:format(webp)/nginx/o/2017/08/03/6956157t1h943b.png)
Ta kontaktide seas oli kaksteist riigikogulast, paar suursaadikut, inimesi kaitse-, välis- ja majandusministeeriumist, kaitseuuringute keskusest, IT ettevõtetest ja kõrgkoolide juhtkondadest, ajakirjandusest. Vähem kui ööpäevaga sai Anna kübersõbraks 200 inimesega. Anna Malvaraga on paraku aga seotud üks tõsine probleem, kirjutab psühholoog Kätlin Konstabel.
Anna Malvara on 28-aastane Eestist pärit kõrgesti haritud nägus noor naine. Ta on lõpetanud TÜ rakendusmatemaatika eriala, käinud ETH Zürichis ja Harvardis, lisaks õppinud seitseteist aastat tagasi rahvusvahelisi suhteid Šveitsi ühes kenas erakoolis nimega Insitut Le Rosey. Ka keeleoskus pole laita: eesti, vene, inglise, prantsuse ja ka araabia keeles saaks temaga ladusalt suhelda. Olles märkimisväärse osa elust veetnud välismaal, otsustas Anna nüüd – töötades küberturvalisuse analüütikuna sellises asutuses nagu European Chamber of Information Security – Eestisse tagasi tulla ja ühtlasi muutuda aktiivsemaks sotsiaalmeedia kasutajaks.
Annal on paraku üks probleem. Sellise nime ja sellise taustaga inimest pole olemas.
Tema sotsiaalmeedia profiil (nagu ka mitu tema «õde-venda») loodi juulis Tallinnas toimunud rahvusvahelise küberkaitse suvekooli võistlustööna. Sel aastal oli suvekool nimelt pühendatud social engineering’ule – sellele, kuidas inimesi on võimalik manipuleerida nende oma vabal tahtel avaldama infot, mida saaks kasutada nende või kellelgi teise vastu pahatahtlikel eesmärkidel, ja kuidas panna neid üldse tegema asju, mida nad muidu ei teeks. Osalejad pidid nädala jooksul gruppides sooritama erinevaid ülesandeid, mille siht oli hankida igati legaalseid ja tegelikult ka igale inimesele kättesaadavaid vahendeid kasutades reaalsete inimeste kohta infot, lisaks viidi läbi katseid õngitsuskirjade saatmisega (CERT oli informeeritud). Üks ülesanne oli luua kontaktide leidmisel võimalikult efektiivne võltskonto omal valikul olgu siis Facebooki, Twitterisse, LinkedIni või kõikidesse kanalitesse korraga.
:format(webp)/nginx/o/2017/08/03/6956159t1h69da.png)
Olles mitu aastat küberkaitse magistrandidele internetipsühholoogiat õpetanud, kutsuti mindki ühe grupi juhendajaks ning mul õnnestus pealt näha Anna loomist ja edulugu. Vähem kui ööpäevaga sai ta Facebookis 200 inimesega sõbraks. Alguses pakkus Facebook kontakte ise, ikka vastavalt profiilil olevale infole, edasi aga lisati inimesi süstemaatiliselt – sõprade positsioon ja maine olid tähtsad.
Kontaktide seas oli lõpuks kaksteist riigikogulast, paar suursaadikut, inimesi kaitse-, välis- ja majandusministeeriumist, kaitseuuringute keskusest, IT sektorist ja kõrgkoolide juhtkondadest, ajakirjandusest. Euroliidu tegemistega kas ametniku või europarlamendi saadikuna kursis inimesegi arvas Annat oma sõbralisti sobivaks. Iga uus kontakt oli usaldusväärsuse märk järgmistele.
«Paraku ei ole ühes organisatsioonis või ka riigis pehmelt öeldes suure segaduse tekitamiseks vajalik kõigi sealsete inimeste mõtlematus.»
Sõpru kogunes hoolimata sellest, et Anna profiil oli äärmiselt vastuoluline. Fotod, kus oli näha naise nägu, olid sünteetilised – ja selgelt erinevate «inimeste» omad. Seda, et perenimi lausa kisendas küberturvalisuse nalja järele, ei pandud samuti tähele. Postitused. Ühel hetkel teismelise moodi hüüatus «hei, mida täna teete» ja tore kassipilt, teisel hetkel jagas ta artikleid Science Dailyst ja Foreign Policyst. Et absurd oleks täielik, väitis Anna end osalevat selles samas suvekoolis (mis ju teatavas mõttes vale polnudki) ja jagas küberturvalisuse artikleid.
Sõbrakutse vastuvõtnutel polnud ilmselt ka aega tähele panna, et natukegi võrgus otsides sellist inimest leida ei õnnestu – nagu ei õnnestu leida ka tema praegust töökohta, sest sellist asutust pole hoolimata soliidselt kõlavast nimest lihtsalt olemas.
:format(webp)/nginx/o/2017/08/03/6956151t1h1cdc.png)
Ei märgatud sedagi, et LinkedIni ja Facebooki profiilides oli erinevusi. Esimeses on näha, et tubli neiu on töötanud internina nii ÜRO kui Euroopa Komisjoni juures, lisaks firmas Santa Monica Networks. Facebookis andis ta aga teada, et suundus kohe pärast õpinguid tööle sellisesse firmasse nagu Herjavec Group. Kuigi tal polnud aega sotsiaalmeedias eriti laikida ja sheerida (tema loojatel oli samal ajal vaja tegeleda ju ka teiste võistlusülesannetega), hakkas pool päeva pärast profiili loomist noor daam juba ise sõbrakutseid saama.
Ootuspäraselt lisandus kena neiu sõprade sekka oluliselt rohkem mehi, mehi oli rohkem ka nende seas, kes pärast sõbraks lisamist temaga «kus me oleme kohtunud + naerunägu» moel vestlust üritasid alustada. Paar inimest võtsid ühendust ka sooviga kahelda Anna olemasolus, üks neist pidas sel teemal mõistlikuks preiliga lausa pool päeva mõtteid vahetada. Olgu siis seetõttu, et sõpru lisandus liiga kiiresti või põhjusel, et keegi arukas inimene informeeris Facebooki noore neiu kahtlasest edust – ööpäev pärast profiili loomist Facebook selle ka sulges. Seega ei saanud realiseeruda ülesande järgmine etapp: usalduslike suhete sisseseadmine ohvritega.
Miks sellest probleemi tekitada, võiks küsida? Enamik mõistlikke inimesi sai ju aru, et asi pole õige, ja nad jätsid Anna sõbraks saamise soovi tähelepanuta? Võltskontosid leidub ikka, nii mõnigi inimene on eri põhjustel vajalikuks pidanud mitme konto loomist, elu on selline.
Paraku ei ole ühes organisatsioonis või ka riigis pehmelt öeldes suure segaduse tekitamiseks vajalik kõigi sealsete inimeste mõtlematus. Ülesande saanud gruppidele oli inspiratsiooni ja ideaalina sihiks 2009. aastal mõneti vastuolulise küberturvalisuse eksperdi (või häkkeri või küberspiooni, kes kuidas teda nimetab) Thomas Ryani loodud libainimese Robin Sage’i edulugu sotsiaalmeedias. Seksikas pilt saadi pornosaidilt, nimi USA erivägede operatsioonilt, vanuseks 25 aastat (neist 10 aastat tõsist töökogemust küberkaitse valdkonnas), töökoht USA mereväe infooperatsioonide keskuses küberohtude analüütikuna, haridus saadud Massachussetsi Tehnoloogiainstituudist.
:format(webp)/nginx/o/2017/08/03/6956149t1h9811.png)
Sellise taustaga neiule sai Ryan kuu aja jooksul 300 kontakti USA valitsusringkondadest, sõjaväest (sh USA staabiülemate komitee esimees), IT suurfirmadest. Kontaktide enamik olid mehed, neilt sai õhtusöögikutsetele lisaks ka ettepanekuid tulla tööle nii Google’isse kui Lockheed Martinisse ja konverentsidele esinema. Vahvad sõjaväelased saatsid talle fotosid, kust oli tuvastatav väeosa asukoht, liikus isiklikku infot julgeolekuvaldkonnas tegutsevate inimeste ja nende tutvusringkonna kohta, ülevaatamiseks saadeti salajasi dokumente. Seda kõike hoolimata tõsiasjast, et juba teisel päeval oli tema taustas kahtlejaid ja hoiatajaid: Robinilgi polnud reaalses elus ühtegi pidepunkti, mis kinnitanuks tema olemasolu. Thomas Ryan oli eksperimendi tulemusi kokku võttes konkreetne: oleks sellise eksperimendi taga olnud terroriorganisatsioon, oleks olnud tegemist väga tõsise julgeolekuohuga.
Me ei tea, õnneks, mida kõike oleks korda võinud saata neiu Anna. Aga me teame, et eri hinnangutel on sotsiaalvõrgustikes õngitsuskirjade arv viimase aastaga kasvanud kuni viis korda ja seda peetakse kõige lihtsamaks inimeste petmise kohaks.
«Me õpetame riigi raha toel vastutustundlikku veebikäitumist lastele. Aga kui suured ja tähtsad ise ei pea vajalikuks meeles hoida lihtsat reeglit, et võõrastega ole ettevaatlik?»
On teada seegi, et enamik inimesi külastab sotsiaalvõrgustikke ka tööl olles, tööarvuteid kasutades. Sotsiaalvõrgustikes on inimesed impulsiivsemad, klikivad linkidel kiiremini, suhtlemine – ka olematu libasõbraga – on sünkroonne, mõtlemisaega ei võeta. Vestlus sujub, nii lihtne on klikkida toredal lingil (olgu see väidetav jõulukaart või pilt sellest peost, kus tuttavaks saadi, kuidas sa ometi ei mäleta, tuleta meelde).
Kui keegi saab infot su eluolu ja hobide kohta, on talle väga lihtne tõhusat õngitsuskirja saata (seda näitasid ka suvekooli katsed). Millal keegi on reisil ja kus, milline on ta kutsu, lemmikrestoran ja spordiklubi. Kas tema esimene auto oli kollane sapikas või eelistab ta siiani kondimootorit – kõik see pealtnäha mõttetu infopahn saab olla pahalase käes relv, et paista küberruumis oma ja usaldusväärne. Saab üle võtta vastse sõbra identiteedi ja luua paralleelprofiili.
:format(webp)/nginx/o/2017/08/03/6956155t1h3f16.png)
Pahalase saatmine arvutisse või raha välja petmine romantikapettuse osana on samuti levinud. Saab teeselda mingi just sinuga seotud firma klienditeenindust või sedasama sotsiaalvõrgustikku ja saata sulle murekirja, et midagi on juhtunud, kliki hädast pääsemiseks sinna ja tänna. Variante on nii palju. Inimestel oleks lihtne küsida küsimusi, guugeldada viis minutit, aga miskipärast nad ei tee seda.
Ma ei tea, kas Eesti poliitikutel ja valitsusasutustel on sotsiaalmeedia kasutamiseks juhised, nagu mitmes teises riigis tavaks. Unustame isegi peenemad pahavaraga sehkendamised. Tuletame meelde, kui masendavalt tihti on meedias uudiseid, kuidas avaliku elu tegelane see ja see ütles tollele ja tollele pahasti. Inimesed arutavad ja vangutavad päid, selle asemel et elu edendavate asjadega tegeleda. Pole raske kujutleda, kuidas mõni riik, kellele Eesti uhkustamine oma kübertarkusega närvidele käib, kiusuks loob või palkab trolli, kes olulisi ja sotsiaalvõrgustikes aktiivseid tegutsejaid nii käituma ajab, et sellest tõuseb avalikku ruumi päevadeks täitev ja võibolla ka Eesti mainet kahjustav tüli.
Samuti pole raske kujutleda, kuidas atraktiivne palgaline libanäitsik (tegelikult kamp kavalaid kelme) kellegagi mesijuttu ajama asub ja ühel hetkel liiguvad küberruumis pildid ja videod, mis teevad neid saatnud ja saanud inimese vägagi mõjutatavaks. Me õpetame riigi raha toel vastutustundlikku veebikäitumist lastele. Aga kui suured ja tähtsad ise ei pea vajalikuks meeles hoida lihtsat reeglit, et võõrastega ole ettevaatlik?
/nginx/o/2015/08/10/4366145t1h8438.jpg)