Kiristyshaittaohjelma pysäytti Latvian metsätalousjärjestelmät

Latvian valtion metsäyhtiö Latvijas valsts meži, LVM, joutui kyberhyökkäyksen kohteeksi 22. kesäkuuta. Isku osui Jāņi-juhannuksen aikaan, jolloin valvontaa oli vähemmän, ja lamautti noin puolet yhtiön IT-järjestelmistä. Käytännössä pimeänä olivat palvelut, joita tarvitaan metsästyslupiin, metsäkarttoihin ja puukuljetusten tietoihin (LTV).

LVM sulki julkisia palveluja varotoimena. Pois käytöstä menivät muun muassa digitaaliset kartat, Mednis-metsästyssovellus ja kumppaneiden tiedonvaihto. Yhtiö alkoi palauttaa järjestelmiä varmuuskopioista eikä suostunut hyökkääjän vaatimuksiin. Latvian kyberturvaviranomainen CERT.LV vahvisti, että varastettua aineistoa oli julkaistu verkossa, mutta tutkinnassa selvitettiin yhä, mitä tietoja hyökkääjä oli saanut haltuunsa. Viranomaisarvion mukaan kyse oli rahaa tavoittelevasta kiristysoperaatiosta, ei valtiollisesta kampanjasta (LTV).

Uudet palvelut, vanhat rakenteet

Suuren julkisen organisaation digipalvelut näyttävät käyttäjälle usein moderneilta: verkkopalveluja, mobiilisovelluksia ja karttanäkymiä. Niiden taustalla voi silti olla vanhoja kirjautumisjärjestelmiä, vuosia tarkastamatta jääneitä etäyhteyksiä ja ohjelmistoja, joihin tietoturvapäivitykset eivät enää sovi siististi.

Kiristyshaittaohjelmia käyttävät ryhmät pääsevät sisään tavallisesti varastetulla salasanalla tai paikkaamattoman järjestelmän kautta. Sen jälkeen tavoitteena on nostaa käyttöoikeuksia vähitellen, kunnes hyökkääjä saa ylläpitäjätason pääsyn. Kun lunnasviesti lopulta näkyy, tunkeutuja on voinut olla verkossa jo viikkoja (CISA). LTV:n mukaan LVM:n tietoturvajärjestelmiä oli luodattu jo ennen näkyvää hyökkäyspäivää (LTV).

Julkiset organisaatiot ovat vaikeassa asemassa, koska palvelukatkoja siedetään huonosti ja vanhaa sekä uutta teknologiaa joudutaan pitämään rinnakkain pitkien uudistushankkeiden ajan (CISA, CrowdStrike). Juuri näissä rajapinnoissa tietoturva usein pettää.

Sama malli naapurissa

Latvian tapaus sopii Baltian laajempaan ongelmaan. Liettuassa viranomaiset tutkivat yli 600 000 kiinteistörekisteriotteen varastamista valtion rekisteriyhtiö Registrų centrasilta. Aineistossa oli mukana henkilötunnuksia vastaavia tunnisteita (LRT). Pääsy järjestelmiin kulki varastettujen työntekijätunnusten kautta, ja ensimmäiset luvattomat kirjautumiset ajoittuivat vuoden 2026 alkuun. Yleisö sai tietää vuodosta vasta kuukausia myöhemmin (TV3). Noin 1 000 ihmistä valmistautui haastamaan valtion oikeuteen (Verslo žinios).

Tapaukset ovat teknisesti erilaisia, mutta paljastavat saman puutteen: arkisia julkisia palveluja pyörittävät siviilijärjestelmät eivät ole suojattuja sen merkityksen mukaisesti. Saksassa nähtiin vuonna 2021, mihin se voi johtaa. Anhalt-Bitterfeldin piirikunta julisti katastrofitilan kiristyshaittaohjelmahyökkäyksen jälkeen, ja kansalaispalvelut olivat häiriintyneinä viikkoja (Landkreis Anhalt-Bitterfeld).

Uudet säännöt kohtasivat todellisen häiriön

NIS2 on EU-direktiivi, joka nostaa kyberturvallisuuden johdon vastuulle. Välttämättömien palvelujen tarjoajien on lähetettävä ensivaroitus 24 tunnin kuluessa havaitusta poikkeamasta, tarkempi ilmoitus 72 tunnin kuluessa ja loppuraportti kuukauden sisällä (EUR-Lex). Ylin johto vastaa henkilökohtaisesti kyberriskien hallinnasta (European Commission).

Latvia pani NIS2:n täytäntöön kansallisessa lainsäädännössä syyskuussa 2024. Kyberturvallisuuden vähimmäisvaatimukset tulevat voimaan heinäkuussa 2025 (Business.gov.lv). LVM-iskun jälkeen Latvian virkaatekevä pääministeri allekirjoitti viisi päätöstä, joilla ministeriöitä velvoitettiin raportoimaan valtion järjestelmien turvallisuudesta ja siitä, miten tieto kyberpoikkeamista kulkee hallinnossa (Kulbergs). Hän kytki tapauksen viivästyneisiin kyberturvallisuussääntöihin ja myönsi samalla, että kirjattu sääntely ei riitä ilman toimivaa käytäntöä.

Seuraava koe on käytännöllinen. Kuinka kauan LVM:n palautuminen kestää? Kerrotaanko kansalaisille, mitä henkilötietoja on mahdollisesti paljastunut? Oliko varmuuskopiot testattu ennen kriisiä? Osaako ministeri nimetä, kuka vastaa kunkin julkisen järjestelmän kyberriskistä omassa komentoketjussaan? Samat kysymykset koskevat kaikkia Euroopan julkisia palveluntarjoajia. NIS2:n jälkeen niitä ei voi enää jättää vastaamatta.