LVMi küberrünnak lekitas 7,000 parooli

Läti riigile kuuluv metsamajandusettevõte LVM sulges 22. juunil kogu IT-taristu, et takistada ründajal veel failide kopeerimist. Puidutarned enamikule ostjatele taastusid nelja päevaga ning suurem osa sisemistest süsteemidest töötas taas 29. juuniks. Selleks ajaks oli internetti jõudnud ligikaudu 44 GB ettevõtte sisemisi andmeid. Varastatud andmete kogumaht võib olla suurem.

Riikliku metsandusettevõtte puhul on neljapäevane taastumine kiire. Ostjad vajavad puitu, töövõtjad juhiseid ja avalik ettevõte peab tegutsema ka siis, kui uurijad alles koguvad tõendeid. LVM-i sõnul olid varukoopiad töökorras ning lunarahanõuet ettevõttele ei esitatud. Läti riiklik küberturbeasutus CERT.LV kinnitas, et varukoopiaid sai kasutada, lükates ümber esialgsed väited nende hävimise kohta. Ettevõte jäi tööle. Põhiprobleem on andmetes, mis jõudsid välja enne, kui ligipääs kinni pandi.

Üks vana server, kaks nädalat ligipääsu

Tänapäevane lunavararünnak sarnaneb vähem lukustatud arvutiga ja rohkem sissemurdmisega. Ründaja leiab nõrga sissepääsu, liigub võrgus edasi, kogub ligipääsuandmeid, kopeerib faile ja ähvardab need avaldada, kui raha ei maksta. USA küberturbeameti CISA lunavarajuhend kirjeldab sama tavapärast kulgu: ligipääsu saamine, võrgus levimine, kasutajatunnuste varastamine, andmete kopeerimine ja krüpteerimine.

Küberturbeekspert Elvis Strazdiņš ütles Läti meediale, et ründaja viibis LVM-i süsteemides väidetavalt peaaegu kaks nädalat. Sisenemiskohaks oli tema sõnul aegunud tarkvaraga server. Meediakajastuste järgi pääses ründaja ligi umbes 7000 töötaja paroolile ja paigaldas pahavara. Need on eksperdi ja meedia kirjeldused, mitte ametlikud kohtuekspertiisi järeldused. Kuid need näitavad tuttavat nõrkust: üks paikamata server võib avada tee ka muidu ajakohasesse võrku.

Strazdiņši sõnul võttis ta ühendust häkkeriga ning talle öeldi, et andmete lahtikrüpteerimise hinnaks on umbes 618 600 eurot ehk 0,1% LVM-i käibest. LVM kinnitab, et sellist nõuet ettevõtteni ei jõudnud. CERT.LV juht Baiba Kaškina kirjeldas ründajat kui kedagi, kes otsis pigem tähelepanu kui raha, märkides, et sama rühmitus on sihtinud organisatsioone mitmes riigis. Usaldusväärseid tõendeid riikliku toetuse kohta ei ole. Muster sobib pigem ärilise lunavararünnakuga, millele lisandub soov nähtavust saada.

Vahetatud lukud, pildistatud dokumendid

LVM-i varukoopiad päästsid ettevõtte töö. Raskem küsimus on, et varukoopiad lahendavad krüpteerimise, kuid mitte lekke. Paroolid, turvasertifikaadid ehk digitaalsed tõendid, millega server kinnitab oma identiteeti, ning sisedokumendid jäävad pärast kopeerimist ründaja kätte ka siis, kui algsed süsteemid taastatakse.

Pärast sissemurdmist tuleb lukud vahetada, kuid see ei too tagasi dokumente, mille varas jõudis lahkudes üles pildistada. CERT.LV hoiatas, et ohustatud paroolid, sertifikaadid ja digivõtmed tuleb välja vahetada. Lekkinud andmed tekitavad püsiva riski ka kolmandatele osapooltele, kelle süsteemid on LVM-iga seotud.

Kui valmisolekust saab juriidiline küsimus

Vahe „süsteemid taastati” ja „andmed on kaitstud” vahel on EL-i NIS2 direktiivi keskmes. Direktiiv hõlmab 18 elutähtsat sektorit. Selle põhimõtteline muutus seisneb selles, et juhid peavad suutma tõendada ettevalmistust enne rünnakut, mitte üksnes taastumist pärast rünnakut. Direktiiv paneb juhtkonnale otsese vastutuse riskijuhtimise ja intsidentidest teatamise eest.

Kas LVM kuulub NIS2 kohaldamisalasse täies mahus, sõltub sellest, kuidas Läti ettevõtte liigitab. Liikmesriikide vastavustähtajad ulatuvad 2027. aastasse ja kaugemale, mis tähendab, et paljud operaatorid alles ehitavad kaitsemeetmeid, mille olemasolu tuleb neil varsti tõendada.

LVM-i juhtum näitab seda lünka mõlemalt poolt. Töötanud ettevalmistus ehk varukoopiad, järkjärguline taastamine ja talitluspidevuse plaan võimaldas tarned taastada mõne päevaga. Puudulik ettevalmistus ehk kõigi serverite ajakohasena hoidmine ja sissetungija varasem avastamine jättis avalikkuse ette tuhanded ligipääsuandmed ja gigabaitide kaupa faile. Kaškina sõnastas tasakaalutuse lihtsalt: kaitsjad peavad turvama kõik, ründajal piisab ühest nõrgast kohast. See jääb püsivaks probleemiks igale Euroopa avaliku teenuse osutajale, olgu selleks metsandusettevõte, haigla või tarneahela haldaja.