Lunavara halvas Läti riigimetsade süsteemid

22. juunil tabas Läti riigimetsade ettevõtet Latvijas valsts meži (LVM) küberrünnak, mis viis rivist välja umbes poole ettevõtte IT-süsteemidest. Ajastus polnud juhuslikult mugav: rünnak tuli Jāņi jaanipühade ajal, kui ekraane jälgivaid töötajaid oli vähem (LTV).

LVM võttis ettevaatusabinõuna avalikud teenused maha: digikaardid, jahindusrakenduse Mednis ja partneritega seotud andmevahetuse. Ettevõte alustas taastamist varukoopiatest ega teinud ründajaga koostööd. Läti küberintsidentide käsitlemise üksus CERT.LV kinnitas, et varastatud materjali on internetis avaldatud, kuid uurijad selgitasid veel, millised andmed tegelikult kätte saadi. CERT.LV hinnangul oli tegu äriliselt motiveeritud lunavararünnakuga, mitte riikliku kampaaniaga (LTV). Kasumit otsiv kuritegelik rühm pani seisma teenused, mida inimesed ja ettevõtted igapäevaselt kasutavad.

Vana juhtmestik uute seinte taga

Suurt avalikku organisatsiooni võib võrrelda renoveeritud majaga. Fuajee paistab moodne: veebiportaalid, mobiilirakendused, interaktiivsed kaardid. Seinte taga võib aga olla vana juhtmestik: sisselogimissüsteemid, mis pärinevad ajast enne praegusi turvanõudeid, või töövõtjate kaugühendused, mida pole aastaid sisuliselt auditeeritud. Kasutaja neid nõrkusi ei näe, ründaja otsib just neid.

Lunavararühmad sisenevad tavaliselt varastatud parooli või paikamata süsteemi kaudu. Seejärel püütakse madala õigusega konto muuta administraatoriõigusteks ning liikuda süsteemist süsteemi, kuni kontroll on piisav kogu teenuse seiskamiseks. Selleks hetkeks, kui ilmub lunarahateade, võib sissetungija olla võrgus tegutsenud nädalaid (CISA). LTV teatel algas LVM-i turvasüsteemide kompamine enne nähtava rünnaku kuupäeva (LTV).

Avalikud organisatsioonid on eriti haavatavad, sest katkestust nad endale lubada ei saa, kuid peavad pikkade uuendustsüklite ajal hoidma korraga töös vana ja uut tehnoloogiat (CISA, CrowdStrike). Turve murdub sageli just pärandsüsteemide ja uuema taristu kokkupuutekohas.

Muster naaberriikides

Läti juhtum sobitub laiemasse piirkondlikku probleemi. Leedus uurivad võimud enam kui 600 000 kinnistusregistri väljavõtte vargust riiklikult registripidajalt Registrų centraselt. Lekkinud andmete seas olid ka isikukoodid (LRT). Ligipääs saadi varastatud töötajakontode kaudu ning esimesed ebaseaduslikud sisselogimised ulatusid 2026. aasta algusse. Avalikkus sai juhtumist teada alles kuid hiljem (TV3). Umbes 1000 inimest valmistus riigi vastu kohtusse minema (Verslo žinios).

Läti ja Leedu juhtumid on tehniliselt erinevad, kuid näitavad sama lünka: igapäevast avalikku elu kandvad tsiviilsed digisüsteemid on kaitstud nõrgemalt, kui nende roll eeldaks. Saksamaa näitas, kuhu see võib viia. 2021. aastal kuulutas Anhalt-Bitterfeldi maakond pärast lunavararünnakut välja katastroofiolukorra ning kodanikele mõeldud teenused olid häiritud nädalaid (Landkreis Anhalt-Bitterfeld).

Uued reeglid kohtuvad päris katkestusega

NIS2 on EL-i direktiiv, mis tõstab küberturbe juhtkonna vastutuseks. Elutähtsate ja oluliste teenuste osutajad peavad saatma esmase hoiatuse 24 tunni jooksul pärast intsidendi avastamist, esitama põhjalikuma teate 72 tunni jooksul ning lõpparuande ühe kuu jooksul (EUR-Lex). Juhtkond vastutab küberturvariski eest isiklikult (European Commission).

Läti võttis NIS2 üle siseriiklikku õigusse 2024. aasta septembris, küberturvalisuse miinimumnõuded jõustuvad 2025. aasta juulis (Business.gov.lv). Pärast LVM-i rünnakut allkirjastas Läti peaministri kohusetäitja viis korraldust, millega ministeeriumid peavad aru andma riigi infosüsteemide turvalisusest ja sellest, kuidas info küberintsidentide kohta valitsuses liigub (Kulbergs). Ta sidus juhtumi hilinenud küberturvareeglitega ning tunnistas sisuliselt, et kirjalikest nõuetest ei piisa, kui need ei tööta igapäevases juhtimises.

Nüüdne proovikivi on praktiline ja ulatub Baltikumist kaugemale. Kui kaua võtab LVM-i taastumine? Kas inimesed saavad teada, millised isikuandmed avalikuks said? Kas varukoopiaid oli enne kriisi tegelikult testitud? Kas minister suudab nimetada, kes vastutab tema haldusalas iga avaliku infosüsteemi küberriski eest? Need küsimused seisavad kõigi Euroopa avalike teenuseosutajate ees. NIS2 teeb nende ignoreerimise raskemaks.