LVM:ltä vuoti 7,000 salasanaa

Latvian valtion metsäyhtiö LVM sulki 22. kesäkuuta koko it-infrastruktuurinsa estääkseen hyökkääjää kopioimasta lisää tiedostoja. Puutoimitukset useimmille ostajille käynnistyivät uudelleen neljässä päivässä, ja valtaosa sisäisistä järjestelmistä oli käytössä 29. kesäkuuta. Verkkoon oli kuitenkin jo julkaistu noin 44 gigatavua sisäistä dataa, ja varastetun aineiston kokonaismäärä voi olla suurempi.

Valtion metsäyhtiölle neljän päivän katko on lyhyt. Ostajat tarvitsevat puuta, urakoitsijat työohjeita ja julkisen yhtiön on toimittava myös tutkinnan aikana. LVM:n mukaan varmuuskopiot toimivat, eikä yhtiö saanut lunnasvaatimusta. Latvian kansallinen kyberturvallisuusviranomainen CERT.LV vahvisti, että varmuuskopiot olivat palautettavissa, mikä kumosi varhaiset tiedot niiden tuhoutumisesta. Toiminta jatkui. Varsinainen ongelma on se, mitä ehti poistua järjestelmistä ennen sulkua.

Yksi vanha palvelin, kaksi viikkoa aikaa

Nykyinen kiristyshaittaohjelma toimii harvoin pelkkänä lukittuna tietokoneena. Se muistuttaa enemmän murtoa: hyökkääjä löytää yhden heikon sisäänkäynnin, liikkuu verkossa, kerää tunnuksia, kopioi aineistoa ja uhkaa julkaista sen, ellei maksua tule. Yhdysvaltain kyberturvavirasto CISA:n opas kuvaa etenemisen tavanomaisena ketjuna: pääsy sisään, leviäminen verkossa, tunnusten varastaminen, datan kopiointi ja salaus.

Kyberturva-asiantuntija Elvis Strazdiņš kertoi latvialaismedialle, että hyökkääjä olisi ollut LVM:n järjestelmissä lähes kaksi viikkoa ja päässyt sisään vanhentunutta ohjelmistoa käyttäneen palvelimen kautta. Tietojen mukaan hyökkääjä sai käsiinsä noin 7 000 työntekijäsalasanaa ja asensi haittaohjelman. Kyse on asiantuntija- ja mediatiedoista, ei virallisista rikosteknisistä johtopäätöksistä. Ne kuvaavat silti tuttua haavoittuvuutta: yksi paikkaamaton palvelin voi avata pääsyn muuten ajantasaiseen verkkoon.

Strazdiņšin mukaan hän oli yhteydessä hyökkääjään, joka kertoi salauksen purkuhinnaksi noin 618 600 euroa eli 0,1 prosenttia LVM:n liikevaihdosta. LVM:n mukaan vaatimusta ei koskaan toimitettu yhtiölle. CERT.LV:n johtaja Baiba Kaškina arvioi, että hyökkääjä haki enemmän mainetta kuin rahaa. Hänen mukaansa sama ryhmä oli iskenyt organisaatioihin useissa maissa. Valtiollisesta taustasta ei ole uskottavaa näyttöä. Tapaus sopii paremmin kaupalliseen kiristyshaittaohjelmaan, johon liittyy julkisuushakuisuutta.

Lukot vaihtuivat, asiakirjat ehdittiin kuvata

Varmuuskopiot pelastivat LVM:n operatiivisen toiminnan. Vaikeampi kysymys on, että varmuuskopio ratkaisee vain salauksen aiheuttaman käyttökatkon. Se ei peruuta tietovuotoa. Salasanat, varmenteet eli palvelinten digitaalista henkilöllisyyttä todistavat tunnisteet ja sisäiset asiakirjat pysyvät alttiina, vaikka alkuperäiset tiedostot palautetaan moitteettomasti.

Murron jälkeen lukot on vaihdettava, mutta se ei tuo takaisin papereita, jotka varas ehti kuvata. CERT.LV varoitti, että vaarantuneet salasanat, varmenteet ja digitaaliset avaimet on uusittava. Vuotanut data aiheuttaa jatkuvaa riskiä myös kolmansille osapuolille, joilla on yhteyksiä LVM:n järjestelmiin.

Varautumisesta tulee oikeudellinen kysymys

Ero järjestelmien palauttamisen ja datan suojaamisen välillä on EU:n NIS2-direktiivin ytimessä. Direktiivi koskee 18 kriittistä sektoria ja muuttaa vastuun painopistettä: johdon on pystyttävä osoittamaan, että hyökkäykseen oli varauduttu etukäteen. Pelkkä jälkikäteinen palautuminen ei riitä. Direktiivi tekee johdosta suoraan vastuullisen riskienhallinnasta ja häiriöraportoinnista.

Se, kuuluuko LVM yksiselitteisesti NIS2:n piiriin, riippuu Latvian kansallisesta luokittelusta. Jäsenmaiden täysimääräiset toimeenpanoaikataulut ulottuvat vuoteen 2027 ja sen yli, joten moni toimija rakentaa yhä puolustusta, jonka olemassaolo pitää pian pystyä näyttämään.

LVM:n tapaus näyttää kuilun molemmat puolet. Toiminut varautuminen, kuten varmuuskopiot, vaiheittainen palautus ja jatkuvuussuunnittelu, palautti toimitukset muutamassa päivässä. Pettänyt varautuminen, kuten jokaisen palvelimen pitäminen ajan tasalla ja tunkeutujan havaitseminen ajoissa, jätti tuhansia tunnuksia ja gigatavuja tiedostoja avoimiksi. Kaškinan tiivistys on kyberturvan perusongelma: puolustajan on suojattava kaikki, hyökkääjälle riittää yksi heikko kohta. Se koskee jokaista eurooppalaista julkista palvelutoimijaa, oli kyse metsistä, sairaaloista tai toimitusketjuista.