Tak jak staram się nie przepuścić żadnej ciekawej bezpieczniackiej konferencji, tak dopiero w tym roku, po czterech latach od inauguracji, trafiłem w końcu na Oh My H@ck. Bezdyskusyjnie - było warto!
Jeśli dobrze pamiętam, to główną przyczyną mojej nieobecności na wcześniejszych edycjach był fakt, iż odbywały się one - co jest rzadko spotykaną sytuacją - w weekendy. Co do merytoryki to nigdy nie miałem wątpliwości, że będzie świetnie. Gdy bowiem połączymy patronat Zaufanej Trzeciej Strony i Adama Haertle z nieodłącznie kojarzoną od kilkunastu lat z organizacją świetnych konferencji Proideą - może być tylko doskonale. Na szczęście w tym roku kwiat krajowego cyberbezpieczeństwa zaproszono do sal konferencyjnych PGE Narodowego w trakcie tygodnia pracy.
Jak zostać uznanym dietetykiem
Wiecie, czym jest reportaż uczestniczący, zwany również wcieleniówką? To materiał, w którym dziennikarz dołącza do opisywanej grupy osób, czy to obserwując ich pracę oficjalnie jako żurnalista, czy też nieoficjalnie. Przykładem mogą być chociaż znakomite książki Pawła Kapusty, od których ciężko się oderwać.
Wyobraźcie sobie zatem zaskoczenie sali, gdy pierwszy prezentujący w ścieżce "Main", Piotrek Zarzycki, z którym mam przyjemność i zaszczyt pracować w zespole CERT Orange Polska, przedstawił wyniki wcieleniowego... researchu. Przebadać bowiem wszystkie komentarze w serwisie Znany Lekarz to jedno, ale... zrobić uprawnienia dietetyka, by móc zgodnie z regulaminem założyć tak konto i sprawdzić bezpośrednio, czy możliwe jest kupowanie komentarzy, to już wyższy poziom trollingu tzn. badania. Fakt zaś, że takie uprawnienia można uzyskać w cztery dni, mogę Wam tylko pozostawić do przemyśleń własnych. Pomijając jednak śmieszkowanie, badania Piotrka i współpraca z analizowanym serwisem to wzór tego typu aktywności. Krótko podsumowując - obie strony współpracują w kierunku wspólnego celu, czyli wykluczenia fałszywych komentarzy w serwisie. Korzystamy na tym wszyscy, bowiem w będącym jednym z efektów tych prac serwisie... Znany Ściemniacz każdy może sprawdzić, jak duże jest prawdopodobieństwo, że lekarz, którego usługami jest zainteresowany, kupował komentarze.
Oh My H@ck, czyli dużo treści, mało czasu
Jedynym chyba problem tegorocznego Oh My H@ck był fakt, iż organizatorzy przeznaczyli na konferencję zaledwie jeden dzień, dzieląc tematy na aż sześć ścieżek! W efekcie jeśli ktoś przemyślał sprawę wcześniej, chodził głównie na wykłady "Live only", do pozostałych bowiem uczestnicy mają dostęp w formie nagrań. Ja niestety sprawy nie przemyślałem, więc ominęła mi zajmująca dwa 45-minutowe sloty prezentacja chłopaków z Dragon Sectora o tym co producent pociągów potrafi robić, żeby... Dobra, nie będę więcej pisał, bo sprawa jest mocno śliska. Poczytajcie o co chodzi na Zaufanej, mocno polecam!
Zajrzałem za to do Łukasza Siewierskiego, który ciekawie opowiadał o tym, jak radzić sobie z dezinformacją w sieci. Zachęcał też, by konsekwentnie tłumaczyć i próbować edukować nawet osoby, które cechuje odporność na przyswajanie merytorycznych argumentów.
Wpadłem też jak zawsze do Adamów: Lange, który do spółki z Agatą Ślusarek kolejny raz zaglądał specjalnie dla nas w głąb cyberprzestępczych kampanii i Haertle, który - wyjątkowo emocjonalnie, jak na siebie - wyjaśniał, czemu zła rada, dotycząca cyberbezpieczeństwa, kierowana do zwykła internautów, może być nawet gorsza, niż jej brak.
Uważaj, co wysyłasz do VirusTotala
Kilka rzeczy zanotowałem też na prezentacji Filipa Marczewskiego z NASK, opowiadającego o tym, jakie rzeczy ludzie potrafią wrzucać na VirusTotal (a do których mają dostęp posiadacze płatnych kont...). Jak myślicie, skąd się biorą phishingi z prawdziwą korespondencją? Cóż - odruchowe wrzucanie na VT wszystkiego co wydaje się choć trochę podejrzane, bez cienia refleksji... Chyba nie sądzicie, że przy kupowaniu konta na VirusTotal pojawia się checkbox "Czy jesteś oszustem?". Przez pewien czas do VT trafiały też informacje o przelewach BLIK z jednego z banków na nr telefonu, z dedykowanym linkiem. Takim, który mógł kliknąć każdy, wpisać swój numer telefonu i odebrać (niekoniecznie swoje) pieniądze. Na wniosek Filipa właśnie ten bank nie pozwala już na takie przelewy.
W końcówce konferencji odwiedziłem jeszcze kolegów z zespołu. Irek Tarnowski zaglądał za kulisy prowadzonych przez GRU grup APT (dodając niepostrzeżenie do ciekawostek elementy edukacyjne). Na koniec zaś Grzesiek Zembrowski i Michał Łopacki (to ich widzicie na zdjęciu) opowiadali o zwyczajach żywieniowych phishingowych domen, czyli uchylali kotary za którą pracuje nasza CyberTarcza. W skrócie - jest dobrze. Jednak wciąż niemało domen, tych blokowanych na szczeblu krajowym, trafia na cenzurowane już po tym, gdy ktoś na nie wejdzie.
Do zobaczenia na Oh My H@ck za rok
Przechodząc między sesjami usłyszałem grupkę osób, wieszczących, że:
Za rok to Oh My H@ck potrwa godzinę. Ale będzie mieć sześćdziesiąt tracków...
Mimo wszystko mam nadzieję, że tak nie będzie, a zainteresowanie konferencją spowodują, że za rok spotkamy się na dwa dni. Mnie na pewno tam nie zabraknie. Tegoroczna konferencja była tak gęsta od merytoryki, że aż łyżka stała. Nie żałuję ani minuty.
Beata Giska 
Michał Rosiak 
Ewa Wróbel 
Komentarze