Eelmisel reedel rullus üle maailma uudis ajaloo suurimast kübervargusest. Väidetavalt Põhja-Koreaga seotud häkkerid varastasid 6,3 miljardi dollari väärtuses krüptovaluutat. Paljudele tuleb ilmselt üllatusena, aga stalinistlik riik, kus keskmisel kodanikul pole arvutit ega nutitelefoni, tegeleb süsteemselt küberkuritegevusega, millega saavad pihta ka eestlased. Selle ohvriks langes hiljuti ka arvutiekspert Tõnu Samuel.

"Kui sulle tuleb kallale Põhja-Korea või Vene luure, ei vehi nad punase viisnurgaga ega kanna pilotkat," ütles küberekspert Tõnu Samuel. Ta on legendaarne endine häkker, kes on figureerinud aastate jooksul erinevates lugudes. Hiljuti sattus 54-aastane arvutiekspert afääri, kus Põhja-Koreaga seotud häkkerid püüdsid varastada krüptoraha ja -saladusi. Kõik algas, kui 16. septembril kirjutas eestlasele platvormil LinkedIn keegi Muhammad Raza, kes esitles end Dubais elava tehisintellektiettevõtte juhina ja pakkus tööd.

"Jutt oli laias laastus selline, et mul on äge profiil, oskan ja teen kõike. Ta kiitis alguses ja ütles, et neil on projekt, mis sisaldab väga palju märksõnu. See oli esimene punane lipp. Kui inimene kuhjab sind märksõnadega üle, on ta tavaliselt petis," meenutas Samuel.

"See ongi skeemi mõte, et see kohandatakse õigele inimesele vastavalt tema profiilile ja oskustele," selgitas Riigi Infosüsteemi Ameti (RIA) analüüsi- ja ennetusosakonna analüütik Nikolai Kunitsõn. "Tõnu tuvastas kiiresti, et tegemist on kahtlase skeemiga, ja mängis kaasa. Nii saime täpsemat infot, kuidas see toimib."

"Kiri algas märksõnadega tehisintellekt ja plokiahel, mis tegelikult ei ütle midagi," rääkis Samuel. Ta on oma LinkedIni profiilis märkinud, et on krüptoga tegeleva ettevõtte peainsener. Tööpakkuja kiri polnud asjatundmatu, aga sisaldas sisutühje ja aegunud fraase. "Tööpakkujad on vahel imelikud. Selle pealt ma raha teeningi, et nad on võib-olla rumalamad ja saan neile midagi müüa. Kui ma kõik sellised ära saadaksin, läheks mõni hea äri kaotsi," tõdes ta.

"Seal oli jälle punaseid lippe. Kiri tuli Dubaist, aga ettevõte, mida ta väitis end esindavat, oli Argentina oma," märkis Samuel.

Kunitsõn ja endine PPA küberkuritegude büroo pealik, praegune taustauuringufirma Glazer Technologies tegevjuht Ago Ambur kinnitavad, et tegu on ühe Põhja-Korea ründeskeemiga. "Põhja-Korea on imelik riik, millel on umbes 12–13 korda rohkem elanikkonda ja SKP kolmandiku võrra väiksem kui Eestis, aga kübermaailmas on nad suured tegijad," ütles Kunitsõn. "Kahjud on sadades miljonites, kui mitte miljardites aastas, mis maailmast kokku kraabitakse ja ringiga režiimini jõuavad," lisas Ambur.

Ehkki asjatundjate seas polnud nad varem tundmatud, pälvisid Põhja-Korea häkkerid esimest korda ülemaailmset tähelepanu anekdootlikult. Sony Pictures väntas filmi "Intervjuu", kus pilati Põhja-Korea diktatuuri ja naljatleti juhi atentaadi üle. Aastal 2014, vahetult enne esilinastust, langes Hollywoodi kompanii arvutiründe ohvriks. "Kõigile üllatuseks ründasid Põhja-Korea häkkerid Sonyt, häkkisid sisse ja avalikustasid sisemise kirjavahetuse, põhjustades väga palju piinlikkust," rääkis Kunitsõn. "Suurem eesmärk oli survestada filmi linastumisest loobuma või seda edasi lükkama, kuid tänu sellele sai film palju rohkem tähelepanu," lausus Ambur.

"Arvati, et nad suutsid sellisele erafirmale midagi sellist teha. Kaks aastat hiljem tegid nad aga põneva operatsiooni, rünnates rahvusvahelises maksesüsteemis SWIFT nõrkust, mille olemasolust ei teatud. "Nad viisid ründe filigraanselt läbi ja jäid vahele ainult tobeda trükiveaga. Vastasel juhul oleks neil õnnestunud varastada üle miljardi dollari," selgitas Kunitsõn.

Kuigi Hiina ja Venemaa on võimsad küberspionaažis, on Põhja-Korea eripära süstemaatilise rahavarguse riiklik toetamine. Kõige sagedamini seostatakse nendega rühmitust Lazarus Group, mis levitas 2017. aastal üle maailma tiiru teinud ja ka Eestit tabanud WannaCry lunavara. Kui algul võis huvi olla ideoloogiline ja Põhja-Korea ei ütle ära ka saladuste varastamisest, on ekspertide sõnul põhieesmärk raha teenimine.

"Põhja-Korea on maailmas üks enim sanktsioneeritud riike. Tänu küberruumis toimuvale on neil võimalik sanktsioonidest kõrvale hiilida ning põhieesmärk on rahastada režiimi ja relvastusprogramme," rääkis Kunitsõn.

"Midagi müüa nad ei saa ja neil polegi midagi müüa. Krüptoraha varastamine on tänapäeval lihtne – varastad kilobaidi jagu andmeid ja saad miljoneid," tõdes Samuel. "Hinnangutel, mis suure tõenäosusega alahindavad ulatust, on nad aastate jooksul varastanud kuus kuni kaheksa miljardit dollarit," lisas Kunitsõn.

Ka Eesti pole jäänud puutumata. Kaitsepolitsei kirjutas juba 2021. aasta aastaraamatus, et Põhja-Korea küberründed sihtisid meie diplomaate ajal, mil Eesti oli ÜRO julgeolekunõukogu ajutine liige. Välisluureamet pühendas viimases aastaraamatus Põhja-Korea agressiivsusele eraldi peatüki. Seni suurim rahaline kahju tekitati Eestiga seotud ettevõtetele kolm aastat tagasi.

"Föderaalne Juurdlusbüroo (FBI) on 2023. aasta ründed kahe Eestiga seotud ärikeha vastu omistanud avalikult Põhja-Korea häkkeritele. Sealt varastati umbes 150 miljonit dollarit," ütles Ambur.

"Me pole Põhja-Korea prioriteet, kuid mida rohkem meie IT-sektor areneb ja inimesed krüptovara koguvad, seda enam jõuab siia ka nende tähelepanu," märkis Kunitsõn.

Viimasel ajal on kõneainet andnud skeemid, kus kasutatakse inimlikku eksitamist. Mitmes lääneriigis on paljastatud, kuidas Põhja-Koreaga seotud isikud munsterdasid end IT-spetsialistidena kaugtööle. "Varastatud identiteetide abiga kandideeritakse tööle, tehakse proovitöö ja töötatakse kaugelt. Enamasti Hiinas või Venemaal elavad põhjakorealaste grupeeringud, kelle ainus töö ongi muudkui kandideerida," selgitas Kunitsõn. "Teine suund on see, et meie töötajad võivad kokku puutuda võltsvärbajatega, kes teenivad Põhja-Korea huve ja üritavad inimesi õnge võtta," lisas Ambur.

Just sellise värbaja otsa sattus Samuel. Pärast kirjavahetust lepiti 22. septembriks kokku videokõne Google Meetis. "Sekundiks ilmus ekraanile kiilakas mees, kes tundus välimuse järgi pigem araablane," meenutas Samuel. "Ta ütles, et lülitab kaamera välja, sest internet on aeglane. See oli minu jaoks ohumärk."

Oli veel rida kummalisi detaile, kuid edasi tuli proovitöö. "Ta palus avada repositooriumi. Tarkvarainimeste keeles on see koht, kust saab kogu lähtekoodi korraga kätte," rääkis Samuel. "Proovitöö tegemises ei ole midagi erilist. Üldjuhul tähendab see, et arendaja peab levinud platvormilt, näiteks GitHubist, alla laadima programmijupikesi, et näidata oskusi," lausus Kunitsõn.

"Paluti see asi lahti võtta. Arendajatel on tavaline tööriist nimega Cursor. Mul oli see juhuslikult paigaldatud, kuigi ma polnud seda aastaid avanud. Tegin failid lahti ja täpselt sel hetkel mu masin nakatus," meenutas Samuel. "Tarkvara sees oli jada, mis ei ütle esmapilgul isegi täisprofessionaalile midagi. See ei tundunud kahtlane, aga tegelikult lõi kood ühenduse ja hakkas käsklusi ootama," selgitas ta.

"See üllatas ja isegi vihastas mind – on aasta 2026 ja meil on arvutis tarkvara, mis ei hoiata, kui kood teeb midagi lubamatut," ütles Samuel. "See ongi skeemi võlu ja valu. GitHubist alla laaditud koodijupp tundub legitiimne ning skeemide taga olevad isikud on tehniliselt väga võimekad. Seepärast räägibki RIA laiem ennetuskampaania, et ei tohi vajutada tundmatutele linkidele," rõhutas Kunitsõn.

Õnneks oli Samuel kasutusele võtnud kaitseabinõud. Kuna ta töötab tundlike klientidega, huvitas teda, kas küberkurjategijad püüavad kätte saada saladusi või raha. "Minu jaoks oli oluline küsimus, kas rünnatakse mind isiklikult või laiemalt. Jälgisin asja ja sain aru, et otsiti ainult raha – krüptorahakotte ja muud sarnast," sõnas ta.

Samuel rookis pahavara arvutist välja ja koostas detailse raporti, mille saatis RIA-sse ja asjaosalistele platvormidele. RIA on tänaseks saanud samasuguseid teateid kolmelt kannatanult Eestis, kellest üks kaotas 10 000 euro väärtuses krüptoraha, ning avaldas 20. oktoobril hoiatuse. Välismaa platvormide reaktsioon märgukirjale oli leigem.

"Google lükkas detailse kirjelduse tagasi, öeldes, et e-kiri on liiga kahtlane. GitHub võttis teate vastu ja kustutas pahavara, mis oli õige samm. LinkedIni profiil on aga kuu aega hiljem endiselt lahti," lausus Samuel. "Pärast pikka tüütamist teatas LinkedIn, et nad panid hoopis minu konto kinni, sest see on kompromiteeritud ja ma pean passi koopiaga isikut tõendama. Tegelikult mu konto kinni pole – nad ei saa üldse aru, mida nad teevad."

"Ma lihtsalt küsin, kas on uudiseid, tahaks näha, kas ta üldse vastab," kirjutas Samuel otse-eetris võltskontole, kuid vastust ei tulnud. Taustauuringu abil selgub, et tegu on võltsidentiteediga, kuhu on segatud päris isikud. Nägu kuulub Pakistanist pärit, aga Dubais elavale Muhammad Raza Shakeelile, kelle kontodele sisse murti. Ettevõte, mida ta justkui esindas, küll tegutses, kuid lõpetas paar aastat tagasi ja mees pole seal kunagi töötanud. "Identiteedid luuakse nullist fiktiivsele baasile, kasutatakse kellegi teise netis levinud identiteeti või siis kasutavad värbajad ära kandidaatide endi andmeid," selgitas Ambur.

Kõigi märkide järgi ei tea pakistanlane, et põhjakorealased püüdsid tema näoga eestlast ja ilmselt paljusid teisi tüssata. Asjatundjate sõnul ei ole Eesti eraldi sihtmärk, aga kuna maailm on võrgustunud, oleme löögi all. Eriti ohtlik on, et ründed sihivad IT-spetsialiste.

"Saad kätte reaalse peainseneri, kellel on ligipääsud kõikjale, kes nakatab terve firma ja töötajad omakorda järgmised kohad. Risk on väga suur ja ma ei näe head vasturohtu," lausus Samuel.

Need sõnad osutusid prohvetlikeks. Intervjuu toimus neljapäeval ja järgmisel ööl murdsid väidetavad Põhja-Korea häkkerid ühte suurimasse krüptobörsi Binance ning varastasid 6,3 miljardi dollari väärtuses krüptovaluutat. "See on pika puuga ajaloo suurim rahavargus. Eelmine oli samuti Põhja-Koreale omistatud 1,5 miljardit. Arvatakse, et esmane sissetung süsteemi saadi ühe kompromiteeritud arendaja arvuti kaudu," märkis Kunitsõn.

Viimaste uudiste kohaselt mängis ründes keskset rolli sarnane võltstööpakkumine nagu see, mille sai Samuel. "Rünnakud arenevad: praegu on see tööpakkumine, homme tullakse teise nurga alt ja äratundmise võimalused kahanevad järsult. Ründed on aina kavalamad ja nende äratundmine on peaaegu võimatu," tõdes Samuel.

Eelmisel nädalal tuli järjest teateid, et mitu infotehnoloogiaga seotud ettevõtet koondab inimesi. See tähendab, et uut tööd otsides võivad nad olla haavatavas positsioonis.