Рансъмуер блокира горските системи на Латвия

На 22 юни кибератака удари латвийската държавна горска компания „Латвияс валстс межи“ (ЛВМ) в момент, в който страната беше в празничен режим за Яни, лятното слънцестоене. Около половината от информационните ѝ системи спряха да работят: разрешителни за лов, горски карти, данни за доставки на дървесина (ЛТВ).

ЛВМ изключи публичните услуги като предпазна мярка, включително дигиталните карти, ловното приложение „Меднис“ и обмена на данни с партньори. Компанията започна възстановяване от резервни копия и отказа да сътрудничи на нападателя. Латвийският екип за киберреакция СЕРТ.ЛВ потвърди, че откраднат материал е публикуван онлайн, но разследващите още установяват какви данни реално са изтекли. Оценката им е, че става дума за операция с цел откуп, а не за кампания, свързана с държава (ЛТВ). Престъпна група, движена от печалба, блокира услуги, които гражданите използват ежедневно.

Старо окабеляване зад нови стени

Големите публични организации често изглеждат модерни отвън: уеб портали, мобилни приложения, интерактивни карти. Зад тази фасада обаче остават стари системи за вход, наследена инфраструктура и отдалечени връзки на изпълнители, които не са били проверявани с години. За потребителя тези слаби места са невидими, но за нападателите са първите врати.

Рансъмуер групите обикновено влизат чрез открадната парола или непоправена уязвимост. След това работят тихо, за да превърнат ограничен достъп в администраторски контрол и да се движат през системите, докато получат ключовите права. Когато бележката за откуп се появи, нарушителят може вече да е бил вътре седмици наред (Агенцията на САЩ за киберсигурност). Според ЛТВ сондирането на системите за сигурност на ЛВМ е започнало преди видимата дата на атаката (ЛТВ).

Публичните организации са особено уязвими, защото не могат лесно да си позволят спиране на услуги, а същевременно трябва да поддържат стари и нови технологии през дълги цикли на обновяване (Агенцията на САЩ за киберсигурност, Краудстрайк). Точно в прехода между наследена и модерна инфраструктура сигурността най-често се къса.

Моделът до съседната врата

Атаката в Латвия се вписва в по-широк регионален проблем. В Литва властите разследват кражбата на над 600 000 извлечения от Имотния регистър, включително лични идентификационни кодове, от държавния оператор „Регистру центрас“ (ЛРТ). Достъпът е минал през откраднати служителски профили, като първите незаконни влизания датират от началото на 2026 г. Обществото научи за случая едва месеци по-късно (ТВ3). Около 1000 души се подготвяха да съдят държавата (Версло жиньос).

Двата случая са технически различни, но показват една и съща празнина: цивилни дигитални системи, през които минава всекидневният публичен живот, остават недостатъчно защитени. Германия вече показа докъде може да стигне това. През 2021 г. районът Анхалт-Битерфелд обяви бедствено положение след рансъмуер атака, която наруши административните услуги за гражданите в продължение на седмици (район Анхалт-Битерфелд).

Новите правила срещат реално прекъсване

НИС2 е европейската директива, която превръща киберустойчивостта в отговорност на най-високо управленско ниво. Операторите на съществени услуги трябва да изпратят ранно предупреждение до 24 часа след установяване на инцидент, подробна нотификация до 72 часа и окончателен доклад в рамките на един месец (Евро-Лекс). Висшето ръководство носи лична отговорност за управлението на киберриска (Европейската комисия).

Латвия въведе НИС2 в националното си право от септември 2024 г., а минималните изисквания за киберсигурност влязоха в сила през юли 2025 г. (Бизнес.гов.лв). След атаката срещу ЛВМ изпълняващият длъжността министър-председател на Латвия подписа пет резолюции, с които министерствата трябва да докладват за сигурността на държавните системи и за движението на информацията за инциденти в администрацията (Кулбергс). Той свърза случая със забавени правила за киберсигурност и на практика призна, че писаните норми имат стойност само ако са превърнати в работещи процедури.

Сега тестът е практичен и излиза далеч извън Балтика. Колко време ще отнеме възстановяването на ЛВМ? Ще разберат ли гражданите какви лични данни са били изложени? Били ли са резервните копия реално тествани преди кризата? Може ли всеки министър да посочи кой в неговата управленска верига отговаря за киберриска на всяка публична система? Всеки публичен оператор в Европа е изправен пред същите въпроси. НИС2 гарантира, че те вече не могат да бъдат оставяни без отговор.