Kevin Mitnick: jak najbardziej poszukiwany hacker uczył firmy IT

Chłopak, który hakował darmowe przejazdy autobusem

Kevin Mitnick zaczynał skromnie. Jako nastolatek z Los Angeles nie interesował się komputerami w sensie technicznym - fascynowało go to, jak działają systemy i jak można je oszukać. Pierwszym jego hakiem nie był atak na serwer, ale na system biletowy komunikacji miejskiej. Odkrył sposób na darmowe przejazdy autobusem, wykorzystując informacje wyciągnięte od kierowcy o systemie dziurkowania biletów.

To był zapowiedź stylu, który uczynił go legendą: Mitnick nie łamał haseł siłowo, on je wypraszał. W latach 80. przeniósł swoje zainteresowania na phone phreaking, czyli manipulowanie systemami telefonicznymi, by wykonywać darmowe połączenia i podsłuchiwać rozmowy. Szybko zorientował się, że najskuteczniejszym narzędziem hakera nie jest kod, a telefon i odpowiednio dobrane słowa.

Inżynieria społeczna jako broń doskonała

To, co odróżniało Mitnicka od typowych hakerów jego czasów, to mistrzowskie opanowanie inżynierii społecznej (social engineering). Zamiast szukać dziur w kodzie, dzwonił do pracowników firm telekomunikacyjnych, podając się za technika, administratora albo nowego pracownika, i po prostu prosił o dane dostępowe. Ludzie mu wierzyli, bo znał żargon branżowy, wewnętrzne procedury i potrafił brzmieć jak ktoś uprawniony do pytania.

• Podawał się za pracownika działu IT, żeby wyciągnąć hasła od innych pracowników
• Zdobywał wewnętrzne numery telefonów i procedury, by uwiarygodnić kolejne telefony
• Włamał się do systemów takich firm jak Pacific Bell, Motorola, Nokia i Sun Microsystems
• Kopiował zastrzeżone oprogramowanie i kody źródłowe, choć nigdy nie sprzedał ani nie wykorzystał ich do zysku finansowego

To właśnie te ataki pokazały światu, że najsłabszym punktem zabezpieczeń nie musi być serwer czy firewall, tylko zaufanie, które ludzie mają do osoby po drugiej stronie telefonu.

Życie w ukryciu i najsłynniejsza pogoń FBI za hakerem

W 1992 roku, po naruszeniu warunków zwolnienia warunkowego, Mitnick zniknął. Przez kolejne dwa i pół roku żył w ukryciu, zmieniając tożsamości, miasta i numery telefonów, jednocześnie kontynuując włamania do systemów korporacyjnych. FBI ścigało go jako jednego z najbardziej poszukiwanych przestępców komputerowych w historii USA.

Polowanie zakończyło się w 1995 roku, kiedy specjalista od bezpieczeństwa Tsutomu Shimomura pomógł namierzyć Mitnicka po tym, jak ten włamał się na jego serwery. Aresztowanie trafiło na pierwsze strony gazet, a sprawa stała się jedną z najbardziej medialnych w historii cyberprzestępczości. Mitnick spędził w więzieniu prawie pięć lat, z czego osiem miesięcy w izolatce, bo prokuratura przekonała sędziego, że mając dostęp do telefonu, mógłby wystartować pociski jądrowe samym gwizdaniem w słuchawkę. Ten absurdalny argument dobrze pokazuje, jak wielką legendą stał się za życia.

Od najbardziej poszukiwanego hakera do konsultanta Fortune 500

Po wyjściu z więzienia w 2000 roku Mitnick miał zakaz korzystania z komputerów i internetu przez kilka lat. Gdy ten zakaz wygasł, zrobił coś, czego nikt się nie spodziewał: założył firmę konsultingową Mitnick Security Consulting i zaczął sprzedawać swoją wiedzę tym samym firmom, które kiedyś atakował.

Testował zabezpieczenia banków, korporacji i agencji rządowych, prowadził testy penetracyjne oparte właśnie na socjotechnice, i pisał książki, które do dziś są lekturą obowiązkową w branży bezpieczeństwa, w tym bestseller The Art of Deception. Zmarł w 2023 roku, ale jego dziedzictwo zostało: udowodnił, że najlepszym obrońcą jest ten, kto wcześniej był najlepszym atakującym.

Co historia Mitnicka mówi dzisiejszym firmom MŚP

Choć minęło ponad 30 lat od jego pierwszych ataków, metody Mitnicka są dziś jeszcze bardziej aktualne. Phishing, vishing i podszywanie się pod dział IT to wciąż najczęstsza droga wejścia dla przestępców, tylko teraz zamiast telefonu wykorzystują e-mail, SMS-y i coraz częściej deepfake głosowy generowany przez AI.

Dla małej i średniej firmy wniosek jest prosty: żaden firewall nie obroni przed pracownikiem, który sam poda hasło osobie dzwoniącej z podszytego numeru. Kluczowe jest połączenie technologii z regularnymi szkoleniami z rozpoznawania manipulacji, jasnymi procedurami weryfikacji tożsamości i ograniczeniem uprawnień, tak by jedna udana rozmowa telefoniczna nie otwierała dostępu do całej infrastruktury firmy.