Przygotowania do globalnego cyberataku na światowy system finansowy

10. grudnia 2021 roku w Izraelu przeprowadzono dziesięciodniowe ćwiczenia w cyberprzestrzeni pod kryptonimem Collective Strength (Wspólna Siła). W ćwiczeniach tych wzięli udział przedstawiciele Banku Światowego, Międzynarodowego Funduszu Walutowego, Banku Rozrachunków Międzynarodowych, izraelskiego Ministerstwa Finansów, a także urzędnicy odpowiedzialni za systemy finansowe z Austrii, Zjednoczonych Emiratów Arabskich, Wielkiej Brytanii, Niemiec, Izraela, Włoch, Holandii, Stanów Zjednoczonych, Tajlandii i Szwajcarii.

Symulacja globalnego ataku na system finansowy

Podczas ćwiczeń symulowano zakrojony na szeroką skalę cyberatak na globalny system finansowy i jak oficjalnie stwierdzono, „poszukiwano metod rozszerzenia współpracy, która mogłaby pomóc zminimalizować wszelkie potencjalne szkody dla rynków finansowych i banków”. Scenariusz symulacyjny sugerował wyciek tajnych informacji do przestrzeni publicznej, a następnie fabrykowanie fałszywych wiadomości, co zgodnie z legendą ćwiczeń, doprowadziło do globalnego chaosu finansowego. Izraelski cyber-ekspert Rahav Shalom-Revivo wyraził opinię, że zakrojony na tak szeroką skalę atak na globalny system finansowy, jak ten zaplanowany w scenariuszu ćwiczeń, może być przeprowadzony tylko przez najbardziej „wyrafinowanych napastników”. Scenariusz ćwiczeń Collective Strength zakładał również, że złośliwy wirus komputerowy, w sposób podobny do koronawirusa, rozprzestrzeniać się będzie we wszystkich krajach, tylko dziesięć razy szybciej. Internet zostanie całkowicie sparaliżowany, zostanie odcięty prąd elektryczny, przestaną działać systemy podtrzymywania życia: ogrzewanie, wodociągi, kanalizacja. Przedsiębiorstwa przemysłowe zamarzną, transport ustanie, w ciągu kilku dni cywilizacja pogrąży się w chaosie. Rok wcześniej założyciel Światowego Forum Ekonomicznego Klaus Schwab ostrzegał przed „możliwością zaistnienia wszechogarniającego cyberataku, który doprowadziłby do całkowitego wyłączenia usług elektrycznych, transportowych i szpitalnych oraz całego naszego społeczeństwa”.

Przygotowania do odpowiedzi na realne zagrożenia

Komentując wyżej wymienione ćwiczenia, eksperci Rosyjskiego Instytutu Międzynarodowych Strategii Politycznych i Gospodarczych (RUSSTRAT) zauważyli, że podobne ćwiczenia związane z „przewidywaniem zdarzeń” przeprowadzone zostały w Stanach Zjednoczonych w przededniu wybuchu epidemii wirusa COVID-19. Osiemnastego października 2019 roku, na bazie Johns Hopkins University w Nowym Yorku, przy udziale Fundacji Billa i Melindy Gatesów oraz Światowego Forum Ekonomicznego, przeprowadzono ćwiczenie Event 201, którego scenariusz związany był z wybuchem pandemii. Organizatorzy ćwiczenia Event 201 zaproponowali partnerom scenariusz, zgodnie z którym w Brazylii pojawił się nowy szczep koronawirusa, który zabił 65 milionów ludzi. Dwa miesiące po tych ćwiczeniach Chiny oficjalnie ogłosiły pandemię koronawirusa. Rosyjscy eksperci zwracają uwagę, że w obecnym ćwiczeniu Collective Strength w Izraelu wzięli udział ponownie przedstawiciele tych samych państw, które uczestniczyły w ćwiczeniu symulującym wybuch epidemii koronawirusa. Sugerują tym samym, że niektóre zachodnie państwa i instytucje przygotowują się z wyprzedzeniem do wydarzeń, które dotkną tym razem światowy system finansowy, jakby zostali o nich uprzedzeni.

Nowoczesna doktryna wojskowa

Niektórzy eksperci uważają, że globalny cyberatak podobny do tego, jaki został zaprezentowany w scenariuszu ćwiczenia Collective Strength, może zrealizować tylko dowództwo cybernetyczne Sił Zbrojnych USA. Skuteczne cyberataki są kluczowym elementem nowoczesnej doktryny wojskowej Pentagonu – w ramach tzw. Trzeciej Strategii Offsetowej (TOS-3), opracowanej przez amerykańskie Centrum Oceny Strategicznej i Budżetowej (CSBA). Trzecia Strategia Offsetowa (Równoważenia) ma na celu zwiększenie znaczenia najskuteczniejszych rodzajów broni we współczesnych warunkach, przede wszystkim broni cybernetycznej. Kluczową rolę we wdrożeniu TOS-3 odgrywa amerykańska firma non-profit MITRE Corporation (Center for Technology and National Security), która działa w obszarze inżynierii systemów i tworzy rozwiązania w interesie rządu USA, przede wszystkim dla Departamentu Obrony. W ramach TOS-3 korporacja ta otrzymała finansowanie z budżetu federalnego o rząd wielkości większe niż np. słynna RAND Corporation[1]. MITRE jest światowym liderem w dziedzinie cyberbezpieczeństwa i jest zaangażowana w projekt cyberwojny Pentagonu, tak zwany Plan X.

Wojna wielodomenowa

Strona internetowa DARPA[2] informuje, że „Plan X to fundamentalny program cyberwojny mający na celu rozwój platform dla Departamentu Obrony do planowania, prowadzenia i oceniania rezultatów cyberwojny…”. W tym celu program łączy zainteresowane społeczności cybernetyczne USA, od środowisk akademickich przez przemysł obronny, przemysł technologii komercyjnych po ekspertów i doświadczonych użytkowników systemów informatycznych.

W ramach Planu X firma MITRE stworzyła między innymi protokoły STIX (Structured Threat Information eXpression) i TAXII (Trusted Automated eXchange of Indicator Information) przeznaczone do identyfikowania cyberzagrożeń. Szczególne miejsce w pracach MITER zajmuje oprogramowanie o strukturze matrycowej ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge), będące rodzajem wirtualnej encyklopedii metod stosowanych przez różnych hakerów. Ta macierz zapewnia kompleksowy wgląd w zachowanie wirtualnych napastników w przypadku naruszenia bezpieczeństwa sieci, ale może być również wykorzystana do ofensywnych operacji w Internecie. W szczególności oprogramowanie ATT&CK może być przydatne w cyberwywiadzie. Jednym z najbardziej ambitnych osiągnięć MITRE, wyraźnie nastawionych na atakowanie, a nie na obronę, jest projekt Unfetter, stworzony wspólnie z Agencją Bezpieczeństwa Narodowego USA (National Security Agency – NSA). Umożliwia on specjalistom ds. cyberbezpieczeństwa identyfikowanie, analizowanie i przeciwdziałanie naruszeniom bezpieczeństwa w sieciach informatycznych przeciwnika. Jak widać nazwy produktów MITRE są symboliczne: Styks (STIX) w starożytnej mitologii greckiej jest nazwą rzeki w podziemnym świecie śmierci, a skrót ATT&CK mówi sam za siebie.

Wśród głównych programów firmy znajdują się również opracowania z zakresu kierowania operacjami tzw. wojny wielodomenowej (Command and Control of Multi-Domain Operations). Oznacza to, że specjaliści MITRE pracują nad stworzeniem jednolitej przestrzeni cyfrowej dla Teatru Działań Wojennych, przy czym główne walki w takiej wojnie toczone będą w przestrzeni wirtualnej, ale zniszczenia strategicznie ważnych obiektów infrastruktury krytycznej będą porównywalne ze szkodami, jakie mógłby spowodować atak rakietowy czy bombowy. Według The New York Times lista celów amerykańskiego Dowództwa Cybernetycznego (Cyber Command) obejmuje „instytucje cywilne i infrastrukturę komunalną… w tym sieci energetyczne, banki i sieci finansowe, transport i telekomunikację”, czyli wszystkie cele, które zostały zidentyfikowane w scenariuszu ćwiczeń Collective Strength.

Amerykańskie Dowództwo Cybernetyczne już wykorzystało osiągnięcia MITRE do ataku na systemy energetyczne Wenezueli i Rosji. W Wenezueli taki atak doprowadził do ogromnych przerw w dostawie prądu w całym kraju i wywołał katastrofę humanitarną. Natomiast, co do Rosji, to według sekretarza prasowego prezydenta Rosji Dmitrija Pieskowa, cyberatak amerykańskich sił zbrojnych na rosyjskie sieci energetyczne w czerwcu 2019 roku, został skutecznie odparty. Wykonanie takiego ataku potwierdził w tym samym czasie The New York Times, powołując się na własne źródła. NYT poinformował również, że już od 2012 r. Stany Zjednoczone zintensyfikowały próby infiltracji systemów zarządzania rosyjskimi sieciami energetycznymi. Jednak obecnie, jak wskazano w materiale, strategia Waszyngtonu stała się bardziej agresywna i ma tendencję do umieszczania z wyprzedzeniem w rosyjskich sieciach, złośliwego oprogramowania.

Autorzy: Robert Nogacki – twórca Kancelarii Prawnej Skarbiec, płk rez. dr inż. Krzysztof Surdyk

Kancelaria Prawna Skarbiec specjalizuje się w ochronie majątku, doradztwie strategicznym dla przedsiębiorców oraz zarządzaniu sytuacjami kryzysowymi.

[1] RAND Corporation (Research ANd Development) – amerykański think tank i organizacja badawcza non-profit, pierwotnie sformowana dla potrzeb Sił Zbrojnych Stanów Zjednoczonych. Założona 14 maja 1948 roku w Santa Monica w Kalifornii na bazie rozpoczętego w końcu 1945 roku wojskowego Projektu RAND (pierwszy raport RAND ukazał się już w maju 1946 roku). W późniejszym okresie organizacja pracowała także dla innych organizacji rządowych i komercyjnych. Obecnie RAND posiada około 1600 pracowników w sześciu siedzibach – trzech w USA oraz trzech w Europie. Zdaniem niektórych nazwa RAND jest skrótowcem od Research ANd Development (badania i rozwój). Korporacja RAND jest znana z dużego wkładu w naukę, zwłaszcza w metody ilościowe, na polu m.in. badań operacyjnych, rozwoju badań nad sztuczną inteligencją czy Internetu. Obecnie RAND prowadzi badania w tak różnych dziedzinach jak: obronność i terroryzm, stosunki międzynarodowe, edukacja czy zdrowie publiczne.

[2] Defense Advanced Research Projects Agency – DARPA (Agencja Zaawansowanych Projektów Badawczych w Obszarze Obronności) – amerykańska agencja rządowa zajmująca się rozwojem technologii wojskowej działająca w strukturach Departamentu Obrony.