więc kontrolowane przekroczenie granic – zakończone raportem i konkretnymi zaleceniami, co naprawić i jak wzmocnić system.
Jak testuje się bezpieczeństwo banków, firm i chmury
Testy penetracyjne to w praktyce crash testy systemów IT. Mniej więcej połowa projektów dotyczy aplikacji webowych – bankowości internetowej, portali klienckich, rozwiązań SaaS i systemów wewnętrznych.
Haxoris specjalizuje się w kompleksowych testach penetracyjnych – od aplikacji webowych i infrastruktury po IoT oraz integracje z AI i modelami LLM.
Rodzaje testów penetracyjnych
Black box symuluje atakującego z zewnątrz:
- haker nie wie o systemie prawie nic,
- nie ma danych logowania ani dokumentacji wewnętrznej,
- widzi wyłącznie to, co jest publicznie dostępne w internecie.
W realnych projektach częściej sprawdza się grey box – klient udostępnia środowisko testowe, konta z różnymi rolami i podstawowy opis systemu. Dzięki temu można sprawdzić nie tylko uwierzytelnianie, czyli samo logowanie, ale przede wszystkim autoryzację:
- czy użytkownik widzi dane, których widzieć nie powinien?
- czy zwykły użytkownik może wykonać operacje zarezerwowane dla administratora?
- czy da się obejść kontrolę uprawnień przez API albo bezpośredni adres URL?
Co konkretnie się testuje
W bankach, fintechu i dużych organizacjach typowe obszary to:
- Aplikacje webowe i API – klasyka w rodzaju SQL injection, XSS, słabych sesji, błędnej kontroli dostępu i błędów logiki biznesowej.
- Infrastruktura wewnętrzna – domena Windows, VPN, serwery, stacje robocze; chodzi o sprawdzenie, czy z jednej przejętej maszyny da się dojść do systemów, na których firma stoi.
- Środowiska chmurowe (AWS, Azure, GCP) – tu wchodzą testy penetracyjne chmury: przegląd ról IAM, reguł firewalla, wystawionych usług, magazynów danych i segmentacji sieci.
- Wi-Fi i sieci – słabe hasła, kiepska segmentacja, przestarzały firmware, podstawione punkty dostępowe (rogue AP) i inne wektory.
Kiedy co roku wychodzą te same błędy
W rozmowie pada niewygodna obserwacja: część firm zamawia testy penetracyjne co roku – i co roku wychodzą te same błędy.
Dlaczego? Dla części rynku test jest głównie „ptaszkiem w raporcie z audytu”. Bez realnej motywacji, żeby usunąć znalezione podatności, test zostaje formalnością.
Korea Północna, grupy APT i kryptowaluty
W cyberprzestrzeni od dawna nie działają już wyłącznie pojedyncze osoby. Są grupy APT (Advanced Persistent Threat) – zespoły hakerów finansowane albo wprost prowadzone przez państwa.
Najczęściej wiąże się je z takimi krajami jak:
- Korea Północna,
- Rosja,
- Chiny,
- czasem Iran i inni gracze.
Korea Północna to, jak ujął to Andrej Šebeň, „biedny kraj z bardzo bogatymi hakerami”. Tamtejsze grupy specjalizują się w kradzieży kryptowalut – z giełd, projektów DeFi i słabo zabezpieczonych usług.
Krypto jest do tego idealne: łatwo je przenieść, jest względnie anonimowe i pozwala omijać sankcje. Kilka największych kradzieży kryptowalut ostatnich lat przypisuje się właśnie grupom północnokoreańskim.
Jeśli chcesz zobaczyć, jak w bezpiecznych ramach symuluje się złożony atak na organizację, zajrzyj na stronę red teamingu Haxoris – to „ćwiczebny cyberatak”, który pokazuje, jak daleko zaszłaby u Ciebie prawdziwa grupa APT.
Cambridge Analytica i wybory na Facebooku
Hakowanie to nie tylko serwery i hasła. Jeszcze groźniejsze bywa hakowanie ludzkiej psychiki.
Afera Cambridge Analytica pokazała, jak dane z Facebooka można wykorzystać, żeby:
- profilować wyborców według emocji, lęków i frustracji,
- prowadzić precyzyjnie wycelowane kampanie, które „naciskają właściwe guziki”,
- przesuwać opinię publiczną na korzyść konkretnych kandydatów albo partii.
Według publikowanych ustaleń podobne modele stosowano nie tylko w USA i Wielkiej Brytanii, ale w dziesiątkach innych krajów – często tam, gdzie jedna partia w praktyce kupiła sobie wynik wyborów przez Facebooka.
Technicznie nie zhakowano żadnego serwera. Zhakowano miliardy feedów – i miliony głów.
Jak można dać się zhakować i tego nie zauważyć
Możesz pracować na Macu, Windowsie albo Linuksie, mieć antywirusa, firewall i VPN – a i tak się nabrać. Wystarczy stresujący moment, telefon w złej chwili albo jeden SMS kliknięty o sekundę za szybko.
Phishing w praktyce
W podcaście pada historia, która powinna być ostrzeżeniem także dla zawodowców. Etyczny haker dostaje SMS o wygasającej domenie:
- nazwa domeny się zgadza,
- data wygaśnięcia się zgadza,
- nazwa rejestratora się zgadza.
Skąd atakujący mieli te dane? Dostawca miał w przeszłości wyciek. Napastnicy dysponowali więc prawdziwymi informacjami – musieli je tylko opakować w wiarygodny SMS. Haker był zestresowany, spieszył się, prawie kliknął. Dopiero przy płatności coś mu nie zagrało i przerwał proces.
Tak wygląda dzisiejszy phishing: precyzyjny, spersonalizowany, dobrze wymierzony w czasie. W Polsce taki SMS zwykle podszywa się pod firmę kurierską, bank albo urząd. Jeśli chcesz bezpiecznie sprawdzić na własnych pracownikach, jak działa phishing i smishing, zobacz testy socjotechniczne Haxoris.
Socjotechnika: atak na człowieka, nie na firewall
Atakujący nie zawsze potrzebuje błędu w kodzie. Często wystarczy mu podatność w ludzkim zachowaniu – strach, rutyna, zaufanie, autorytet albo presja czasu.
Typowe scenariusze socjotechniczne to:
- telefon rzekomo z „infolinii banku” z pilną prośbą,
- SMS od kuriera z prośbą o „drobną dopłatę”,
- e-mail rzekomo z urzędu skarbowego albo z policji,
- oszukańcze porady inwestycyjne w popularnych serwisach społecznościowych.
Socjotechnika jest jedną z najskuteczniejszych technik ataku – dlatego jest stałym elementem poważnych projektów red teamingowych i kampanii phishingowych.
Praktyczne rady, jak się bronić
- Nie działaj w stresie. Jeśli ktoś twierdzi, że „masz na to 10 minut”, to samo w sobie jest podejrzane.
- Nie klikaj w linki w SMS-ach i e-mailach od „banku” czy „urzędu”. Wpisz adres ręcznie albo użyj oficjalnej aplikacji.
- Sprawdzaj drugim kanałem. Jeśli dzwoni „bank”, rozłącz się i oddzwoń na numer z oficjalnej strony.
- Włącz 2FA. Uwierzytelnianie wieloskładnikowe to jedno z najprostszych, a zarazem najskuteczniejszych zabezpieczeń.
- Aktualizuj systemy. Aktualizacje to nie są tylko irytujące okienka – łatają znane dziury, których atakujący aktywnie szukają.
- Szkol zespół. Człowiek bywa najsłabszym ogniwem, a szkolenia i symulacje phishingu potrafią wyraźnie obniżyć ryzyko.
Co z tego wynika dla Ciebie i Twojej firmy
Na koniec kilka najważniejszych wniosków z rozmowy:
- Etyczny haker jest partnerem, nie wrogiem. Robi to, co zrobiłby prawdziwy atakujący – tylko wcześniej, bezpiecznie i z raportem.
- Test penetracyjny ma sens tylko wtedy, gdy coś po nim zrobisz. Inaczej zostaje PDF w segregatorze.
- Największą podatnością nie jest technologia, tylko człowiek. Procesy, kultura i szkolenia znaczą tyle samo co firewalle.
- Państwa i firmy dawno zrozumiały, że dane to władza. Od północnokoreańskich kradzieży krypto po Cambridge Analytica – cyberprzestrzeń stała się realnym polem walki.
- Nabrać się może nawet ekspert. Różnica polega na tym, czy wyciągnie z tego wnioski i poprawi procesy tak, żeby ten sam błąd się nie powtórzył.
I jedno zdanie, które zasługuje na ścianę w każdej serwerowni:
Bezpieczeństwo nie jest stanem – jest procesem.
Nie ma czegoś takiego jak „gotowe, jesteśmy bezpieczni”. Jest tylko „dziś jesteśmy trochę mniej podatni niż wczoraj”.
