Únik 7 000 hesel po útoku na LVM

Lotyšský státní správce lesů LVM 22. června vypnul celou svou IT infrastrukturu, aby útočníkovi zabránil v kopírování dalších souborů. Dodávky dřeva se většině odběratelů obnovily do čtyř dnů a většina interních systémů znovu fungovala 29. června. Mezitím se ale na internetu objevilo zhruba 44 GB interních dat a celkový objem odcizených souborů může být vyšší.

U státního lesnického podniku jsou čtyři dny krátká doba. Odběratelé dál potřebují dřevo, dodavatelé pokyny a veřejná firma musí fungovat i ve chvíli, kdy vyšetřovatelé teprve zjišťují rozsah škod. LVM uvádí, že měla funkční zálohy a že nedostala žádný požadavek na výkupné. Lotyšský národní úřad pro kybernetickou bezpečnost CERT.LV potvrdil, že zálohy bylo možné obnovit, čímž vyvrátil první zprávy, podle nichž byly zničeny. Provoz se tedy podařilo udržet. Podstatné je, co se ze systémů dostalo ven dřív, než firma zavřela dveře.

Jeden starý server, dva týdny přístupu

Současný ransomware se méně podobá zamčenému počítači a více vloupání do budovy. Útočník najde slabý vchod, postupně prochází místnostmi, sbírá klíče, kopíruje dokumenty a teprve potom hrozí jejich zveřejněním, pokud nedostane zaplaceno. Příručka americké agentury CISA k ransomwaru popisuje právě tento obvyklý postup: získat přístup, šířit se po síti, ukrást přihlašovací údaje, zkopírovat data a zašifrovat systémy.

Podle kyberbezpečnostního experta Elvise Strazdiņše, který o útoku mluvil s lotyšskými médii, měl útočník v systémech LVM strávit téměř dva týdny. Dovnitř se podle něj dostal přes server se zastaralým softwarem. Útočník měl získat přístup k přibližně 7 000 zaměstnaneckých hesel a do sítě nasadit malware. Nejde o oficiální forenzní závěry, ale o výpovědi experta a médií. Dobře však ukazují známý problém: jediný neopravený server může otevřít cestu do jinak modernizované sítě.

Strazdiņš také uvedl, že hackera kontaktoval a dozvěděl se od něj cenu za dešifrování: asi 618 600 eur, tedy 0,1 % tržeb LVM. LVM tvrdí, že žádný požadavek na výkupné firmě nikdy doručen nebyl. Šéfka CERT.LV Baiba Kaškina útočníka popsala jako někoho, komu šlo spíše o pozornost než o peníze, a upozornila, že stejná skupina mířila na organizace ve více zemích. Důvěryhodné důkazy o zapojení státu zatím nejsou. Vzorec útoku odpovídá spíše komerčně motivovanému ransomwaru s výraznou potřebou publicity.

Vyměněné zámky, nafocené dokumenty

Zálohy LVM zachránily provoz. Složitější problém spočívá v tom, že záloha řeší zašifrování systémů, nikoli únik dat. Hesla, bezpečnostní certifikáty, tedy digitální doklady, jimiž server prokazuje svou totožnost, interní dokumenty: jakmile je někdo zkopíruje, zůstávají vystavené bez ohledu na to, jak hladce se obnoví původní systémy.

Po vloupání je nutné vyměnit zámky. Nevrátí to ale dokumenty, které si pachatel cestou vyfotil. CERT.LV varoval, že kompromitovaná hesla, certifikáty i digitální klíče je třeba nahradit a že uniklá data vytvářejí dlouhodobé riziko i pro třetí strany napojené na systémy LVM.

Když se příprava stává právní otázkou

Právě rozdíl mezi „systémy jsou obnovené“ a „data jsou chráněná“ stojí v jádru evropské směrnice NIS2, která pokrývá 18 kritických odvětví. Její hlavní posun spočívá v tom, že vedení organizací musí prokázat přípravu před útokem, nestačí ukázat, že se po něm dokázalo zotavit. Směrnice dává managementu přímou odpovědnost za řízení rizik a hlášení incidentů.

Zda LVM spadá do působnosti NIS2 plně, záleží na tom, jak ji Lotyšsko klasifikuje. Termíny úplného souladu se směrnicí se napříč členskými státy natahují do roku 2027 a dál. Řada provozovatelů proto teprve buduje obranu, kterou bude muset brzy doložit.

Případ LVM ukazuje obě strany této mezery. To, co připravené bylo, tedy zálohy, postupná obnova a plán kontinuity, umožnilo obnovit dodávky během několika dnů. To, co připravené nebylo dostatečně, tedy průběžná aktualizace všech serverů a rychlejší odhalení vetřelce, nechalo venku tisíce přihlašovacích údajů a desítky gigabajtů souborů. Kaškina asymetrii popsala jednoduše: obránce musí zabezpečit všechno, útočníkovi stačí jedno slabé místo. Pro evropské provozovatele veřejných služeb to zůstává stejný úkol, ať spravují lesy, nemocnice nebo dodavatelské řetězce.