Oszustwa loteryjne w erze cyfrowej

Jak mówi powiedzenie: „Loteria to podatek od ludzi słabych z matematyki”. A to dlatego, że szanse na wygraną są śmiesznie małe. Fajnie jest marzyć o wygranej, ale tylko tyle możemy zrobić, bo wszystko i tak sprowadza się to do szczęśliwego losu. Wygranej nie można wyćwiczyć, wytrenować czy zaplanować. Jednak są tacy, którzy potrafią oszukać.

Przypadek 1: manipulowanie urządzeniem

Ciekawy przypadek wyszedł na światło dzienne po 10 latach śledztwa. W 2006 roku amerykańskie organy ścigania odkryły, że Tommy Tipton, który miał za zadanie stać na straży sprawiedliwości w Teksasie, posiadał 500 000 dolarów w kolejnych, oznaczonych banknotach.

Aby uzasadnić swoje posiadanie gotówki, Tipton wyjaśnił, że wygrał je na loterii, ale zapłacił znajomemu 10% wygranej ze spieniężenie kuponu za niego. Tipton wymyślił to rzekomo dlatego, aby ukryć pieniądze przed swoją żoną, z którą właśnie miał się rozwodzić. Sąd przyjął wyjaśnienia Tiptona i zamknął śledztwo.

Jednak jedna rzecz pozostała niezauważona. W tamtym czasie w Międzystanowym Stowarzyszeniu Lotto, które słynie z takich gier jak Powerball czy Mega Millions, pracował Eddie Tipton będący bratem szczęściarza. Był on odpowiedzialny za politykę bezpieczeństwa informacji i uczestniczył w programowaniu generatora liczb losowych (RNG) maszyny.

Ale ten fakt wyszedł znacznie później, gdy związki loteryjne w różnych stanach zorientowały się, że wiele osób podejmowało wygrane poprzez osoby upoważnione. W roku 2011 zwycięzca głównej nagrody powiedział, że swój kupon dostał od krewnego, który z kolei dostał go od wspomnianego wcześniej Tommy’ego Tiptona. Ten obiecał zapłacić prowizję za pobranie pieniędzy w jego imieniu. Powód? Zbliżający się rozwód. Numer wygranej? Wygenerowany przez system zaprojektowany przez Eddiego Tiptona.

Także w 2011 r. została ujawniona jeszcze jedna sprawa: pewien obywatel Kanady odebrał wygraną w wysokości 16,5 milionów dolarów jako przedstawiciel anonimowego zwycięzcy. W trakcie śledztwa stowarzyszenie poprosiło o udostępnienie zapisu z kamery monitoringu i zapytało kilka osób, czy mogłyby zidentyfikować człowieka, który zakupił zwycięski bilet — rozpoznały one głos Eddiego Tiptona, więc śledczy przeanalizowali jego rozmowy telefoniczne i odkryli powiązanie między Eddiem i jego wspólnikami.

Zapis został użyty jako dowód w sprawie oskarżającej Eddiego Tiptona o przestępstwo. W 2015 r. został on skazany na 10 lat więzienia, z którego jednak został zwolniony na okres odwołania.

Ostatecznie śledztwo wykazało, że oszuści działali sześciokrotnie w różnych stanach i ukradli setki tysięcy dolarów.

Najbardziej interesujący był aspekt techniczny kradzieży. Według śledztwa Eddie Tipton zmodyfikował zaprojektowany przez siebie generator liczb losowych tak, aby dawał przewidywalne, a nie losowe liczby. Zasadniczą częścią oszustwa było użycie kuponów loteryjnych, na których wpisuje się liczby.

Schemat działał, gdy losowanie obywało się w trzy określone dni roku, dwa konkretne dni tygodnia i po określonej porze dnia. Eddie Tipton utworzył plik .dll, który osadzał w systemie po zakończeniu codziennego audytu bezpieczeństwa.

Celowe działanie było trudne do udowodnienia, ponieważ po całej akcji szkodliwy komponent się usuwał. Jednak zespołowi zajmującemu się kryminalistyką udało się uzyskać próbkę roboczą kodu, która została wykorzystana w jednej z wypłat.

Podczas bardzo niestandardowej rekonstrukcji oszustwa zespół kryminalistyczny użył zmodyfikowanego generatora liczb losowych do odtworzenia ostatniego losowania (ustawiając właściwy czas), uzyskując w efekcie tę samą zwycięską kombinację liczb.

Oprócz utworzenia zaawansowanego programu służącego do manipulowania generatorem liczb losowych Eddie Tipton zadbał o to, aby ominąć system monitoringu wideo w sklepach, w których sprzedawano bilety. Jednak tutaj jego hakerskie umiejętności zawiodły go po raz pierwszy — nie mógł oszukać systemu z tyloma zmiennymi. Najął krewnych, rozmawiał ze współpracownikami przez telefon komórkowy, a na końcu sam kupił zwycięski bilet, rujnując tym samym plan niemal idealny.

W dzisiejszych czasach trudno jest ominąć śledzenie. Jako dowód w oskarżeniu wykorzystano na przykład geolokalizację Tiptona w chwili zakupu kuponu. Kolejnym dowodem był post w serwisie LinkedIn opublikowany przez jednego ze wspólników: „Zawsze gotowy do pracy z Eddiem”.

Jak ochronić system przed ludźmi, którzy mają go zabezpieczać? Przed ujawnieniem oszustwa stowarzyszenie loterii Iowa wymieniło swoje maszyny i oprogramowanie, sprawdziło nowe oprogramowanie pod kątem modyfikacji, zainstalowało nowsze systemy monitoringu i rozdzieliło funkcje na wielu pracowników, aby trudniej było przeprowadzić takie oszustwa.

Przypadek 2: spowalnianie urządzenia

Kolejna historia miała miejsce w Connecticut w 2015 r. Tutaj oszuści także wykorzystali swoją pracę do zhakowania loterii, jednak w przeciwieństwie do Eddiego Tiptona, nie mieli dostępu do systemu generatora liczb losowych, lecz pracowali w punktach sprzedaży, w których zainstalowane były maszyny sprzedające kupony.

Oszustom udało się zmusić maszyny do wydrukowania dodatkowych losów w loterii 5 Card Cash. Przykładowo, jedna ze zhakowanych maszyn drukowała partie, w których 67% losów była wygrana, tymczasem przeciętnie odsetek ten wynosi 24%.

Ostatecznie loteria 5 Card Cash została zawieszona w całym stanie w listopadzie 2015 r. i nie została jeszcze wznowiona. Organizatorzy poinformowali, że zaktualizowali oprogramowanie, aby urządzeniami nie można było już sterować.

Jak twierdzi Hartford Courant, przestępcy nie musieli się zbytnio wysilać: celowo spowalnali maszynę, na przykład wysyłając wiele żądań generowania raportów, a następnie rozpoczynali proces drukowania. Z powodu ograniczeń technicznych dodatkowe obciążenie powodowało opóźnienie w działaniu oprogramowania, dzięki czemu jego operator mógł sprawdzać, czy kolejny los będzie wygrany. Jeśli nie był wygrany, oszuści anulowali zakup i powtarzali procedurę.

Stara szkoła: kombinowanie z kulami

Oszustwa w świecie loterii to nic nowego. Łatwe pieniądze mają ponadczasowy urok. W roku 1980 gospodarz loterii telewizyjnej w Pensylwanii zamienił kule w maszynie losującej cięższymi kopiami, przez co losowane były tylko czwórki i szóstki. Po wylosowaniu raczej rzadkiego numeru 666 organizatorzy zauważyli, że ktoś masowo poluje na kupony, na których znajdowała się kombinacja czwórek i szóstek, co było na tyle podejrzane, że rozpoczęto śledztwo.

Może się wydawać, że w erze cyfrowej łatwiej jest o nadużycia. Lecz za każdym razem, gdy przestępcy zamieniają piłeczki ping-pongowe lub umieszczają na komputerze zły kod, zawsze popełniają jakieś błędy. Główna wygrana na loterii wydaje się być świetna, ale według nas lepiej jest pozostać przy marzeniach, bo nie ma planu niezawodnego, a każdy z nich jest przestępstwem.