Spadek chińskich cyberataków: historia kryjąca się za liczbami

Zeszłego lata publiczność składająca się z urzędników państwowych, personelu wojskowego i ambasadorów zagranicznych zebrała się w Aspen w stanie Kolorado, aby wysłuchać Johna Carlina, wówczas zastępcy prokuratora generalnego, mówiącego o cyberatakach. Aspen Security Forum, które odbywa się co roku w zapierającym dech w piersiach kurorcie w Górach Skalistych, jest rodzajem wydarzenia, podczas którego miłośnicy bezpieczeństwa narodowego wybierają się na wędrówki w koszulkach i szortach, a następnie wymieniają się historiami wojennymi nad wodą cytrynowo-malinową i kulkami z superfoods . Wiadomość o włamaniu do Komitetu Narodowego Demokratów rozeszła się zaledwie dzień wcześniej i wielu miało nadzieję, że Carlin, która kierowała śledztwem w sprawie incydentu, może otwarcie o tym mówić. Zamiast tego opowiedział o oskarżeniu Departamentu Sprawiedliwości wobec pięciu hakerów z Jednostki 61398 Chińskiej Armii Ludowo-Wyzwoleńczej za szpiegostwo komercyjne – w 2014 r. (patrz „Koszmar cyberszpiegostwa”).

Chłopięcy, wyszkolony na Harvardzie były prokurator, Carlin nadzorował wysiłki departamentu zmierzające do wyeliminowania szpiegostwa gospodarczego, zanim ustąpił na początku tego miesiąca. W czerwcu firma FireEye zajmująca się cyberbezpieczeństwem opublikowała raport opisując znaczny spadek od początku 2013 r. w liczbie ataków komercyjnych z Chin, które są największym źródłem takich ataków. Firma sporządziła wykresy ataków na klientów na całym świecie przez 72 grupy, które albo mają siedzibę w Chinach, albo sądzą, że reprezentują chińskie interesy państwowe. Od połowy 2014 roku analitycy zaobserwowali wyraźny spadek aktywności. Urzędnicy wywiadu po cichu powtórzyli to twierdzenie.

Dla niektórych w administracji Obamy jest to dowód na to, że używanie zarówno marchewek, jak i kijów do zwalczania chińskiej kradzieży własności intelektualnej – co Carlin nazwał podejściem opartym na wszystkich narzędziach – działa. Aktom oskarżenia i tak zwanemu nazywaniu i zawstydzaniu towarzyszyły sankcje gospodarcze i działania dyplomatyczne, w tym porozumienie między prezydentem Obamą a Xi Jinpingiem z września 2015 r. dotyczące powstrzymania się od przeprowadzania lub wspierania cyberkradzieży własności intelektualnej. To podejście jest gigantycznym znakiem „zakaz wstępu”, powiedział Carlin. To „Zejdź z naszego trawnika”.

Ale inni nie są pewni, że rząd USA powinien otrzymać tak duży kredyt. Postrzegany spadek liczby ataków z Chin rodzi pytanie: dlaczego? Byli urzędnicy rządowi i eksperci ds. cyberbezpieczeństwa przedstawiają teraz szereg teorii – w tym prowokacyjną, która kwestionuje stopień, w jakim kiedykolwiek istniało zwykłe komercyjne cyberszpiegostwo, w przeciwieństwie do bardziej ukierunkowanego szpiegowania technologii i zdolności wojskowych, w które angażuje się wiele narodów. priorytet chińskiego rządu centralnego.

Nie ma wątpliwości, że chiński rząd inwestuje dużo energii w kradzież wszystkiego, od planów dotyczących amerykańskich myśliwców po 22 miliony rekordów przechowywanych przez Biuro Zarządzania Personelem, lub że zrobił niewiele, aby ścigać komercyjnych szpiegów. Ale niektóre z bardziej komercyjnych ataków przeprowadzonych przez jednostkę 61398, jak utrzymuje ta teoria, mogły być iluzjami, podczas gdy inne mogły nigdy nie mieć wyraźnego poparcia ze strony Pekinu.

Sceptycy obfitują

Pięciu członków Chińskiej Jednostki Armii Ludowo-Wyzwoleńczej 61398 zostało oskarżonych przez Departament Sprawiedliwości USA o szpiegostwo handlowe w 2014 roku.

W 2013 roku były dyrektor FBI, Robert Mueller, wezwał do podjęcia szeroko zakrojonych wysiłków na rzecz wyeliminowania cyberzagrożeń i szukania ciepłego ciała za klawiaturą. Przemawiając w Brookings Institution dzień po ujawnieniu aktu oskarżenia Unit 61398, Carlin powiedziała, że ​​biurom udało się umieścić twarz na tym ciepłym ciele – a raczej na pięciu z nich. Zdjęcia tych mężczyzn, znanych pod pseudonimami, takimi jak KandyGoo i UglyGorilla, zostały rozrzucone na plakatach z napisem: Poszukiwany przez FBI.

Akt oskarżenia oznaczał zerwanie ze standardową praktyką dyplomatyczną, polegającą na niepoddawaniu czynnych funkcjonariuszy wojskowych innych krajów ściganiu karnym, i wielu w Waszyngtonie przyjęło to ze sceptycyzmem. Niektórzy wątpili, czy zarzuty będą uzasadnione, podczas gdy inni wskazywali, że stanowisko Departamentu Sprawiedliwości w sprawie szpiegostwa handlowego – że zbieranie ogólnych informacji gospodarczych jest rutynową sztuką państwową, a zatem akceptowalną, podczas gdy szpiegowanie na rzecz konkretnych firm nie – jest różnicą kilku innych. kraje uznają. Benjamin Wittes, starszy pracownik Brookings, zastanawiał się nawet, czy posunięcie Departamentu Sprawiedliwości może być po prostu bardzo wyrafinowaną formą legalnego PR.

Wątpliwości utrzymywały się we wrześniu 2015 r., po ogłoszeniu chińsko-amerykańskiego sojuszu. porozumienie. Niektórzy uważali, że zobowiązanie Xi do powstrzymania się od wspierania komercyjnego hakowania było niczym więcej niż tylko gołosłownym deklaracją. Dyrektor National Intelligence James Clapper powiedział: Wiadomości obronne w tym czasie osobiście jestem trochę sceptykiem.

Jednak z biegiem czasu analitycy cyberbezpieczeństwa zauważyli ciekawą zmianę. W swoim ostatnim raporcie firma FireEye rozpoczęła działalność w lutym 2013 r., czyli miesiącu, w którym firma Mandiant zajmująca się wywiadem zagrożeń (obecnie należąca do FireEye) publicznie powiązała jednostkę 61398 z silnie strzeżonym budynkiem w Szanghaju. Przez kolejne lata analitycy FireEye rejestrowali ataki na klientów w USA, Japonii i Europie. Ataki osiągnęły szczytowy poziom nieco ponad 70 miesięcznie we wrześniu 2013 r. Na początku września 2015 r., zanim Obama i Xi podpisali umowę, ich liczba spadła do 10 miesięcznie, co sprawiało, że porozumienie wyglądało jak przypis w obozie z Chinami.

Wszystko wskazuje na to, że Chiny dostosowały już swoją politykę i podejście, a porozumienie było dla nich wykonalne, ponieważ zmieniły już kierunek, mówi Daniel McWhorter, główny strateg wywiadu i wiceprezes FireEye. Raport ogranicza się do widoczności firmy i niejasnych szczegółów, takich jak pliki, które zabrali napastnicy, ale w kwietniu dyrektor NSA Michael Rogers zeznał, że hacking z Chin spadł. Tymczasem w rozmowie na forum Aspen szef CIA John Brennan powtórzył, że społeczność wywiadowcza odkrywa mniej ataków z Chin. W sierpniu, kiedy FireEye ogłosił, że zwolni około 10 procent swoich pracowników, kierownictwo obwiniało o spowolnienie chińskiej działalności.

Szpiegostwo „odkurzacza”

Plakaty z listami gończymi i fanfary stojące za aktem oskarżenia jednostki 61398 wzmocniły powszechne błędne przekonanie, utrwalane przez programy takie jak Pan Robot , że chińscy hakerzy są wysoce zorganizowani w swoich metodach i narzędziach. W rzeczywistości byli od dawna znani z tego, że byli zdecentralizowani i niechlujni. Eksperci ds. cyberbezpieczeństwa dziwili się kiedyś, że wiele chińskich grup hakerów penetruje ten sam cel, z pozornie niewielką lub żadną koordynacją. Czasami takie grupy popełniały elementarne błędy. W raporcie z 2013 r. dotyczącym jednostki 61398, czyli APT1, który poprzedzał akt oskarżenia Departamentu Sprawiedliwości, Mandiant mógł przypisać ataki Chińskiej Armii Ludowo-Wyzwoleńczej (PLA) po części dlatego, że hakerzy wykorzystali infrastrukturę hakerską armii, która znajduje się poza Wielką Chińską Zaporą Sieciową, aby uzyskać dostęp do swoich osobistych kont na Facebooku i Twitterze.

Wielu uważa teraz, że takie grupy po prostu ograniczyły część hałasu, który czynił je łatwymi do wykrycia. W tym samym czasie Chiny prawdopodobnie przestawiły się ze szpiegostwa „odkurzacza” na bardziej precyzyjnie ukierunkowane włamania i kradzieże, mówi Greg Austin, profesor w EastWest Institute i autor książki Cyberpolityka w Chinach. Hakerzy sponsorowani przez państwo wysysali duże ilości danych, a następnie je później przesiewali. Mogło to sztucznie zawyżyć liczbę ataków komercyjnych, ponieważ hakerzy atakujący technologie podwójnego zastosowania, takie jak panele słoneczne, przeszukali informacje o cenach wraz ze specyfikacjami projektowymi. Przejście na bardziej ukierunkowane szpiegostwo związane z bezpieczeństwem narodowym oznaczałoby zmniejszenie postrzeganych komercyjnych cyberataków.

W międzyczasie w niektórych przypadkach tacy jak UglyGorilla mogli pracować pod stołem, bez wyraźnej zgody rządu centralnego. Akt oskarżenia Unit 61398, na przykład, twierdzi, że jedno przedsiębiorstwo państwowe wynajęło jednostkę do zbudowania „tajnej” bazy danych do przechowywania „wywiadu” korporacyjnego.

Były asystent prokuratora generalnego John Carlin.

Wyjaśnienia te pomogłyby rozwiązać wiele zagadek, od dawna znanych. Podczas gdy Pekin od dawna zachęca do nabywania zagranicznych technologii, a kradzież własności intelektualnej szerzy się wśród chińskich firm, nie jest jasne, w jaki sposób państwo mogłoby aktywnie ułatwiać kradzieże przez firmy. Chiński rząd nie ma głównych sojuszników wywiadowczych i ma szereg priorytetów w gromadzeniu danych wywiadowczych, w tym monitorowanie dysydentów, śledzenie kontrowersji na Morzu Południowochińskim oraz śledzenie aktywistów w Tybecie i Xinjiangu. Nie wiadomo, gdzie szpiegostwo komercyjne znalazłoby się wśród tych priorytetów — ani w jaki sposób informacje wykradzione w ramach ataków sponsorowanych przez państwo mogą być systematycznie rozpowszechniane.

Pomimo bliskich powiązań między chińskim rządem a sektorem prywatnym, w wielu obszarach nie ma oczywistej firmy, która mogłaby otrzymać tajemnice handlowe. Akt oskarżenia Unit 61398, na przykład, zarzuca oskarżonym kradzież tysięcy poufnych plików z amerykańskiej filii niemieckiej firmy SolarWorld AV. Dokument sugeruje, że hakerzy przekazali następnie dokumenty chińskiej firmie lub firmom eksportującym produkty fotowoltaiczne do Stanów Zjednoczonych. Ale około 400 firm pasuje do tego opisu, zauważa Austin.

Pogląd, że PLA, w przeciwieństwie do innego chińskiego podmiotu rządowego, byłaby wyznaczonym arbitrem w sprawie szpiegostwa przemysłowego w sektorze cywilnym, jest zagadką na innym poziomie. PLA miała kiedyś swoje ręce w około 20 000 biznesach, w tym we wszystkim, od firm farmaceutycznych po burdele. Ale od końca lat 90. chiński rząd poświęcił dużo energii na ograniczenie projektów pobocznych armii – w celu skłonienia personelu wojskowego do myślenia o operacjach, a nie transakcjach dotyczących nieruchomości. Od kiedy doszedł do władzy w 2012 roku, Xi Jinping był szczególnie stanowczy w kwestii dorabiania przez wojsko.

Xi zainicjował również kampanię antykorupcyjną, która, choć motywowana politycznie, ujawniła zakres przeszczepu wojskowego. W styczniu 2015 r. 16 starszych oficerów wojskowych zostało objętych dochodzeniem za przestępstwa, które obejmowały sprzedaż wyższych stanowisk i stopni temu, kto zaoferuje najwyższą cenę. Wśród oczyszczonych znalazł się Guo Boxiong, były wiceprzewodniczący niezwykle ważnej Centralnej Komisji Wojskowej. Działania antykorupcyjne w PLA są tak ekstremalne, że alkohol, który jest podstawą oficjalnych bankietów, został zabroniony na przyjęciach wojskowych w nadziei, że zapobiegnie niesmacznym transakcjom, takim jak, powiedzmy, sprzedaż zhakowanych tajemnic handlowych.

Punkt zwrotny

Na tym tle chińskie zobowiązanie do powstrzymania się od ataków komercyjnych we wrześniu ubiegłego roku wydaje się mniej istotne. Nie chodzi o to, że Chiny dostosowują się do umowy, ponieważ przestrzegają umowy, mówi James A. Lewis z Centrum Studiów Strategicznych i Międzynarodowych w Waszyngtonie. unowocześnić PLA i ograniczyć korupcję. Dodaje, że spadek komercyjnego hakowania nie jest znaczącą stratą dla całych Chin, ale jest to olbrzymi strata dla poszczególnych firm i jednostek PLA.

Mimo to działania USA mogły pomóc w osiągnięciu punktu krytycznego dla chińskich przywódców, którzy mogli dobrze wiedzieć o atakach spod stołu i postanowili spojrzeć w inną stronę. Były sekretarz Departamentu Bezpieczeństwa Wewnętrznego Michael Chertoff, obecnie przewodniczący Chertoff Group zajmującej się doradztwem w zakresie bezpieczeństwa, powiedział mi na forum Aspen: Nie wydaje mi się, żeby to było mało prawdopodobne, że wróciło słowo: „Chłopaki, ostudźcie hot-roding. Jeśli jest coś, co warto ukraść, zrób to, ale w sposób, który nie jest taki oczywisty”.

Bez względu na przyczynę należy świętować spadek liczby pozornych ataków, mówi Jason Healey, naukowiec ze Szkoły Spraw Międzynarodowych i Publicznych Uniwersytetu Columbia, który zajmuje się badaniem cyberkonfliktów. Nawet jeśli Chiny po prostu ograniczyły dorabianie przez PLA i udoskonaliły swoje podejście do cyberszpiegostwa, ich obecne podejście jest znacznie mniej eskalacyjne niż było, mówi. Przypomina to bardziej system amerykański: koordynujesz, dowiadujesz się, kto wchodzi. To bardziej sposób, w jaki działa profesjonalna organizacja wywiadowcza.

Trwające rozmowy dają teraz szansę na utrzymanie presji. Dwustronna grupa robocza utworzona w następstwie porozumienia z 2015 roku spotyka się kilka razy w roku. Za każdym razem, gdy rozmawiamy, przypominamy, jak ważne jest przestrzeganie zobowiązania w zakresie cyberbezpieczeństwa, mówi Suzanne Spaulding, podsekretarz stanu w Departamencie Bezpieczeństwa Wewnętrznego, która w czerwcu kierowała delegacją USA do Pekinu. W każdej rozmowie wyjaśniamy naszym partnerom, że uważnie to obserwujemy i, szczerze mówiąc, nie ma w tym zbytniego zaufania publicznego. Zdają sobie sprawę, że jury nadal nie ma.

Mara Hvistendahl jest stypendystką Erica i Wendy Schmidt w New America oraz autorką Dobór nienaturalny: wybieranie chłopców zamiast dziewcząt i konsekwencje świata pełnego mężczyzn . Przez osiem lat zajmowała się Chinami przez Nauka czasopismo i inne publikacje.

ukryć