Ransomware στα δασικά συστήματα της Λετονίας

Στις 22 Ιουνίου, μέσα στην αργία του θερινού ηλιοστασίου στη Λετονία, όταν οι βάρδιες ήταν πιο αραιές και η επιτήρηση των συστημάτων πιο χαλαρή, κυβερνοεπίθεση έπληξε την κρατική δασική εταιρεία της χώρας, τα Λετονικά Κρατικά Δάση. Περίπου τα μισά πληροφοριακά της συστήματα τέθηκαν εκτός λειτουργίας: από άδειες κυνηγιού και ψηφιακούς δασικούς χάρτες έως δεδομένα για παραδόσεις ξυλείας (LTV).

Η εταιρεία απέσυρε προληπτικά από το διαδίκτυο τις δημόσιες υπηρεσίες της, μεταξύ των οποίων τους ψηφιακούς χάρτες, την εφαρμογή κυνηγιού Mednis και τις ανταλλαγές δεδομένων με συνεργάτες. Ξεκίνησε αποκατάσταση από εφεδρικά αντίγραφα και δήλωσε ότι δεν θα συνεργαστεί με τους δράστες. Η λετονική ομάδα απόκρισης σε κυβερνοπεριστατικά επιβεβαίωσε ότι υλικό που είχε κλαπεί δημοσιεύθηκε στο διαδίκτυο, αν και οι αρχές εξακολουθούσαν να εξετάζουν ποια ακριβώς δεδομένα αφαιρέθηκαν. Η εκτίμησή τους ήταν ότι επρόκειτο για επιχείρηση εκβιασμού με οικονομικό κίνητρο, όχι για επίθεση που συνδέεται με κράτος (LTV). Με άλλα λόγια, μια εγκληματική ομάδα που κυνηγά λύτρα κατάφερε να διακόψει υπηρεσίες στις οποίες πολίτες και επαγγελματίες βασίζονται καθημερινά.

Παλαιά καλωδίωση πίσω από νέους τοίχους

Ένας μεγάλος δημόσιος οργανισμός μοιάζει συχνά με ανακαινισμένο κτίριο. Στην είσοδο βλέπει κανείς σύγχρονα εργαλεία: διαδικτυακές πύλες, εφαρμογές για κινητά, διαδραστικούς χάρτες. Πίσω από τους τοίχους όμως παραμένει η παλαιά καλωδίωση: συστήματα σύνδεσης που σχεδιάστηκαν πριν γίνουν κοινός τόπος οι σημερινές δικλείδες ασφαλείας, απομακρυσμένες προσβάσεις εργολάβων που μπορεί να μη έχουν ελεγχθεί επί χρόνια, παλαιές εφαρμογές που συνδέονται με νεότερες υποδομές.

Αυτά τα αδύναμα σημεία δεν φαίνονται στον πολίτη, αλλά είναι συνήθως οι πρώτες πόρτες που δοκιμάζουν οι επιτιθέμενοι. Οι ομάδες λογισμικού εκβιασμού μπαίνουν συχνά με κλεμμένο κωδικό ή μέσω συστήματος που δεν έχει ενημερωθεί, και στη συνέχεια εργάζονται αθόρυβα ώστε μια περιορισμένη πρόσβαση να γίνει πλήρης διαχειριστικός έλεγχος. Όταν εμφανιστεί το μήνυμα των λύτρων, ο εισβολέας μπορεί να βρίσκεται ήδη μέσα επί εβδομάδες (CISA). Σύμφωνα με το LTV, οι δοκιμές πάνω στα συστήματα ασφαλείας των Λετονικών Κρατικών Δασών είχαν αρχίσει πριν από την ημέρα κατά την οποία η επίθεση έγινε ορατή (LTV).

Οι δημόσιοι οργανισμοί είναι ιδιαίτερα εκτεθειμένοι επειδή δεν αντέχουν μεγάλες διακοπές και, την ίδια στιγμή, πρέπει να κρατούν σε λειτουργία παλιές και νέες τεχνολογίες μέσα από μακρούς κύκλους αναβάθμισης (CISA, CrowdStrike). Εκεί όπου η παλαιά υποδομή συναντά τη σύγχρονη ψηφιακή πρόσοψη, συχνά σπάει και η ασφάλεια.

Το μοτίβο στη γειτονιά

Η λετονική υπόθεση εντάσσεται σε ευρύτερο περιφερειακό πρόβλημα. Στη Λιθουανία, οι αρχές ερευνούν την κλοπή περισσότερων από 600.000 αποσπασμάτων του Μητρώου Ακινήτων, μαζί με προσωπικούς κωδικούς ταυτοποίησης, από τον κρατικό φορέα μητρώων Registrų centras (LRT). Η πρόσβαση φαίνεται ότι έγινε μέσω κλεμμένων λογαριασμών εργαζομένων, με τις πρώτες παράνομες συνδέσεις να χρονολογούνται στις αρχές του 2026. Η κοινή γνώμη ενημερώθηκε μήνες αργότερα (TV3). Περίπου 1.000 πολίτες προετοιμάζονταν να προσφύγουν κατά του κράτους (Verslo žinios).

Οι δύο υποθέσεις διαφέρουν τεχνικά, αλλά αναδεικνύουν το ίδιο κενό: πολιτικά, μη στρατιωτικά ψηφιακά συστήματα που στηρίζουν την καθημερινή λειτουργία του κράτους μένουν λιγότερο προστατευμένα από όσο απαιτεί ο ρόλος τους. Η Γερμανία έδειξε πού μπορεί να οδηγήσει αυτό. Το 2021, η περιφέρεια Ανχαλτ-Μπίτερφελντ κήρυξε κατάσταση καταστροφής ύστερα από επίθεση λογισμικού εκβιασμού, με τις υπηρεσίες προς τους πολίτες να διαταράσσονται επί εβδομάδες (Landkreis Anhalt-Bitterfeld).

Οι νέοι κανόνες μπροστά σε μια πραγματική διακοπή

Η οδηγία NIS2 της ΕΕ μετατρέπει την κυβερνοανθεκτικότητα σε ευθύνη διοίκησης, όχι απλώς τεχνικού τμήματος. Οι φορείς βασικών υπηρεσιών οφείλουν να στέλνουν αρχική προειδοποίηση μέσα σε 24 ώρες από τον εντοπισμό περιστατικού, λεπτομερή κοινοποίηση μέσα σε 72 ώρες και τελική έκθεση μέσα σε έναν μήνα (EUR-Lex). Η ανώτατη διοίκηση φέρει προσωπική ευθύνη για τη διαχείριση του κυβερνοκινδύνου (European Commission).

Η Λετονία ενσωμάτωσε την οδηγία στο εθνικό της δίκαιο από τον Σεπτέμβριο του 2024, ενώ οι ελάχιστες απαιτήσεις κυβερνοασφάλειας τίθενται σε ισχύ τον Ιούλιο του 2025 (Business.gov.lv). Μετά την επίθεση στα Λετονικά Κρατικά Δάση, ο ασκών καθήκοντα πρωθυπουργού υπέγραψε πέντε αποφάσεις που υποχρεώνουν τα υπουργεία να αναφέρουν την κατάσταση ασφαλείας των κρατικών συστημάτων και τον τρόπο με τον οποίο κυκλοφορεί η πληροφορία για περιστατικά μέσα στην κυβέρνηση (Kulbergs). Συνέδεσε την υπόθεση με καθυστερημένους κανονισμούς κυβερνοασφάλειας, αναγνωρίζοντας ουσιαστικά ότι οι γραπτοί κανόνες δεν αρκούν χωρίς επιχειρησιακή εφαρμογή.

Η δοκιμασία πλέον είναι πρακτική και αφορά πολύ περισσότερους από τις χώρες της Βαλτικής. Πόσο θα διαρκέσει η αποκατάσταση των συστημάτων; Θα μάθουν οι πολίτες ποια προσωπικά δεδομένα εκτέθηκαν; Είχαν πράγματι δοκιμαστεί τα εφεδρικά αντίγραφα πριν χρειαστούν; Μπορεί ένας υπουργός να κατονομάσει ποιος, στην αλυσίδα ευθύνης του, έχει την κυριότητα του κυβερνοκινδύνου για κάθε δημόσιο σύστημα; Τα ίδια ερωτήματα βαραίνουν κάθε δημόσιο φορέα στην Ευρώπη. Η NIS2 κάνει πλέον δύσκολο να μένουν αναπάντητα.