FSB murtautui Slovakian puolustusverkkoihin

Toimistossa vilkkuva reititin tai etätyöhön käytetty VPN-yhteys näyttää arkipäiväiseltä tekniikalta. Käytännössä ne ovat nykyisen infrastruktuurin etuovia. Slovakiassa Venäjän valtioon kytketyt hakkerit näyttävät kokeilleen juuri näitä ovia järjestelmissä, jotka liittyvät energiaverkkoihin, asetuotantoon ja ministeriöihin.

Slovakian ulkoministeriö vahvisti maan joutuneen Venäjän FSB-tiedustelupalveluun liitettyjen kyberoperaatioiden kohteeksi (Topky/TASR). Investointiministeriön mukaan toiminta kohdistui kriittiseen infrastruktuuriin, puolustusteollisuuteen ja energiasektoriin (TA3). Sähköasemia ei sammutettu. Junaliikenne ei pysähtynyt. Ero on olennainen, koska kyse näyttää olleen tiedustelusta, ei näkyvästä häirinnästä.

Murtovaras, jota televisio ei kiinnosta

Operaation taustalla oleva Turla ei ole pikavoittoja etsivä kiristyshaittaohjelmaryhmä. FSB:n Centre 16 -yksikön pyörittämä toiminta on rakennettu verkkoihin hiljaa tunkeutumista, piilossa pysymistä ja tiedon keräämistä varten kuukausien tai vuosien ajan (CISA). Vertauskuva olisi murtovaras, joka jättää television paikalleen mutta kuvaa sulaketaulun, merkitsee kamerat muistiin ja ottaa jäljennökset avaimista.

Sisäänpääsykohdat ovat tavallisia. CISA:n ja FBI:n yhteisen varoituksen mukaan Centre 16:n toimijat ovat käyttäneet hyväkseen huonosti määritettyjä reitittimiä, heikkoja verkonhallinta-asetuksia ja vanhentuneita VPN-yhdyskäytäviä eli laitteita, jotka sijaitsevat organisaation ja internetin rajalla (CISA AA26-194A, FBI/IC3). VPN-yhdyskäytävä voi paljastaa yhtä aikaa vierailijalokin ja kartan: kuka yhdistää, mistä ja mihin sisäisiin järjestelmiin. Asetustiedostot voivat näyttää luotetut yhteydet ja reitit syvemmälle verkkoon (AttackIQ).

Ministeriölle tai energiayhtiölle tämä tarkoittaa, että hyökkääjä voi kartoittaa heikot kohdat laukaisematta välttämättä hälytyksiä. Julkisen näytön perusteella kyse oli vaikutusvallan rakentamiseen tähtäävästä tiedustelusta, ei todisteesta välittömästä sabotaasista.

Miksi naapurit reagoivat

Eurooppalainen infrastruktuuri muistuttaa nykyisin vähemmän erillisten talojen riviä ja enemmän kerrostaloa, jossa johdot kulkevat seinien sisällä ristiin. Slovakialla ja Itävallalla on yhteinen kaasunsiirtoverkko sekä vilkas Wienin ja Bratislavan välinen raideyhteys (Gas Connect Austria, ÖBB). Tshekillä on Slovakian kanssa puolustustiedon vaihtokanavia ja raja-alueiden järjestelmiä (Novinky). Tämä ei tarkoita, että niihin olisi murtauduttu. Se selittää, miksi Slovakiassa tapahtunut tunkeutuminen nähdään jaettuna haavoittuvuutena.

Mikään naapurimaa ei ole kertonut vahvistetusta murrosta tämän tapauksen seurauksena. Huoli koskee sitä, että varastetut asetustiedot, toimittajien tunnukset tai tieto heikoista kohdista auttavat suunnittelemaan myöhempiä operaatioita kytkeytyneitä järjestelmiä vastaan. Itävalta kutsui Venäjän suurlähettilään puhutteluun asiaan liittyvien kyberhyökkäysten vuoksi. EU ja Britannia määräsivät ensimmäiset yhteiset pakotteensa Centre 16:ta ja Turla-operaatiota vastaan (Sabr Cyber & Tech News, formiche.net). Reaktiot kertovat, että hallitukset pitävät uhkaa yhteisenä, vaikka rajat ylittävästä vahingosta ei ole näyttöä.

Rakennusmääräys ei päivitä reititintä

Juuri tällaista tilannetta varten EU:n NIS2-direktiivi laadittiin. Se on olennaisille digitaalisille palveluille eräänlainen rakennusmääräyskokoelma: kriittisen infrastruktuurin toimijoiden on hallittava kyberriskejä, ilmoitettava poikkeamista nopeasti ja turvattava toimitusketjunsa (EUR-Lex). Slovakian tapaus koetteli tätä logiikkaa. Median mukaan hallitus vahvisti hyökkäykset vasta toimittajien kysyttyä niistä (TA3), ja oppositiopoliitikot syyttivät hallitusta vaarallisesta passiivisuudesta (Aktuality).

Rakennusmääräys voi vaatia palo-ovia ja palovaroittimia. Se ei estä ketään jättämästä ovea auki. NIS2 voi asettaa ilmoitusajat ja riskinarvioinnit. Se ei päivitä vanhaa reititintä eikä vaihda vuotanutta VPN-avainta.

Slovakiassa nähty ei julkisen näytön perusteella osoita, että Venäjä voisi halvaannuttaa Euroopan infrastruktuurin. Venäjään kytketyt toimijat kohdistivat toimia järjestelmiin, joiden avulla voidaan ymmärtää, kartoittaa ja valmistella painostusta kriittisiä palveluja vastaan. Jalansijat ovat hiljaisia, pääsyä rakennetaan kärsivällisesti ja tavoite on pitkä. Euroopan testi on, käsitelläänkö näkymätöntä pääsyä yhtä vakavasti kuin näkyvää häiriötä.