Η FSB χτύπησε τη Σλοβακία

Το ρούτερ που αναβοσβήνει σε ένα γραφείο ή η πύλη VPN που χρησιμοποιεί μια εταιρεία για την εξ αποστάσεως εργασία μοιάζουν με άχαρα τεχνικά εξαρτήματα. Στην πράξη είναι οι είσοδοι από τις οποίες περνά μεγάλο μέρος της σύγχρονης υποδομής. Στη Σλοβακία, χάκερ που συνδέονται με το ρωσικό κράτος φαίνεται ότι δοκίμασαν ακριβώς αυτές τις εισόδους, γύρω από συστήματα που σχετίζονται με ενεργειακά δίκτυα, παραγωγή όπλων και κυβερνητικά υπουργεία.

Το υπουργείο Εξωτερικών της Σλοβακίας επιβεβαίωσε ότι η χώρα έγινε στόχος κυβερνοεπιχειρήσεων που συνδέονται με την υπηρεσία πληροφοριών FSB της Ρωσίας (Topky/TASR). Το υπουργείο Επενδύσεων διευκρίνισε ότι η δραστηριότητα στόχευε κρίσιμες υποδομές, την αμυντική βιομηχανία και τον ενεργειακό τομέα (TA3). Δεν σκοτείνιασε κάποιος σταθμός ηλεκτροπαραγωγής. Δεν σταμάτησαν τρένα. Η διάκριση αυτή έχει σημασία, γιατί δείχνει τι είδους απειλή αντιμετωπίζει η Ευρώπη.

Ο διαρρήκτης που δεν κοιτάζει την τηλεόραση

Η επιχείρηση που βρίσκεται πίσω από την υπόθεση, γνωστή ως Turla, δεν είναι συμμορία ransomware που αναζητεί γρήγορο κέρδος. Συνδέεται με τη μονάδα Centre 16 της FSB και έχει σχεδιαστεί για αθόρυβη είσοδο σε δίκτυα, παραμονή χωρίς εντοπισμό και συλλογή πληροφοριών επί μήνες ή και χρόνια (CISA). Η εικόνα θυμίζει διαρρήκτη που αφήνει την τηλεόραση στη θέση της, αλλά φωτογραφίζει τον ηλεκτρικό πίνακα, καταγράφει τις κάμερες και παίρνει αποτυπώματα από κάθε κλειδί.

Τα σημεία εισόδου είναι συνήθως πεζά. Κοινή προειδοποίηση της CISA και του FBI περιγράφει παράγοντες του Centre 16 να εκμεταλλεύονται κακορυθμισμένα ρούτερ, αδύναμες ρυθμίσεις διαχείρισης δικτύου και παλιές πύλες VPN, δηλαδή τις συσκευές που βρίσκονται στο όριο ανάμεσα σε έναν οργανισμό και το διαδίκτυο (CISA AA26-194A, FBI/IC3). Μια πύλη VPN, για παράδειγμα, μπορεί να λειτουργήσει ταυτόχρονα ως βιβλίο επισκεπτών και ως χάρτης: δείχνει ποιος συνδέεται, από πού και σε ποια εσωτερικά συστήματα φτάνει. Τα αρχεία ρυθμίσεων μπορούν επίσης να αποκαλύψουν σχέσεις εμπιστοσύνης και διαδρομές βαθύτερα μέσα στο δίκτυο (AttackIQ).

Για ένα υπουργείο ή μια ενεργειακή εταιρεία, αυτό σημαίνει ότι ο επιτιθέμενος μπορεί να μάθει πού βρίσκονται τα αδύναμα σημεία χωρίς να ενεργοποιήσει συναγερμό. Με βάση τα δημόσια στοιχεία, πρόκειται περισσότερο για αναγνώριση με σκοπό μελλοντική πίεση παρά για απόδειξη άμεσου σαμποτάζ.

Γιατί ανησυχούν οι γείτονες

Οι σύγχρονες ευρωπαϊκές υποδομές δεν λειτουργούν σαν σειρά από απομονωμένα σπίτια, αλλά σαν πολυκατοικία με κοινές καλωδιώσεις. Η Σλοβακία και η Αυστρία μοιράζονται δίκτυο μεταφοράς φυσικού αερίου και έναν πολυσύχναστο σιδηροδρομικό διάδρομο Βιέννης-Μπρατισλάβας (Gas Connect Austria, ÖBB). Η Τσεχία μοιράζεται κανάλια ανταλλαγής αμυντικών δεδομένων και συστήματα παραμεθόριων περιοχών (Novinky). Αυτό δεν σημαίνει ότι τα συγκεκριμένα συστήματα παραβιάστηκαν. Εξηγεί όμως γιατί οι κυβερνήσεις αντιμετωπίζουν μια σλοβακική διείσδυση ως κοινή ευπάθεια.

Καμία γειτονική χώρα δεν έχει αναφέρει επιβεβαιωμένη παραβίαση από το συγκεκριμένο περιστατικό. Η ανησυχία είναι ότι κλεμμένες ρυθμίσεις, διαπιστευτήρια προμηθευτών ή γνώση αδύναμων σημείων μπορούν να βοηθήσουν τους επιτιθέμενους να σχεδιάσουν επόμενες κινήσεις εναντίον διασυνδεδεμένων συστημάτων. Η Αυστρία κάλεσε τον Ρώσο πρέσβη για συναφείς κυβερνοεπιθέσεις. Η ΕΕ και το Ηνωμένο Βασίλειο επέβαλαν τις πρώτες κοινές κυρώσεις τους κατά του Centre 16 και της επιχείρησης Turla (Sabr Cyber & Tech News, formiche.net). Η αντίδραση δείχνει ότι οι κυβερνήσεις θεωρούν την απειλή διασυνοριακή, ακόμη και χωρίς αποδείξεις για ζημιά πέρα από τα σλοβακικά δίκτυα.

Ένας οικοδομικός κανονισμός δεν ενημερώνει το ρούτερ

Για τέτοια περιστατικά σχεδιάστηκε η οδηγία NIS2. Πρόκειται, στην ουσία, για έναν ευρωπαϊκό «οικοδομικό κανονισμό» των κρίσιμων ψηφιακών υπηρεσιών: απαιτεί από τους φορείς κρίσιμων υποδομών να διαχειρίζονται τον κυβερνοκίνδυνο, να αναφέρουν γρήγορα τα περιστατικά και να ασφαλίζουν τις αλυσίδες προμηθευτών τους (EUR-Lex). Ο χειρισμός της υπόθεσης από τη Σλοβακία δοκίμασε ακριβώς αυτή τη λογική. Μέσα ενημέρωσης ανέφεραν ότι η κυβέρνηση επιβεβαίωσε τις επιθέσεις μόνο αφού ρωτήθηκε από δημοσιογράφους (TA3), ενώ στελέχη της αντιπολίτευσης την κατηγόρησαν για επικίνδυνη παθητικότητα (Aktuality).

Ένας οικοδομικός κανονισμός μπορεί να επιβάλει εξόδους κινδύνου και ανιχνευτές καπνού. Δεν μπορεί να εμποδίσει κάποιον να αφήσει την πόρτα ανοιχτή. Η NIS2 μπορεί να ορίσει προθεσμίες αναφοράς και αξιολογήσεις κινδύνου. Δεν μπορεί από μόνη της να ενημερώσει ένα παλιό ρούτερ ή να αλλάξει ένα κλειδί VPN που έχει διαρρεύσει.

Αυτό που συνέβη στη Σλοβακία, με βάση τα δημόσια στοιχεία, δεν αποδεικνύει ότι «η Ρωσία μπορεί να παραλύσει τις ευρωπαϊκές υποδομές». Δείχνει ότι παράγοντες που συνδέονται με τη Ρωσία στόχευσαν συστήματα ικανά να τους βοηθήσουν να κατανοήσουν, να χαρτογραφήσουν και να προετοιμάσουν μελλοντική πίεση σε κρίσιμες υπηρεσίες. Τα ερείσματα είναι αθόρυβα, η πρόσβαση υπομονετική και ο ορίζοντας μακρύς. Το ερώτημα για την Ευρώπη είναι αν θα αντιμετωπίσει την αθόρυβη πρόσβαση με την ίδια σοβαρότητα που επιφυλάσσει στην ορατή διακοπή λειτουργίας.