Šta je zapravo "Kembridž analitika"

Taman kada pomislimo da smo sve već videli i da neće biti nekih većih iznenađenja pojavi se kompanija koja bez reči uzme veliku količinu podataka i pokuša da psihološki utiče na korisnike. Reč je o kompaniji koja drugim kompanijama, ali i političkim partijama i zvaničnicima, nudi mogućnost “uticaja na ponašanje publike“.

Sama kompanija tvrdi da su u mogućnosti da analiziraju velike količine podataka o potrošačima, to uporede sa njihovim ponašanjem i tako dođu do ljudi koji su podložni za uticaj - na primer za koga da glasaju ili da izađu na izbore. 

Firma je osnovana 2013. godine kao deo kompanije “SCL grup“ i velika je šteta što se ovo nije desilo posle 25.05.2018. kada u EU stupa na snagu GDPR direktiva jer bi onda videli kakva bi tada bila reakcija.

A zašto je ta firma bila u svim svetskim medijima?

Zato što je britanski “Obzerver“ objavio da su 2014. akademik Aleksandar Kogan i njegova kompanija “Global Science Research (GSR)“ došli do podataka više od 50 miliona Fejsbuk korisnika, a od kojih je veliki deo uzet bez dozvole korisnika. To je urađeno tako što je više stotina hiljada korisnika dobilo između dva i pet dolara kako bi učestvovali u testu ličnosti i pristali da se njihovi podaci prikupe u akademske svrhe preko Koganove aplikacije “thisisyourdigitallife”. Međutim, aplikacija je prikupljala i podatke o njihovim Fejsbuk prijateljima koji nisu pristali da učestvuju u istraživanju. Kogan je nakon toga podatke podelio sa “Kembridž analitkom“.

Ova ogromna količina podataka je dovela do stvaranja algoritma koji je određivao crte ličnosti koje su povezane s glasačkim preferencijama, pa je dobijena mogućnost identifikacije neodlučnih i kreiranje poruka na koje bi oni mogli da reaguju na određeni način.

“Gardijan” navodi da je Fejsbuk tek krajem 2015. saznao za prikupljanje podataka, ali da nisu obavestili korisnike, već su samo zahtevali da se aplikacija ukloni, a prikupljeni podaci unište. “Gardijan“ takođe piše da su oni uticali na kampanje tri republikanska kandidata za nominaciju na predsedničkim izborima, među kojima je i Tramp.

“Kembridž analitika“ je analizirala milione podataka kako bi indentifikovali birače na koje se najlakše može uticati i da su im slali poruke kako bi ih motivisali da izađu i glasaju. Osim toga, “Gardijan“ piše i da je jedan od Trampovih ljudi i finansijera Robert Mercer dao 15 miliona dolara za finansiranje kompanije “Kembridž analitika“.

Kako je Kembridž analitika optužena za korišćenje nezakonitih metoda?

Britanski Kanal 4 poslao je reportera na tajni zadatak. Reporter je se pretvarao da je biznismen iz Šri Lanke, koji želi da utiče na lokalne izbore.

Direktor Kembridž analitike Aleksandar Niks je navodno snimljen u davanju primera kako njegova kompanija može da diskredituje političke rivale organizacijom negativnih kampanja, ali i susreta s prostitutkama i simuliranjem situacija u kojima navodno podmićivanje može biti zabeleženo kamerom.

Šta kaže kompanija Kembridž analitika?

Kompanija je negirala da radi bilo šta ilegalno, istakli su i da nisu prikupljali Fejsbuk podatke, kao i da ništa od toga nije korišćeno u predsedničkim izborima u SAD 2016. godine. Takođe navode da je sve bilo potpuno u skladu sa svim uslovima koje Fejsbuk ima za korišćenje privatnih podataka korisnika. Kembridž analitika je koristila ProtonMail koji je u vlasništvu švajcarske kompanije koja pruža usluge šifrovane email komunikacije koja nije dostupna nikom drugom osim učesnicima u komunikaciji.

Tehnološki gigant Fejsbuk i kompanija za analizu podataka Kembridž analitika poriču da su prekršile zakon. Međutim Britanski istražitelji su u petak 23.03.2018. kasno uveče pretresli londonske kancelarije kompanije za obradu podataka Kembridž Analitika, koja je u centru kontroverze oko navodne zloupotrebe podataka miliona korisnika društvene mreže Fejsbuk. 

Šta možete da uradite kako biste zaštitili svoje podatke?

Postoji nekoliko stvari koje možete uraditi ako želite da ograničite ko ima pristup vašim podacima.

• Obratite pažnju na aplikacije, pogotovu one koje zahtevaju korišćenje vašeg Fejsbuk naloga za logovanje.
• Koristite bloker reklama.
• Proučite odredbe o bezbednosti na Fejsbuku i saznajte gde ste sve dozvolili pristup. 
• Proverite postavke pojedinačnih aplikacija da utvrdite da li ste dozvolili aplikaciji da ima pristup vašim prijateljima, kao i vašim ličnim podacima.
• Možete da preuzmete kopiju vaših podataka koje Fejsbuk poseduje, iako oni neće biti potpuni. Postoji opcija za preuzimanje na dnu stranice s Opštim postavkama naloga (General Account Settings).

Možete naravno prosto napustiti Fejsbuk i obrisati svoj profil što je uradilo nekoliko poznatih ličnosti a među njima i Ilon Mask koji je obrisao stranice Tesla i SpaceX. Međutim postavlja se pitanje da li je ovo dovoljno jer je ovo samo jedan od događaja koji je pokazao koliko je zapravo opasno davati svoje podatke različitim online kompanijama, društvene mreže su se pokazale kao posebno opasne.

Ono što može biti zaključak jeste da su korisnici sami delom odgovorni za ovo što se dogodilo, ali ne želim da se stekne utisak da to nešto umanjuje odgovornost kompanije Facebook koja nije preduzela dodatne mere iako je znala za incident, zatim samog istraživača koji je svoje podatke ustupio firmi Kembridž analitika koja je na kraju te podatke možda iskoristila na određeni način.

Radni tekst: 10 pitanja o hakovanju objavljen u Politici

1.     Шта је то хаковање? Шта је ново у информационој безбедности и која су нова искуства? Шта је то етичко хаковање?

Хаковање је процес напада на рачунарски систем са циљем да се утиче на његово нормално функционисање. Особе које се баве хаковањем познате су као хакери и у јавности су у великом броју случајева представљени као криминалци. Изузетно је битно истаћи да нису сви хакери криминалци. Постоје хакери који припадају групи "Црни шешири" који јесу криминалци али постоје и они који припадају групи "Бели шешири" или како их још другачије зову и "етички хакери" који нису криминалци већ спроводе тестирање система са циљем да пронађу слабости и пропусте и да о извештај о томе што су пронашли доставе особама које су тражиле такво тестирање што је углавном менаџмент компаније. Битно је истаћи да сви хакери користе исте алате али да се њихов циљ потпуно разликује као и то да ли су имали дозволу да покушају да хакују одређени систем или су то урадили на своју руку.

2.     Који је први корак нападнуте особе или система фирме, компаније?

Ако сумњате да сте мета напада хакера прва ствар јесте да не паничите претерано већ да инцидент што пре пријавите надлежним органима. У Србији постоји посебно одељење МУП-а за високотехнолошки криминал где појединци могу пријавити своје случајеве. Уколико је у питању фирма процес пријављивања инцидента се разликује у односу на то чиме се фирма бави. За већину фирми прва тачка коме сте по закону дужни да пријавите овакав инциденте јесте Министарство за телекомуникације, трговину и туризам -  МТТТ. Ово не важи само у случају да радите новчане трансакције у свом пословању јер онда у том случају прва тачка пријаве јесте Народна банка Србије - НБС. Без обзира на све прво што би требало урадити и пре пријаве инцидента јесте рачунар искључити са мреже како би се евентуално онемогућио наставак напада. На жалост у Србији још увек не постоји Центар за интервентно деловање као што је случај у другим земљама у окружењу познат као ЦЕРТ чији је основни задатак да реагује у оваквим ситуацијама 24/7/365. Додуше агенција РАТЕЛ је формирала овакав центар што је законски регулисано законом о информационој безбедности али његова оперативност још увек није на неком завидном нивоу.

3.     Ко су нападачи?

У последње време показало се да прича о томе да су надачи углавном малолетна лица која хакују из неких гаража са циљем да се докажу је потпуно нетачна. Данас хакери су професионалци који су солидно образовани, раде у "хакерским" фирмама пуно радно време, које их добро плаћају за то што раде. Овакве фирме осим добре плате нуде својим запосленим и низ других погодности о којима ти исти људи не би могли ни замислити на неком другом месту. Осим овога и одређене земље као што су на пример Кина али и неке друге имају своје сајбер армије које служе за ратовање и шпијунске операције. Задатак оваквих специјалних војних јединица је да онемогуће рад неког система или да дођу до поверљивих информација битних за државну безбедност и војно деловање. Јавно је познато да Кина има преко 200.000 сајбер ратника и то је званична информација док за неке друге земље можемо само нагађати.

4.     Има ли спаса од напада и хакера?

Одговор на ово питање је изузетно тешко дати. Моје лично мишљење је да ако смо довољно битни не постоји начин да се 100% заштитимо. За просечног човека ако се придржава неких смерница доброг понашања које су познате као "сајбер хигијена" и не наседају на различите покушаје преваре можемо рећи да су релативно добро заштићени. Међутим уколико причамо о неком ко је по нечему специфичан и још ако је област којом се бави занимљива сајбер нападачима ситуација се из корена мења. Желим да истакнем да чак и компаније које имају најсавременије и најскупље системе заштите нису 100% сигурне јер за правог нападача увек постоји начин.

5.     Због чега хакери нападају системе и које?

Циљеви напада могу бити различити. Од тога да се привремено онемогући рад неког система, до тога да се дође до поверљивих информација који се налазе на рачунару. Одавно смо прешли из индустријског у информационо доба када највећу вредност на тржишту више немају машина и опрема већ "њено величанство" информација. Каже се као има информације тај има и моћ што се показало као изузетно тачно ако погледате како данас изгледа светски поредак.

6.     Зашто нападају компјутере појединаца?

Хакери генерално скоро никада немају као крајњи циљ напад на рачунар појединца већ компаније. Ово не важи једино ако је та особа из неког разлога изузетно важна због свог реномеа или информација које поседује. Међутим хакери никада када креирају одређени вирус не могу да знају где ће он завршити када се инфекција прошири. Наравно они би волели да то буду рачунари корпорација али се на жалост често дешава да то буду и наши кућни рачунари. Уколико заразе рачунар појединца и на неки начин закључају податке што је познато као "рансомваре" напад онда ће цена бити знатно нижа рецимо око 300$ за разлику од тога ако је у питању фирма где цена може бити неколико десетина или стотина пута већа. Углавном хакери слабо могу да зараде на рачунарима појединаца али им такви рачунару добро послуже за даље ширење вируса на друге рачунаре.

7.     Примере најбоље праксе и одличне препоруке за ефикасну заштиту

Што се тиче примера најбоље праксе и неких препорука које би могли дати читаоцима ово су рецимо ствари које никако не би требало радити јер могу угрозити безбедност рачунара:

• коришћење лоших односно слабих лозинки (свака лозинка би требало да буде најмање 8 карактера дуга и треба да садржи комбинацију малих слова, великих слова, специјалних симбола и бројева)
• отварање прилога имејл порука од особа које не познајемо
• убацивање у рачунар УСБ диска који смо негде нашли или нам је неко дао
• нередовно ажурирање оперативног система рачунара али и осталих инсталираних програма као и програма за заштиту "Антивирус"
• посета сајтова са сумњивим садржајем

Ово су само неке ствари које никако не би требало да радите а осим овога има још доста тога што превазилази обим овог текста.

8.     Како сагледати свој систем безбедности из угла нападача?

Да би компанија могла да сагледа тренутно стање свог система безбедности потребно је ангажовати компанију која се бави услугом познатом као пенетрационо тестирање. Овакво тестирање врше етички хакери који имају дозволу од стране управе компаније која ће на крају добити детаљан извештај о томе какво је стварно стање безбедности њихових система. Ово је изузетно битно јер ако не знате које су вам слабе тачке нисте у могућности ни да се адекватно штитите.

9.     Шта хакери користе, како размишљају, који је њихов циљ и како стижу до нас?

Хакери су углавном изузетно интелигенте особе које користе озбиљне алате за које је потребно доста времена и труда да се савладају како би се могли употребљавати. Осим познавања алата потребно је доста добро познавати и људску психу како би се неопрезан корисник натерао на неку акцију. Показало се да преко 85% напада је изазвао управо човек својом непажњом јер је насео на неки трик који су хакери припремили за њега. Постоје тако прецизно усмерени напади где се игра са човековом психом какве обичном човеку никада не би ни на памет пале. Оно сто свакако у великом броју случајева игра улогу јесте лажно представљање које може да створи неку привидну сигурност код особе која треба да изврши одређену акцију на рачунару.

10.Како да знамо да је наш компјутер или систем сигуран?

На ово питање се не може одговорити. Чак и ако имамо инсталиран најновији оперативни систем, плаћен антивирус програм и на рачунару радимо веома пажљиво и пратимо упутства стручњака и даље не мора да значи да смо сигурни. Дешава се да постоје одређени проблеми о којима чак ни произвођачи софтвера и хардвера нису свесни и који су познати као "0 деј" или "зеро деј" и који се могу веома скупо продати у мрачном делу интрнета познатом као "дарк нет". Такође било је примера и да су произвођачи уградили у саме уређаје као што су лаптоп рачунари или мобилни телефони чипове који служе за шпијунажу односно омогућавају да се без знања корисника информације шаљу са рачунара на одређену локацију. Ово је изузетно опасно јер овакве акције пошто се не врше на нивоу програма нису видљиве за антивирус програме и није их могуће спречити или открити.

Објављено у Политици 18.03.2018.

Новинар: Бранка Јакшић