Hackers of bedrijven met uitstraling: interview met Mikko Hypponen

Mikko Hypponen staat in de securitywereld bekend als een goeroe die zijn gelijke niet kent. Zelf begon hij als programmeur, met een gezonde interesse voor ethisch hacken. Nu werkt hij al 25 jaar als Chief Research Officer bij F-Secure, een cybersecuritybedrijf in Finland. In zijn 25 jaar aan het roer heeft hij het landschap sterk zien veranderen. Wij vroegen hem naar de staat van vandaag, of we een spelletje kat-en-muis spelen en wat we mogen verwachten in de toekomst.

Beginnen doet Hypponen met zijn opluchting te uiten: al jaren raadt hij bedrijven aan om een groter budget vrij te maken voor het voorkomen van datalekken. “Ze hebben eindelijk door dat het efficiënter is om deze te voorkomen dan achteraf de kosten te moeten dekken,” zegt Hypponen. Al voegt hij daar meteen aan toe dat er, ondanks de opmars van de CSO (Chief Security Officer), een gebrek aan expertise heerst. “We missen voornamelijk ‘reverse engineers’: mensen die in staat zijn om een cyberaanval te reproduceren om zo te kunnen nagaan waar een zwakke plek zich bevindt.”

Oneerlijk spel

Langs de andere kant vindt Hypponen dat beveiligingsexperts vandaag de dag genoeg knowhow hebben om te kunnen omgaan met de meeste problemen. De reden dat hackers toch steeds weer een voorsprong weten op te bouwen, ligt dan ook niet per se bij de opleiding van onderzoekers, maar simpelweg aan het feit dat hackers het spel niet eerlijk (hoeven te) spelen.

“Het is doodnormaal dat we steeds achterlopen: zij hebben maanden, soms jaren de tijd om een systeem te analyseren en hun geliefkoosde pijnpunt uit te kiezen. Daar kan je niet op anticiperen, want dat zou betekenen dat hackers geen job hadden. Een systeem zonder fouten bestaat niet,” meent Hypponen.

De aanwerving van een CSO noemt Hypponen alvast een goede stap, maar daar mag het niet eindigen: “Het bestuur van een bedrijf heeft geen idee waar het zich moet tegen verdedigen, dat is de taak van de CSO.” Daardoor komt er een grote druk terecht op de schouders van de verantwoordelijke voor beveiliging; als hij niet de juiste focus weet te leggen, maakt het niet uit hoeveel een bedrijf spendeert aan beveiliging.

Internet der Dingen

Voor zijn toekomstprognose kijkt Hypponen in dezelfde richting als Sophos-collega James Lyne. Het Internet of Things komt eraan en brengt een heleboel beveiligingsproblemen met zich mee. Terwijl Lyne het eerder had over het gevaar van een gehackt keukentoestel dat creditcardgegevens kan bezitten, bekijkt Hypponen het vanuit een ander perspectief: “Ik ben niet bang van gehackte toestellen, wel bieden ze een makkelijke en rechtstreekse verbinding met het netwerk van de gedupeerde.”

Het grotere gevaar is echter dat niemand zich er echt druk om lijkt te maken. “Bedrijven trekken zich vooralsnog niets aan van deze toestellen. Lyne zegt dat de beveiliging van deze toestellen tien jaar achterloopt, wel, ik zeg dat het nog veel erger is.” Hypponen geeft overigens ook mee dat meer en meer bedrijven een Bitcoin-portefeuille achter de hand houden, voor het geval ze tegen ransomware aanlopen: “Onderhandelen interesseert hen dan niet; tijd is geld, zo snel mogelijk weer normaal draaien krijgt dan alle prioriteit.”

Malware op maat

Een andere trend die immers sterk opkomt, heet malware op maat. Ransomware maakt grote sier als hack bij uitstek. Daarbij valt op dat wie moeite heeft met het betalen van het losgeld, daarbij goed geholpen wordt. “Op dat vlak hebben de hackers er natuurlijk alle baat bij om goed voor de dag te komen: als ze geen goede klantendienst aanbieden, zullen mensen minder snel geneigd zijn om te betalen voor hun data,” meent Hypponen.

De hackers zelf zijn overigens ook goed voorzien van klantendiensten: ze kunnen eerst en vooral al kiezen welk ransomwarepakket ze inkopen om aanvallen mee uit te voeren. Komen ze dan nog een probleem tegen, dan is een oplossing maar een telefoontje verwijderd. “Alle hackers, van onderuit tot de bovenste gelederen, gaan meer en meer als bedrijven denken. Daarbij speelt reputatie een grote rol. Waarom zou de klant voor jouw software betalen/waarom zou een slachtoffer er moeten voor kiezen om te betalen in plaats van gewoon op te geven?”

De hackers die de aanvallen uitvoeren denken bijvoorbeeld na over de software die ze gebruiken, investeringen die ze willen doen, voorzien in een goede klantendienst, allemaal met één doel: ‘happy victims’. Verder maakt het hen totaal niet uit wie ze in hun netten weten te vangen, in tegendeel: ze zijn daar zelfs erg nuchter in.

“Zo’n aanval is nooit specifiek tegen een persoon of instantie gericht. Eens iemand besmet is, gaan ze kijken hoeveel computers er aan een netwerk hangen, waarna ze hun prijs gaan bepalen. Iemand met één computer zal veel minder moeten betalen als een kleine onderneming met 50 netwerktoestellen.”

Bovendien zegt Hypponen dat de hackers geregeld ook water bij de wijn doen: “Op hun forum, want een goeie groep hackers met blije klanten heeft uiteraard een forum om hulp te verstrekken, komen geregeld mensen hun verhaal doen. ‘Ik heb maar een klein, armtierig bedrijf, ik kan het losgeld niet betalen.’ Dan bespreken ze de situatie en komen ze terug met een nieuw, verlaagd voorstel. Iets is immers beter dan niets.”

Cyberterrorisme

Met de bloederige aanslagen in Istanboel werd nog maar eens duidelijk dat de wereld vandaag in de greep zit van het ongenadige kalifaat IS. Daarnaast werden bovendien al enkele cyberaanvallen waargenomen die het IS-handelsmerk leken te dragen, al werd al snel duidelijk dat niet de terroristen, maar Rusland achter die ongein zat. Toch vragen wij ons af of IS niet van plan is om zijn oorlog ook op internet te gaan voeren?

Hypponen beaamt dat de situatie wordt gemonitord door vele beveiligingsexperts, overheden en inlichtingendiensten. “Het is iets waar terroristen momenteel wel degelijk mee bezig zijn, en ons bijgevolg redelijk nerveus maakt,” weet Hypponen. “Bovendien verslechtert de situatie: nu ze terrein verliezen in Syrië, kunnen we wanhopige acties verwachten.”

Er zijn echter ook hoopgevende tekens: hackers en malware-agentschappen weigeren vooralsnog mee te werken met terroristen. “Hackers moeten ervoor zorgen dat ze een goede naam hebben, als ze willen dat hun slachtoffers meewerken en betalen. Samenwerken met terroristen past helemaal niet in dat plan. Bovendien hebben zelfs hackers een geweten,” geeft Hypponen nog mee.

België slechtste van de klas

Als uitsmijter bespraken we ook kort de resultaten van enkele recente onderzoeken, waaruit blijkt dat Belgen het slechtst scoren op vlak van phishing- en andere aanvallen. Dat terwijl onze buurlanden het steevast veel beter doen. “Trek het je niet aan,” zegt Hypponen, “statistieken geven vaak niet het volledige beeld weer. Waar komen de cijfers vandaan? Zijn er gebieden waar Belgen wel sterker scoren dan de buurlanden? Zelf geloof ik niet in cultuurverschillen op dat vlak; alle mensen zijn hetzelfde.” En laat dat een troost zijn.