Внутри Facebook. Голая правда

До работы в Facebook начальник Морана Алекс Стэймос прославился в мире кибербезопасности тем, что забил тревогу в Yahoo. В апреле 2015 года он распахнул двери офиса компании в центре Сан-Франциско и пригласил несколько сотен журналистов, экспертов по кибербезопасности и ученых на конференцию, которую он назвал «Неконференция». Цель мероприятия заключалась в том, чтобы указать на провалы в деле защиты пользователей интернета, а не в том, чтобы отметить новейшие технологии, как обычно происходит на конференциях по кибербезопасности.

В то время Стэймос был сотрудником отдела информационной безопасности компании Yahoo и одним из самых молодых и известных экспертов по кибербезопасности в Кремниевой долине⁹⁴. Он вырос в калифорнийском хакерском сообществе, был талантливым программистом и получил степень по электротехнике и информатике в Калифорнийском университете в Беркли. К тридцати пяти годам он основал и продал успешную компанию по кибербезопасности iSEC Partners. Его не раз приглашали для консультаций самые влиятельные компании Кремниевой долины, обнаружившие в своих сетях русских и китайских хакеров.

В большинстве случаев хакеры находились там годами, и Стэймос был потрясен тем, насколько уязвимыми были компании для относительно простых атак. «Я хотел обратить внимание на тот факт, что индустрия безопасности отклонилась от того, что мы все называем нашей миссией: обеспечение безопасности людей, – сказал он. – Компании не считают безопасность приоритетом и полагаются на слишком сложные системы, которые делают и их, и пользователей уязвимыми для атак». Он использовал аналогию с домом: вместо того чтобы создать прочную защищенную структуру и надежно запереть все двери, компании создавали эквивалент многоэтажных домов с хрупкими окнами. Хакеру нужно было просто выждать, и рано или поздно компания забудет запереть какую-нибудь дверь.

Сотни людей собрались на основной доклад Стэймоса в неприметном конференц-зале. Он нервно пробирался сквозь толпу, перебрасываясь с людьми типичными для него короткими фразами. Выйдя на трибуну, он заправил в брюки красную клетчатую рубашку, одернул края серого пиджака и засунул руки в карманы. Люди еще стояли и болтали, когда Стэймос, не желая больше ждать, начал свою речь.

«Я недоволен тем, – начал он, – в каком состоянии мы находимся как отрасль».

По его словам, технологические компании не думают о потребностях обычных людей в плане конфиденциальности и безопасности. Корпорации, занимающиеся кибербезопасностью, больше заинтересованы в продаже броских и дорогих технологий, чем в предоставлении базовых средств защиты, которые могут позволить себе небольшие фирмы. С каждым годом истории о взломах, затрагивающих миллионы людей, становятся все более распространенными. Личная информация людей, включая номера социального страхования и данные кредитных карт, все чаще продается и используется хакерами для обмена на интернет-форумах.

Многие в зале кивали, слушая его. Стэймос не стал упоминать этого в своей речи, но он все больше беспокоился о практике собственной компании в области безопасности. И на то были причины. Всего через несколько недель после «Неконференции» его команда обнаружила уязвимость, которая позволяла проникнуть в системы Yahoo и просмотреть электронную почту пользователя. Стэймос поспешил проверить, не ответственны ли за взлом русские или китайские хакеры. Вместо этого он обнаружил, что уязвимость была встроена в систему намеренно, с одобрения генерального директора Мариссы Майер, чтобы позволить правительству США тайно следить за пользователями электронной почты Yahoo⁹⁵. «Это было огромным кризисом доверия, – сказал он. – Я не мог бездействовать и смотреть на это». Менее чем через месяц он ушел из Yahoo. Когда роль Майер в предоставлении правительству секретного доступа стала достоянием общественности, разразился скандал на всю страну.

В кругах кибербезопасности Стэймос стал известен как «канарейка». На рубеже двадцатого века канареек запускали в угольные шахты, расположенные глубоко под землей. Если птицы умирали, это был безмолвный сигнал о том, что в воздух попал токсичный газ и шахта небезопасна для работников. В середине 2000-х годов интернет-компании стали использовать выражение «свидетельство канарейки». Они стали получать тайные повестки от правительства на доступ к данным – запросы были настолько секретными, что даже упоминать об их существовании было незаконно. Чтобы обходным путем предупредить пользователей о том, что к их данным есть доступ, интернет-компании стали размещать на своих сайтах крошечные изображения желтых канареек или сообщения о том, что все в порядке. Если в один прекрасный день канарейка исчезала, это означало, что компании была вручена такая секретная повестка. Эксперты и защитники права на конфиденциальность знали, что нужно искать канареек и бить тревогу, если одна из них вдруг исчезнет.