LVM-u procurilo 7.000 lozinki

Latvijska državna šumarska tvrtka LVM 22. lipnja isključila je cijelu informatičku infrastrukturu kako bi zaustavila napadača u kopiranju novih datoteka. Isporuke drva većini kupaca obnovljene su u roku od četiri dana, a većina internih sustava ponovno je radila do 29. lipnja. No oko 44 GB internih podataka već je bilo objavljeno na internetu, a ukupna količina ukradenih podataka mogla bi biti i veća.

Za državnog upravitelja šuma, četiri dana prekida relativno su kratak rok. Kupci i dalje trebaju drvnu sirovinu, izvođači radova upute, a javno poduzeće mora nastaviti raditi dok istražitelji utvrđuju što se dogodilo. LVM tvrdi da je imao funkcionalne sigurnosne kopije i da nije primio zahtjev za otkupninom. Latvijsko nacionalno tijelo za kibernetičku sigurnost CERT.LV potvrdilo je da su sigurnosne kopije bile obnovljive, čime su opovrgnuta prva izvješća da su uništene. Tvrtka je nastavila poslovati. Pravi problem ostaje ono što je iz sustava izašlo prije nego što su vrata zatvorena.

Jedan stari poslužitelj, dva tjedna pristupa

Suvremeni ucjenjivački softver sve manje nalikuje zaključanom računalu, a sve više provali u ured. Napadač pronađe slab ulaz, kreće se kroz mrežu, prikuplja pristupne podatke, kopira dokumente i zatim prijeti objavom ako žrtva ne plati. Vodič američke agencije CISA o ucjenjivačkom softveru opisuje upravo taj obrazac: ulazak u sustav, širenje mrežom, krađa vjerodajnica, kopiranje podataka i šifriranje.

Stručnjak za kibernetičku sigurnost Elvis Strazdiņš rekao je latvijskim medijima da je napadač navodno gotovo dva tjedna boravio u sustavima LVM-a, nakon što je ušao preko poslužitelja sa zastarjelim softverom. Prema tim izvješćima, došao je do približno 7.000 lozinki zaposlenika i postavio zlonamjerni softver. To su navodi stručnjaka i medija, a ne službeni forenzički nalaz. Ipak, dobro pokazuju poznatu slabost: jedan nezakrpan poslužitelj u inače ažuriranoj mreži može otvoriti pristup cijelom sustavu.

Strazdiņš je također rekao da je kontaktirao hakera te da mu je rečeno kako cijena dešifriranja iznosi oko 618.600 eura, odnosno 0,1 posto prihoda LVM-a. LVM tvrdi da nikakav zahtjev nije stigao do tvrtke. Ravnateljica CERT.LV-a Baiba Kaškina opisala je napadača kao osobu koja više traži pozornost nego novac, dodavši da je ista skupina napadala organizacije u više zemalja. Nema vjerodostojnih dokaza da iza napada stoji država. Obrazac više odgovara komercijalno motiviranom ucjenjivačkom napadu, uz izraženu potrebu za javnom vidljivošću.

Promijenjene brave, fotografirani dokumenti

Sigurnosne kopije spasile su poslovanje LVM-a. Teži je problem to što sigurnosne kopije rješavaju šifriranje podataka, ali ne mogu poništiti curenje. Lozinke, sigurnosni certifikati, odnosno digitalne vjerodajnice kojima poslužitelj dokazuje svoj identitet, i interni dokumenti ostaju izloženi čim su jednom kopirani, bez obzira na to koliko se uspješno obnove izvornici.

Promjena brava nakon provale nužna je, ali ne vraća dokumente koje je provalnik usput fotografirao. CERT.LV je upozorio da kompromitirane lozinke, certifikate i digitalne ključeve treba zamijeniti te da procurjeli podaci stvaraju dugotrajan rizik i za treće strane povezane sa sustavima LVM-a.

Kada priprema postaje pravno pitanje

Razlika između obnovljenih sustava i zaštićenih podataka nalazi se u središtu europske Direktive NIS2, koja obuhvaća 18 ključnih sektora. Njezina glavna promjena jest u tome što uprave moraju dokazati da su se pripremile prije napada, a ne samo da su se oporavile nakon njega. Direktiva izravno odgovornima smatra rukovodstva za upravljanje rizicima i prijavu incidenata.

Hoće li LVM nedvojbeno pasti u područje primjene NIS2-a ovisi o latvijskoj klasifikaciji tvrtke. Rokovi za punu usklađenost u državama članicama protežu se do 2027. i nakon nje, što znači da mnogi operateri još grade obrane koje će uskoro morati moći dokazati.

Slučaj LVM-a pokazuje obje strane tog prijelaza. Ono što je bilo dobro pripremljeno, sigurnosne kopije, postupna obnova i plan kontinuiteta poslovanja, omogućilo je da se isporuke vrate za nekoliko dana. Ono što nije bilo dovoljno dobro, ažurnost svakog poslužitelja i ranije otkrivanje uljeza, ostavilo je tisuće vjerodajnica i gigabajte datoteka dostupnima izvan tvrtke. Kaškina je neravnotežu sažela jednostavno: obrana mora zaštititi sve, a napadaču je dovoljna jedna slaba točka. To ostaje stalni izazov za svakog europskog operatera javnih usluga, bilo da upravlja šumama, bolnicama ili opskrbnim lancima.