взлом
Старая шутка гласит: «Лотерея — налог для людей, плохо разбирающихся в математике». Для тех же, кто в науках силен, она, наоборот, может стать источником заработка, пусть и весьма сомнительного, и мы не имеем в виду организаторов лотерей!
Красивая цифра для привлечения внимания: $16,5 миллиона составил джекпот по билету, который герой нашей истории получил, заранее зная выигрышную комбинацию.
История первая: «Злоупотребление случаем»
В США близка к развязке интригующая детективная история, которая тянется уже целое десятилетие. В 2006 году американские правоохранительные органы заинтересовались, откуда у техасского мирового судьи Томми Типтона (Tommy Tipton) взялись полмиллиона долларов в банкнотах с последовательными номерами (отслеживание номеров купюр — один из способов борьбы с оборотом криминальных денег).
Согласно материалам суда, Типтон объяснил, что выиграл эти деньги в лотерею, но получил их не лично, а через своего друга, которому за эту своеобразную услугу отдал 10% от суммы. Трюк этот, со слов Типтона, понадобился, чтобы о выигрыше не узнала его жена, с которой судья якобы был на грани развода. Правоохранители этим ответом удовлетворились, и расследование было прекращено.
Один нюанс, правда, от следствия ускользнул: брат везунчика, Эдди Типтон (Eddie Tipton), в то время работал в организации, участвующей в проведении лотерей во многих штатах (Multi-State Lottery Association). Там он отвечал за информационную безопасность и являлся одним из разработчиков компьютерной системы, которая — внимание! — генерировала выигрышные номера.
Выяснилось это, однако, гораздо позже, когда организаторы лотерей в разных штатах зафиксировали «эпидемию скромности» среди победителей. Так, в 2011 году выигравший джекпот счастливчик признался, что заявленный им победный билет на самом деле принадлежит его родственнику, которому, в свою очередь, передал билет уже упоминавшийся Томми Типтон. За долю от приза Типтон просил утаить выигрыш от своей супруги, с которой он все никак не мог развестись. Розыгрыш этого приза проводился с помощью системы, созданной и поддерживаемой его братом.
Работник лотерейной ассоциации взломал систему изнутри и «выиграл» более $8 млнhttps://t.co/wexFGhbgC2 pic.twitter.com/aqbpBwaoXH
— Журнал Хакер (@XakepRU) December 21, 2015
Еще в одном случае в том же 2011 году за выигрышем в $16,5 миллиона обратился гражданин Канады, который хотел получить его как представитель владельца билета, пожелавшего остаться неизвестным. В ходе расследования организаторы лотереи обратились к общественности с просьбой опознать на видеозаписи камеры наблюдения человека, купившего выигрышный билет. Сразу несколько человек по голосу узнали в покупателе Эдди Типтона. Впоследствии по данным о совершенных звонках правоохранители установили связь между ним и посредниками в получении выигрыша.
Эти улики и стали основой выдвинутых против Эдди Типтона обвинений в мошенничестве. В 2015 году он был признан виновным и приговорен к десятилетнему тюремному сроку, но был отпущен под залог на время рассмотрения апелляции.
Всего было выявлено шесть эпизодов жульничества в разных штатах, а несколько выигрышей размером в сотни тысяч долларов участники схемы успели получить.
Самое интересное — это, конечно, техническая сторона аферы. Итак, по версии следствия, Эдди Типтон модифицировал свою же программу, генерирующую выигрышные номера, чтобы при определенных условиях она выдавала не случайные, а предсказуемые последовательности. Важная деталь схемы: злоумышленники использовали билеты, в которых участник розыгрыша должен сам указать заветные номера.
Для срабатывания закладки требовалось одновременное выполнение трех условий: один из трех заранее выбранных дней в году, один из двух дней недели и определенное время суток.
Реализована закладка была в виде dll-файла, который был внедрен в систему после завершения независимого аудита безопасности. Доказательство злонамеренных действий усложняла самоликвидация этого компонента. Тем не менее специалистам удалось заполучить «живой» экземпляр кода, использованного в одном из розыгрышей.
В ходе крайне необычного следственного эксперимента с модифицированной программой криминалисты воспроизвели условия прошедшего розыгрыша (очевидно, установив соответствующее системное время) и получили ровно ту же выигрышную комбинацию.
Кроме хитроумной манипуляции с генератором случайных чисел Эдди Типтон обошел систему видеонаблюдения в помещении с компьютером. А вот дальше хакерские навыки его подвели — обхитрить систему целиком он не смог. Привлечение в аферу родственника, общение по мобильному телефону с посредниками, через которых планировалось получить выигрыш, собственноручное приобретение билета — все эти просчеты смазали картину грандиозной аферы.
Крутая история о том, как сделать один абсолютно анонимный и конфиденциальный звонок: http://t.co/KUS8aYsCiD pic.twitter.com/Jk7breQNzp
— Kaspersky Lab (@Kaspersky_ru) April 8, 2015
Впрочем, не наследить в современном мире крайне сложно. В пользу обвинения, например, сыграли данные о местоположении телефона Эдди Типтона в момент покупки билета. Еще одна улика в духе времени — запись в LinkedIn, оставленная одним из участников махинаций с билетами, которого Типтон на допросах никак не мог припомнить: «Всегда готов снова поработать с Эдди!»
Как же защититься от посягательств того, кто сам призван обеспечивать безопасность? Организаторы лотереи в штате Айова после разоблачения аферы заменили оборудование и программное обеспечение, проверили новый софт на наличие закладок, усилили видеонаблюдение и сильнее раздробили полномочия между сотрудниками, чтобы усложнить организацию подобной аферы.
История вторая: «Предвидение успеха»
Герои второй истории, случившейся в штате Коннектикут в 2015 году, тоже использовали свое служебное положение для взлома лотереи. В отличие от Типтона, они были не так близки к компрометируемой системе — работали в торговых точках, в которых установлены лотерейные машины.
Злоумышленникам удалось заставить машины печатать больше выигрышных билетов мгновенной лотереи под названием «5 Card Cash», чем рассчитывали ее организаторы. К примеру, один из «обманутых» автоматов выдал 67% выигрышных билетов, в то время как нормальный показатель составляет 24%.
В результате проведение «5 Card Cash» было остановлено во всем штате в ноябре 2015 года и до сих пор не возобновлено. Организаторы анонсировали обновление программного обеспечения машин, препятствующее манипуляциям.
Как сообщило издание Hartford Courant, технически взлом выглядел следующим образом. Злоумышленники намеренно замедляли работу машины (как возможный вариант — множеством запросов на вывод служебных отчетов). Затем оператор вызывал печать билета, но из-за особенности работы программы в таком нагруженном состоянии оператор мог успеть увидеть на экране сообщение системы, будет ли следующий выданный билет выигрышным. Если нет — продажа отменялась и вся операция повторялась вновь.
В США на лотерейных терминалах печатали заведомо выигрышные билетыhttps://t.co/0ZuFElFBx4 pic.twitter.com/zZCF8CBWqT
— Журнал Хакер (@XakepRU) March 28, 2016
Хитрые приемы нечестной игры, конечно, применялись и раньше. Например, в Пенсильвании в 1980 году ведущий розыгрыша одной из телелотерей вместе с подельником заменил шары в лототроне на самодельные копии. Их масса была подобрана так, чтобы выпасть могли лишь два шара из десяти возможных — «4» и «6». В результате в розыгрыше произошло чертовски редкое совпадение — выпало число «666». Организаторы заметили и другую странность: кто-то массово скупал билеты с комбинациями четверок и шестерок, что и послужило поводом для начала расследования.
Может показаться, что в цифровой век выйти сухим из воды стало значительно проще. Однако, как показывают приведенные выше истории, преступников все равно ловят примерно на том же, на чем и в былые «аналоговые» времена.
В общем, попытки «сломать» систему неизбывны, равно как и наша рекомендация никогда не совершать противоправные действия, каким бы железобетонным ни казался план.
Советы