Na czym polega Crime as a service CaaS – cyberprzestępczość jako usługa?

W obliczu rosnącej ewolucji cyberprzestępczości, której motorem napędowym jest chęć zysku, pracownicy instytucji finansowych zajmujący się przeciwdziałaniem praniu pieniędzy (AML) muszą być na bieżąco z nowymi, zorganizowanymi modelami działalności przestępczej. Jednym z najbardziej niepokojących trendów jest „Crime-as-a-Service” (CaaS), czyli przestępczość jako usługa. Model ten demokratyzuje cyberprzestępczość, obniżając próg wejścia dla osób bez zaawansowanych umiejętności technicznych, jednocześnie umożliwiając doświadczonym przestępcom skalowanie i specjalizację.

Poniższy artykuł szczegółowo wyjaśnia, czym jest CaaS, jak działa, jakie są jego najpopularniejsze odmiany, w jaki sposób jest zorganizowany oraz, co najważniejsze, jak powiązany jest z praniem pieniędzy i jak można skutecznie mu przeciwdziałać.

Czym jest Crime-as-a-Service (CaaS)?

Crime-as-a-Service (CaaS) to model działalności przestępczej, w którym usługi związane z cyberprzestępczością są oferowane i sprzedawane w sposób zorganizowany, podobnie jak legalne usługi biznesowe, takie jak „Infrastructure-as-a-Service” (IaaS) czy „Platform-as-a-Service” (PaaS). Kluczową różnicą jest to, że zasoby udostępniane w ramach CaaS służą do popełniania przestępstw w cyberprzestrzeni.

Ten model sprawia, że jest relatywnie łatwo dla osób rozpoczynających swoją przygodę z cyberprzestępczością, którym często brakuje im doświadczenia i umiejętności technicznych, przeprowadzać ataki cybernetyczne o skali nieproporcjonalnej do ich zdolności, a do tego za cenę, która jest również nieproporcjonalna do potencjalnych szkód. Głównym celem CaaS jest obniżenie progu wejścia dla mniej doświadczonych cyberprzestępców, co prowadzi do wzrostu liczby popełnianych przestępstw.

Usługi CaaS są oferowane głównie za pośrednictwem Darknetu, ale także innych szyfrowanych platform komunikacyjnych, które służą jako centra wymiany usług w ramach całego ekosystemu cyberprzestępczości.

Jak działa model CaaS przestępczość jako usługa?

Działanie modelu opiera się na prostym mechanizmie biznesowym: przestępcy mają możliwość zakupu dostępu do niezbędnych narzędzi i infrastruktury, zamiast samodzielnie je wytwarzać. Oferty te mogą mieć formę abonamentu, jednorazowej płatności lub programów przypominających franczyzę. Często dołączone są intuicyjne panele sterowania, które umożliwiają szeroką konfigurację danej usługi przestępczej.

Co więcej, dostawcy usług CaaS stosują strategie marketingowe podobne do tych znanych z legalnych biznesów IT. Organizują kampanie promocyjne, tworzą strony sprzedażowe swoich usług, oferują zniżki dla stałych klientów i programy lojalnościowe, a nawet udostępniają wersje demo. Niekiedy dostarczają również gwarancje poziomu usług (SLA) w przypadku awarii narzędzi do przeprowadzania ataków, a nawet całodobowe wsparcie techniczne (24/7/365). Dzięki temu specjaliści dostarczający te usługi mogą monetyzować swoje umiejętności, skupiając się na własnych kompetencjach, a nie na bezpośrednim przeprowadzaniu ataków.

Możliwość outsourcingu znaczących części pracy pozwala również doświadczonym cyberprzestępcom koncentrować się na ich kluczowych działaniach, stając się bardziej wydajnymi i wyspecjalizowanymi.

Najpopularniejsze rodzaje usług CaaS

CaaS obejmuje szeroki wachlarz usług, dostosowanych do różnorodnych potrzeb cyberprzestępców. Najpopularniejsze z nich to:

• Ransomware-as-a-Service (RaaS):
  • W tym modelu, producent oprogramowania ransomware oferuje swoje usługi w zamian za procent zysku, jednorazową płatność lub subskrypcję.
  • Osoba nabywająca samodzielnie wybiera cel, inicjuje zainfekowanie urządzenia i prowadzi negocjacje dotyczące okupu, otrzymując od dostawcy usługi wszystkie potrzebne narzędzia. Partnerzy RaaS nie potrzebują własnych umiejętności technicznych do tworzenia oprogramowania, polegają na umiejętnościach operatorów.
• DDoS-as-a-Service (DDoSaaS):
  • Atak DDoS to technika, która polega na zapełnieniu zasobów sprzętowych ofiary poprzez równoczesne generowanie ogromnej ilości zapytań z różnych źródeł.
  • Koszt zlecenia ataku zaczyna się już od kilku dolarów za godzinę, a im lepiej zabezpieczone są zasoby ofiary, tym koszt staje się wyższy.
• Phishing-as-a-Service (PhaaS):
  • Oferowane są wszechstronne usługi do realizacji ataków phishingowych, obejmujące szablony e-maili, infrastrukturę oraz metody utrudniające identyfikację sprawcy.
  • Te systemy mogą także przesyłać zebrane dane do przestępców. Przykładem są fałszywe strony logowania do banków, mediów społecznościowych czy platform e-commerce.
• Malware-as-a-Service (MaaS):
  • Różnorodne typy złośliwego oprogramowania są udostępniane wraz z niezbędną infrastrukturą.
  • Istnieje także możliwość zamówienia wirusa dostosowanego do konkretnej ofiary lub do specyficznych wymagań przestępczych.
  • Ceny dostępu do MaaS wahają się od kilkudziesięciu do nawet kilku tysięcy dolarów miesięcznie, w zależności od rodzaju systemu/aplikacji, poziomu skuteczności, liczby instalacji i lokalizacji.
• Inne usługi: Cyberprzestępczość jako usługa może obejmować także kradzieże tożsamości czy handel cyberbrońmi. W DarkWebie można nawet kupić samouczki i przewodniki dla aspirujących hakerów.

Organizacja i hierarchia w świecie cyberprzestępczości

Cyberprzestępcze gangi są zorganizowane podobnie do wielu legalnych firm, z jasną strukturą organizacyjną. Na forach internetowych, będących kluczowymi platformami dla CaaS, często istnieje sztywna i unikalna hierarchia. Taka struktura z wyznaczonymi rolami i obowiązkami pozwala forom na efektywne samodzielne zarządzanie, kontrolowanie liczby członków i eliminowanie niepożądanych jednostek.

Kluczowe role w tej strukturze to:

• Administratorzy: Zarządzają hostingiem forum, określają jego ogólny cel i kierunek, a także ustalają zasady rekrutacji i zachowania członków.
• Moderatorzy: Nadzorują poszczególne podfora. Są to zaufane osoby, często eksperci w danej dziedzinie, którzy zarządzają treścią i rozstrzygają spory w swojej dziedzinie. Ich rola obejmuje również weryfikację próbek produktów dostarczanych przez sprzedawców.
• Sprzedawcy (Vendors): Oferują szeroki wybór usług i produktów, którymi handlują z członkami forum. Status sprzedawcy zazwyczaj wymaga dostarczenia próbek moderatorom do weryfikacji, a ich produkty są stale recenzowane i oceniane przez klientów. System reputacji i ocen jest analogiczny do tego na legalnych stronach handlowych, z tą różnicą, że dostęp do cyberprzestępców z wysoką reputacją jest trudny.
• Inni specjaliści: W ramach modelu CaaS funkcjonują również programiści, inżynierowie, osoby świadczące wsparcie techniczne, sprzedawcy oraz muły pieniężne, które służą do prania nielegalnie zdobytych zysków poprzez przenoszenie środków na różne konta, utrudniając śledzenie ich pochodzenia.

Najbardziej aktywne fora cyberprzestępczości są zazwyczaj zaludnione przez społeczności rosyjskojęzyczne, choć język angielski jest również powszechnie używany. Wzrost podziemnych forów o różnorodnych narodowościach jest zauważalny.

Dlaczego CaaS staje się tak popularne?

Wzrost popularności wynika z kilku kluczowych czynników, które przekształciły cyberprzestępczość w niezwykle intratny i skalowalny biznes:

• Zmniejszenie progu dostępu: Wykonywanie przestępstw w sieci często wymaga zaawansowanej wiedzy technicznej lub umiejętności manipulacji społecznej.
• CaaS znacząco obniża te wymagania, umożliwiając przestępcom wykupienie dostępu do wszystkich potrzebnych narzędzi i infrastruktury, zamiast samodzielnego ich tworzenia. To oznacza, że praktycznie każdy, mający trochę pieniędzy i złe intencje, może stać się cyberprzestępcą i przeprowadzić groźny atak.
• Skrócenie czasu przygotowania ataku: Dostęp do gotowych narzędzi i infrastruktury znacznie skraca czas potrzebny na przygotowanie ataku i ułatwia jego przeprowadzenie.
• Obniżenie wydatków i poprawa elastyczności: Model CaaS pozwala przestępcom na redukcję kosztów operacyjnych. Zorganizowane grupy specjalizujące się w cyberprzestępczości mogą w ten sposób rozszerzać swoje operacje, zachowując względne bezpieczeństwo przed służbami ścigania. Nie muszą już angażować ekspertów, ponieważ obsługi narzędzi mogą opanować nawet mniej doświadczeni cyberprzestępcy.
• Specjalizacja i efektywność: Dostawcy usług CaaS mogą skupiać się na swoich posiadanych kompetencjach (np. tworzeniu złośliwego oprogramowania), zamiast na samym przeprowadzaniu ataków. To samo dotyczy kupujących usługi – mogą oni skupić się na celowaniu w ofiary, bez konieczności dogłębnego rozumienia technicznych aspektów ataku.

CaaS a przeciwdziałanie praniu pieniędzy AML: Kluczowe powiązania

Model CaaS ma fundamentalne implikacje dla przeciwdziałania praniu pieniędzy (AML), ponieważ generuje znaczne nielegalne przepływy finansowe (IFFs). Dla instytucji finansowych kluczowa jest wiedza o rodzajach tych powiązań.

1. Profesjonalne grupy piorące pieniądze (ML Groups): Przestępcy wykorzystują profesjonalne grupy zajmujące się praniem pieniędzy, które mogą być integralną częścią syndykatu CaaS lub działać jako oddzielne, zdecentralizowane organizacje świadczące usługi prania pieniędzy w modelu „crime-as-a-service”.
2. Zaawansowanie i rekrutacja specjalistów: Syndykaty przestępczości cybernetycznej często składają się z wykształconych i kompetentnych technicznie profesjonalistów. Co więcej, mogą oni celowo rekrutować osoby pracujące w sektorach profesjonalnych, w tym w instytucjach finansowych, aby wykorzystać ich wiedzę i dane do skutecznego przeprowadzenia oszustw i ułatwienia prania pieniędzy.
3. Muły finansowe (Money Mules): Są to kluczowi gracze w procesie prania nielegalnie zdobytych zysków. Są rekrutowani, często przez fałszywe oferty pracy i wykorzystywani do przenoszenia środków między kontami, aby utrudnić śledzenie ich pochodzenia. Międzynarodowe kampanie uświadamiające, takie jak #DontbeaMule Europolu czy #YourAccountYourCrime INTERPOLu, mają na celu walkę z tym zjawiskiem, zwłaszcza że środki mogą być łatwo prane przez muły transgranicznie.
4. Inwestowanie w legalne biznesy: Zyski z działalności CaaS są często reinwestowane w legalne sektory gospodarki, takie jak nieruchomości, branża hotelarsko-gastronomiczna, budownictwo, czy firmy importowo-eksportowe. To służy zarówno do prania pieniędzy, jak i do zapewnienia przykrywki dla nielegalnych operacji. Kryzysy gospodarcze sprawiają, że legalne firmy znajdujące się w trudnościach finansowych stają się szczególnie podatne na przejęcie przez grupy przestępcze, które oferują pożyczki na wysokie oprocentowanie, co ostatecznie prowadzi do stopniowego przejęcia kontroli nad biznesem.
5. „Odwrócone pranie pieniędzy” (Reverse Money Laundering): W tym procesie legalne środki są wykorzystywane do finansowania działalności przestępczej. Jest to szczególnie widoczne w przypadku dużych oszustw VAT, gdzie legalne fundusze są zamieniane na gotówkę lub przepuszczane przez sieć spółek, aby zatrzeć ich pochodzenie.
6. Szara strefa jako źródło finansowania: Nieopodatkowane przychody z pracy nierejestrowanej oraz różne formy unikania opodatkowania stanowią istotne źródła finansowania przestępczości zorganizowanej, zwłaszcza w przypadku oszustw VAT. Większy udział szarej strefy w gospodarce sprzyja większej dostępności finansowania dla przestępczości zorganizowanej, ponieważ nieujawnione dochody mogą być łatwo inwestowane bez konieczności „odwróconego prania pieniędzy”.
7. Wyzwania dla organów ścigania: Tradycyjnie, zbieranie danych wywiadowczych przez organy ścigania skupia się na identyfikowaniu członków grup przestępczych i śledzeniu nielegalnych towarów/usług, natomiast transakcje finansowe są rzadko śledzone. Informacje finansowe są często pomijane, ponieważ są uważane za nieistotne dla ścigania, co wynika z braku wiedzy i doświadczenia agentów na poziomie lokalnym w sprawach finansowych.

Jak skutecznie przeciwdziałać zagrożeniom CaaS w instytucjach finansowych?

Walka z zagrożeniami związanymi z CaaS wymaga wszechstronnego i złożonego podejścia do zabezpieczania zasobów IT oraz finansów. Z uwagi na narastający poziom cyberprzestępczości, instytucje finansowe powinny wprowadzić poniższe strategie:

1. Profesjonalne Security Operations Center (SOC): Podstawową linią obrony powinno być wsparcie profesjonalnego SOC.
2. Kompleksowa ochrona sieci i danych:
   • Firewalle: Gwarantują wszechstronną ochronę przesyłanych danych w sieci, w tym analizę pod kątem malware’u, eliminację spamu oraz zarządzanie dostępem do aplikacji.
   • Ochrona przed atakami DDoS (DDoS Protection): Niezbędna do zabezpieczenia infrastruktury przed przeciążeniem i niedostępnością usług.
   • Oprogramowanie antywirusowe nowej generacji i EDR/XDR: Tradycyjne rozwiązania antywirusowe oparte na bazach sygnatur są niewystarczające wobec szybko ewoluującego złośliwego oprogramowania. Nowej generacji antywirusy, które potrafią wykryć nawet nieznane zagrożenia, działają najskuteczniej w duecie z narzędziami EDR (Endpoint Detection and Response) lub XDR (Extended Detection and Response), które wykrywają każdą podejrzaną aktywność w sieci.
   • Inne usługi bezpieczeństwa: Warto również rozważyć rozwiązania takie jak monitoring incydentów, ochrona poczty elektronicznej, ochrona danych, DNS Shield, Phishing-On-Demand, Managed UTM/NGFW i Managed WAF.
3. Wzmacnianie odporności na social engineering: Ataki CaaS często opierają się na socjotechnice, dlatego kluczowe jest ciągłe szkolenie pracowników w zakresie rozpoznawania i reagowania na próby phishingu, smishingu czy vishingu.
4. Współpraca i wymiana informacji: Kluczowym elementem w walce z CaaS jest wzajemna współpraca i dzielenie się wiedzą między instytucjami finansowymi, organami ścigania oraz innymi podmiotami sektora prywatnego i publicznego.
5. Działania anty-fraud i AML: Procesy zwalczania oszustw i AML są komplementarne. Wykorzystanie technologii do automatycznego odrzucania fałszywych wiadomości, monitorowanie trendów, tworzenie zabezpieczeń kont oraz ostrzeżenia w oprogramowaniu antywirusowym dla potencjalnie fałszywych stron są kluczowe.

Podsumowanie

Crime-as-a-Service to dynamicznie rozwijający się model biznesowy w świecie cyberprzestępczości, który radykalnie zmienia krajobraz zagrożeń dla instytucji finansowych. Poprzez obniżenie progu wejścia i umożliwienie przestępcom outsourcingu wyspecjalizowanych narzędzi i usług, CaaS zwiększa skalę i częstotliwość cyberataków, co ma bezpośrednie przełożenie na ryzyko prania pieniędzy.

Dla profesjonalistów zajmujących się AML kluczowe jest zrozumienie, że przestępcy wykorzystują zarówno zaawansowane techniki, jak i powszechne schematy, takie jak RaaS, DDoSaaS, PhaaS czy MaaS, a także angażują muły pieniężne oraz reinwestują nielegalne zyski w legalne przedsiębiorstwa, maskując ich pochodzenie. Skuteczna obrona wymaga holistycznego podejścia, łączącego zaawansowane rozwiązania technologiczne, takie jak profesjonalne centra operacji bezpieczeństwa (SOC) i nowej generacji antywirusy z EDR, z nieustanną edukacją pracowników i aktywną współpracą międzynarodową w celu wymiany wiedzy i typologii.

Słowniczek kluczowych terminów

• Crime-as-a-Service (CaaS): Zorganizowany model działalności przestępczej, w którym usługi związane z cyberprzestępczością są oferowane i sprzedawane jak legalne usługi biznesowe, udostępniając narzędzia i infrastrukturę do popełniania przestępstw w cyberprzestrzeni nawet osobom z ograniczonymi umiejętnościami technicznymi. Jest często oferowany za pośrednictwem Darknetu i wykorzystuje metody marketingowe znane z legalnego biznesu.
• Ransomware-as-a-Service (RaaS): Usługa w ramach CaaS, gdzie twórca złośliwego oprogramowania szyfrującego dane udostępnia je w zamian za udział w zyskach (zwykle 20-30%), jednorazową opłatę lub abonament. Umożliwia przeprowadzanie ataków z niskim progiem wejścia, nawet bez początkowych środków, często kupowana w Darknecie.
• DDoS-as-a-Service (DDoSaaS): Usługa CaaS, która dostarcza narzędzia i infrastrukturę do przeprowadzania rozproszonych ataków typu odmowa usługi (DDoS), polegających na przeciążeniu zasobów ofiary poprzez masowe wysyłanie zapytań, co prowadzi do niedostępności jej infrastruktury. Osoba zlecająca atak nie potrzebuje własnego botnetu.
• Phishing-as-a-Service (PhaaS): Model CaaS oferujący kompleksowe rozwiązania do przeprowadzania ataków phishingowych, w tym szablony wiadomości e-mail, infrastrukturę oraz rozwiązania utrudniające namierzenie atakującego.
• Malware-as-a-Service (MaaS): Usługa CaaS, w której dystrybuowane są różne rodzaje złośliwego oprogramowania wraz z potrzebną infrastrukturą, z możliwością zamówienia wirusa stworzonego pod konkretną ofiarę lub potrzeby przestępcy.
• Violence-as-a-Service (VaaS): Rozszerzenie modelu „as-a-Service” poza cyberprzestępczość, obejmujące fizyczne akty przemocy, takie jak podpalenia, strzelaniny czy niszczenie mienia, wykonywane na zlecenie przez grupy przestępcze, często rekrutujące w tym celu młodych, wrażliwych ludzi. Europol powołał grupę zadaniową do walki z tego typu sieciami.
• Darknet (Dark Web): Część internetu, która jest celowo ukryta i wymaga specjalnego oprogramowania do dostępu, służąca jako główne miejsce do oferowania usług i narzędzi CaaS, w tym RaaS.
• Botnet: Sieć zainfekowanych komputerów (botów) kontrolowana przez przestępców, wykorzystywana do przeprowadzania rozproszonych ataków, takich jak DDoS, przy czym w modelu CaaS nie jest wymagane posiadanie własnego botnetu – można go wynająć.
• Muły pieniężne (Money Mules): Osoby, które transferują nielegalnie zdobyte środki finansowe na różne konta, aby ukryć ich pochodzenie i utrudnić śledzenie przez organy ścigania, często wykorzystywane w praniu brudnych pieniędzy z cyberataków.
• Zorganizowane Grupy Przestępcze (OCGs): Struktury przestępcze, często wyspecjalizowane, które wykorzystują model CaaS do skalowania swoich działań i monetyzowania umiejętności. Działają podobnie do legalnych firm, z jasną strukturą organizacyjną obejmującą programistów, inżynierów, sprzedawców, wsparcie techniczne i mułów pieniężnych. Ich celem jest osiągnięcie zysku lub innych korzyści materialnych.
• Booter DDoS: Specyficzne narzędzie lub usługa do uruchamiania ataków DDoS, które można wynająć za stosunkowo niską cenę, obniżając barierę wejścia dla potencjalnych cyberprzestępców.

Najczęściej zadawane pytania – Na czym polega Crime as a service – cyberprzestępczość jako usługa?

Zastrzeżenie: Treść niniejszego artykułu ma charakter wyłącznie informacyjny i edukacyjny. Nie stanowi porady prawnej, finansowej ani żadnej innej profesjonalnej konsultacji. Przed podjęciem jakichkolwiek działań opartych na informacjach zawartych w tym materiale, zaleca się skonsultowanie się z odpowiednimi ekspertami.