Становление финансовой корпорации «Сайберкрайм и сыновья»

По весне я решил себе на дачу заказать семена морковки. Зашел в Интернет-магазин, набрал себе товара в корзину и нажал кнопку оплатить… И тут я в очередной раз столкнулся с проявлением ну не то чтобы совкового бизнеса, сколько с непониманием владельцев Интернет-магазина основ ведения бизнеса в Интернете. Они мне предложили на выбор два (всего два) варианта оплаты — квитанцией Сбербанка и наложенным платежом Почтой России. Квитанция Сбербанка (а у меня нет счета в Сбере, что заставило бы меня идти в отделение пешком) и оперативной Почтой России. Никакой оплатой по карте. Никакой доставки курьером. Разумеется, я отказался от этого Интернет-магазина, который потерял в моем лице клиента, возможно, постоянного.

У современной киберпреступности совсем иная модель ведения бизнеса. Они прикладывают все усилия для того, чтобы получить ваши деньги. Вот, например, варианты, предлагаемые авторами одного из шифровальщиков. Да, биткойны есть не у всех. Так вот вам альтернативные схемы оплаты.

Это примета современной киберпреступности, которая научилась не просто считать деньги, но выстраивать правильные бизнес-модели, вкладывая минимум и очень быстро получая отдачу при невысоких первоначальных инвестициях. Но, по-прежнему, в среде специалистов по ИБ, несильно погруженных в тему именно борьбы с киберпреступностью, бытует мнение, что киберпреступность — это сообщество одиночек; патлатых хакеров, клацающих по клавиатуре в ночи, сидящих в засранной чипсами и банками пива комнате в засаленной толстовке, самостоятельно пишущих вредоносный код, внедряющих его, крадущих деньги и сразу их обналичивающих в банкомате соседней аптеки (при покупке глазолина для слезящихся глаз от ночной работы за мерцающим монитором дешевенького ноутбука).

Реалии же совсем иные. Киберпреступность — это хорошо организованное сообщество, жестко подчиненной одной цели — заработать (кибертерроризм, киберэкстремизм, хактивизм и спецслужбы мы оставлим пока в стороне). И для этой цели выбираются лучшие из представленных на рынке бизнес-моделей, которые не просто копируют, а иногда и превосходят то, что происходит в легальном бизнесе. Ведь киберпреступники не скованы никакими ограничениями. Им не надо платить налоги, получать лицензии, проходить проверки и т.п. Они динамичны, скрытны и умны. И чтобы с ними бороться, надо это понимать.

Именно поэтому в 2011-м году для первой ZeroNights я подготовил презентацию по бизнес-моделированию киберпреступности. Но после ее прочтения засели во мне сомнения. Слишком молода была аудитория ZN и слишком горящи глаза, смотрящие на то, как заработать на своих знаниях и умениях ломать. После этого я эту презентацию читал только один раз в Киеве, считая, что учить киберпреступников зарабатывать не совсем правильно. Но время шло и спустя 6 лет я вновь вернулся к этой теме. Поразмыслив, я понял, что скрывать это все равно бессмысленно. Эта информация не является секретной и ее можно найти в Интернет, не говоря уже о Darknet. Поэтому существенно переработав материал я его прочитал для образовательного проекта Сбербанка в апреле этого года.

А тут меня пригласили на Payment Security в Питер (я уже писал, что это оказалось офигенным мероприятием), где я решил прочитать материал, модифицировав его и добавив новых примеров, появившихся у меня за последние два месяца. Эти две недели я все думал, выкладывать презентацию или нет (некоторые коллеги говорили мне в Питере, что это хорошее учебное пособие для преступников), но потом все-таки решил, а почему бы и нет. Все-таки после принятия в 3-м чтении законопроекта о безопасности критической инфраструктуры и повышении срока наказания за атаки на критическую инфраструктуру (а многие банки могут таковыми стать) до 10 лет лишения свободы, ситуация поменялась и люди, задумавшиеся о том, чтобы встать на темный путь, могут передумать (хотелось бы, чтобы так и было). Поэтому я принял решение о выкладывании своей презентации, что и делаю: