Robak Morrisa 1988: student, który przypadkiem sparaliżował sieć

Eksperyment, który wymknął się spod kontroli

Robert Tappan Morris, 23-letni doktorant informatyki na Cornell University, nie planował ataku na internet. Chciał odpowiedzieć na pytanie, które w 1988 roku wydawało się czysto akademickie: jak duża jest tak naprawdę sieć ARPANET? Napisał program, który miał się samodzielnie rozprzestrzeniać między komputerami, ukrywać swoją obecność i raz na jakiś czas raportować, ile maszyn udało mu się dosięgnąć.

Problem polegał na jednym szczególe technicznym. Morris zaprogramował robaka tak, by przed zainfekowaniem maszyny sprawdzał, czy nie jest już na niej obecny - miał to ograniczyć powielanie. Obawiał się jednak, że administratorzy będą tworzyć fałszywe procesy udające infekcję, żeby oszukać robaka. Dodał więc mechanizm, który co jakiś czas i tak instalował kopię, nawet gdy wykrył istniejącą. Efekt był odwrotny od zamierzonego - jedna maszyna mogła zostać zainfekowana dziesiątki razy, aż jej zasoby się wyczerpywały.

Jak działał pierwszy prawdziwy robak internetowy

Robak Morrisa nie miał w sobie żadnego złośliwego ładunku - nie kradł danych, nie usuwał plików, nie żądał okupu. Rozprzestrzeniał się wykorzystując trzy niezależne słabości, które dziś nazwalibyśmy klasycznym łańcuchem ataku:

• Błąd przepełnienia bufora w programie fingerd, pozwalający na zdalne wykonanie kodu
• Backdoor debugowania w serwerze pocztowym sendmail, który miał ułatwiać testy, a w praktyce otwierał drzwi każdemu
• Słabe i powtarzane hasła odgadywane metodą słownikową oraz nadmierne zaufanie między maszynami w usługach rsh i rexec

To połączenie znanego błędu w oprogramowaniu, funkcji serwisowej pozostawionej przez producenta i słabej higieny haseł brzmi zaskakująco znajomo - to właśnie ten sam schemat leży u podstaw większości ataków obserwowanych w firmach niemal 40 lat później.

Dziesięć procent internetu offline w jedną noc

W 1988 roku do internetu podłączonych było około 60 tysięcy komputerów na całym świecie. Szacuje się, że robak zainfekował od 6 do 10 tysięcy z nich - w praktyce sparaliżował dziesiątą część istniejącej sieci. Administratorzy uniwersytetów, laboratoriów badawczych, NASA i instytucji wojskowych masowo odłączali swoje maszyny od sieci, żeby zatrzymać rozprzestrzenianie się infekcji.

Ponieważ robak agresywnie powielał się na tych samych komputerach, procesory były zajęte w stu procentach, a systemy stawały się bezużyteczne jeszcze zanim ktokolwiek zdążył zdiagnozować przyczynę. Szacunki strat finansowych wahają się od 100 tysięcy do nawet 10 milionów dolarów - głównie przez czas pracy administratorów i utracone godziny działania systemów badawczych.

Proces, który zdefiniował prawo komputerowe

Morris został pierwszą osobą skazaną na podstawie amerykańskiej ustawy Computer Fraud and Abuse Act z 1986 roku - prawa, które wcześniej praktycznie nie było testowane w sądzie. Sąd uznał, że nie chciał on wywołać szkód, ale zaniechanie właściwego zaprojektowania mechanizmu ograniczającego powielanie było wystarczające do skazania. Wyrok obejmował grzywnę, nadzór kuratorski i prace społeczne - bez kary więzienia.

Dalsza kariera Morrisa jest równie interesująca jak sam incydent. Stał się profesorem w MIT i współzałożycielem funduszu Y Combinator, który później sfinansował firmy takie jak Airbnb, Dropbox czy Reddit. Rzadko który sprawca pierwszego poważnego cyberatak w historii kończy jako uznany naukowiec i inwestor w Doliny Krzemowej.

Narodziny reagowania na incydenty - powstanie CERT

Najtrwalszą konsekwencją ataku nie był wyrok sądowy, lecz reakcja instytucjonalna. Agencja DARPA sfinansowała powstanie CERT/CC (Computer Emergency Response Team Coordination Center) w Carnegie Mellon University - pierwszej w historii organizacji zajmującej się koordynacją reagowania na incydenty bezpieczeństwa w sieci. To właśnie od tego wzorca wzięły początek dzisiejsze zespoły CSIRT i SOC działające w firmach i instytucjach na całym świecie.

Robak Morrisa pokazał też coś więcej - że rozproszona, otwarta sieć bez centralnego nadzoru jest z natury podatna na incydenty, które rozprzestrzeniają się szybciej niż ludzie są w stanie na nie reagować. To lekcja, która ukształtowała całą filozofię bezpieczeństwa sieciowego na kolejne dekady.

Co ten incydent mówi firmom w 2026 roku

Mechanizm, który sparaliżował internet w 1988 roku, jest dziś podręcznikowym przykładem tego, jak drobne zaniedbania kumulują się w poważny incydent. Nieaktualne oprogramowanie, pozostawione przez producenta funkcje serwisowe i słabe hasła współdzielone między systemami wciąż odpowiadają za znaczną część ataków na małe i średnie firmy.

Różnica jest jedna - dziś nie trzeba czekać, aż ktoś odłączy cały internet, żeby ograniczyć szkody. Regularne aktualizacje, monitorowanie serwerów i audyt konfiguracji pozwalają wychwycić podobne słabości zanim staną się problemem. Zespół NovaSys od lat pomaga firmom z Wrocławia domykać właśnie takie furtki, zanim ktoś je wykorzysta.