แฮกเกอร์ถูกจับได้และต้องรับผิดชอบอย่างไร?

ด้วยข่าวเกี่ยวกับแฮกเกอร์รัสเซียมีอิทธิพลต่อการเลือกตั้งประธานาธิบดีสหรัฐหลายคนในสื่อได้สงสัยว่าเราระบุตัวตนแฮกเกอร์อย่างไร มีหลายวิธีที่ผู้เชี่ยวชาญด้านไซเบอร์เซキュリティ สามารถหาแหล่งที่มาของการแฮกได้

ที่อยู่ IP (IP Addresses)

วิธีแรกและชัดเจนที่สุดในการติดตามแฮกเกอร์คือด้วยที่อยู่ IP ของพวกเขา ตอนนี้ แฮกเกอร์ที่มีคุณค่าจะใช้ที่อยู่ IP ที่ขาดข้อมูลที่มีความหมาย พวกเขาจะทำงานผ่าน Tor, ผ่าน VPN หรือแม้แต่ในพื้นที่สาธารณะ แต่ลองสมมติว่าแฮกเกอร์ที่เราต้องการติดตาม ไม่ค่อยมีประสบการณ์มาก หรือพวกเขาเปิดเผยที่อยู่ IP ของพวกเขาโดยไม่ได้ตั้งใจ การหาพวกเขาด้วย IP อาจทำงานได้แบบนี้:

1. แฮกเกอร์บรรลุวัตถุประสงค์ของพวกเขา (อะไรก็ตาม) แต่ทิ้ง Logs ที่แสดงการเข้าถึงเครือข่ายจากที่อยู่ IP เฉพาะ

2. บริษัทหรือบุคคลที่ถูกแฮก ส่ง Logs นั้นให้執法機關

3. เจ้าหน้าที่บังคับคดี สั่งโจทก์ ISP ให้หาว่าใครเป็นเจ้าของ IP Address นั้น หรือใครใช้อยู่ในเวลาที่โจมตี นักสืบสามารถเชื่อมโยง IP Address นี้กับสถานที่จริง

4. หลังได้ Warrant (หมายนำ) นักสืบเดินทางไปสถานที่จริงที่ IP บ่งชี้ และเริ่มสืบสวน

5. หากแฮกเกอร์ของเราโง่จริงๆ นักสืบจะพบหลักฐานการแฮกทุกที่ หากเป็นเช่นนั้น จะเป็นคดีสั้นๆ ก่อนที่แฮกเกอร์จะถูกส่งคุกเพื่ออาชญากรรมของเขา

แน่นอนว่าด้วยแฮกเกอร์ส่วนใหญ่ทำงานผ่าน Proxy ที่อยู่ IP ที่เจ้าหน้าที่บังคับคดีได้จะไม่ชี้ให้พวกเขาไปที่ไหนที่มีประโยชน์ นั่นหมายความว่าพวกเขาต้องใช้เทคนิคอื่น หรือรอให้แฮกเกอร์ทำผิดพลาด

การตามหยั่งยืน (Following Breadcrumbs)

เมื่อสืบสวนแฮกเกอร์ที่มีทักษะ ฟอเรนซิกคอมพิวเตอร์เกี่ยวข้องกับการหาความผิดพลาดเล็กๆ และหลักฐานรอบข้าง (Circumstantial evidence) คุณจะไม่มีที่อยู่ IP ชี้ธงแดงใหญ่ไปที่บ้านของผู้โจมตี แทนที่จะเป็นเช่นนั้น คุณจะมี Breadcrumbs (ขนมปังปอน) เล็กๆ มากมาย ที่ช่วยให้คุณเดาได้ดีว่าใครเป็นผู้กระทำที่น่าจะเป็น

ความซับซ้อนของการแฮกอาจจำกัดผู้กระทำที่เป็นไปได้ให้เหลือเพียงผู้เชี่ยวชาญระดับสูง สำนักงานข่าวกรองสหรัฐเก็บบันทึกการโจมตีเก่า และเชื่อมโยงกับแฮกเกอร์เฉพาะ แม้จะไม่รู้ชื่อและที่อยู่ของพวกเขา

ตัวอย่างเช่น กฎหมายสหรัฐเรียกแฮกเกอร์ DNC ว่า APT 29 หรือ Advanced Persistent Threat 29 เราอาจไม่รู้ชื่อหรือที่อยู่ของเขา/เธอ แต่เรายังสามารถ Attribute (อ้างว่า) การแฮกเป็นของเขา/เธอ ได้จาก Style, Modus Operandi (วิธีทำ) และซอฟต์แวร์แพ็กเกจ

ประเภทของซอฟต์แวร์แพ็กเกจที่ใช้ในการแฮกอาจเสนอ Pattern "Signature" ตัวอย่างเช่น แฮกเกอร์หลายคนใช้ซอฟต์แวร์แพ็กเกจที่ปรับแต่งสูง บางตัวสามารถ Trace ย้อนกลับไปยังหน่วยงานข่าวกรองของรัฐ ในการแฮก DNC นักสืบฟอเรนซิกพบว่า SSL Certificate ที่ใช้ในการแฮก เหมือนกับที่ข่าวกรองทหารรัสเซียใช้ในการแฮกสภาประชาชนเยอรมนี ปี 2015

บางครั้งมันคือสิ่งเล็กๆ นิดหน่อย อาจจะเป็นวลีแปลกๆ ที่ซ้ำในการสื่อสารสุ่ม ที่ผูกมัดการแฮกกลับไปที่บุคคลเฉพาะ หรืออาจจะเป็น Breadcrumb เล็กๆ ที่ทิ้งไว้โดยซอฟต์แวร์แพ็กเกจของพวกเขา

นั่นคือหนึ่งในวิธีที่การแฮก DNC ถูกเชื่อมโยงกับรัสเซีย นักสืบของ Exploit สังเกตว่า บาง Word Documents ที่แฮกเกอร์ปล่อยออกมา แสดง Revision โดย User ที่มี Word เวอร์ชันภาษารัสเซีย และชื่อผู้ใช้ Cyrillic เครื่องมือที่มี Bug แม้แต่นั้น สามารถเปิดเผยตำแหน่งของแฮกเกอร์ได้ โปรแกรม DDoS ยอดนิยม Low Orbital Ion Cannon เคยมี Bug ที่เปิดเผยตำแหน่งของผู้ใช้

การทำงานตำรวจแบบดั้งเดิม (Old-fashioned police work) ช่วยหาแฮกเกอร์ได้อีก เป้าหมายเฉพาะอาจช่วยระบุผู้กระทำ หาก執法機關 กำหนดแรงจูงใจเบื้องหลังการโจมตี อาจเป็นไปได้ที่จะ Attribute แรงจูงใจทางการเมือง หากการแฮกมีประโยชน์อย่างน่าสงสัยต่อกลุ่มหรือบุคคลใดกลุ่มหนึ่ง มันชัดเจนว่าต้องมองที่ไหน แฮกเกอร์อาจกำลัง Funnel (โอน) เงินเข้าบัญชีธนาคาร และอาจ Trace ได้ แฮกเกอร์ก็ไม่ได้มีภูมิคุ้มกันต่อการ "รatting" (จับหนู/ลับลับ) กันและกันเพื่อรอดชีวิตตัวเอง

สุดท้าย บางครั้งแฮกเกอร์แค่บอกคุณเอง มันไม่แปลกที่จะเห็นแฮกเกอร์โชว์ (Brag) บน Twitter หรือ IRC เกี่ยวกับ Exploit ล่าสุดของพวกเขา

หากนักสืบสามารถติดตาม Breadcrumbs ได้พอ พวกเขาสามารถเริ่มสร้างภาพที่สมบูรณ์ขึ้น และพยายามมือถึงที่อยู่ IP ที่มีความหมาย

การจับกุมแฮกเกอร์

การรู้ Code name ของแฮกเกอร์เป็นอย่าง การจับกุมพวกเขาจริงๆ เป็นอีกอย่าง บ่อยครั้ง การจับกุมแฮกเกอร์ ลงท้ายที่ความผิดพลาดเล็กๆ นิดหน่อย หัวหน้า Lulzsec ชื่อ Sabu ตัวอย่างเช่น ถูกจับเมื่อเขาลืมใช้ Tor ล็อกอิน IRC เขาทำผิดพลาดแค่ครั้งเดียว แตเพียงพอสำหรับหน่วยงานที่เฝ้าระวังเขา เพื่อกำหนดตำแหน่งจริงของเขา

สรุป

執法機關 以 惊人 的 多样性 找到 骇客 往往 取决于 犯罪者 所犯 的 微小 但 关键 的 错误