Rusija prati NATO-ovo oružje kamerama

Jeftina sigurnosna kamera na zidu europskog skladišta, još uvijek s tvorničkom lozinkom, tiho je preuzeta u ruskoj državnoj hakerskoj operaciji i uključena u mrežu za nadzor isporuka oružja Ukrajini. Vlasnik kamere za to možda nikada neće doznati. Nizozemske obavještajne službe početkom mjeseca objavile su da su IP kamere u državama NATO-a kompromitirane duž vojnih logističkih pravaca (AIVD, DW). Ta slika dobro sažima ono što europske vlade sada govore sve otvorenije: ruske kibernetičke operacije protiv civilne infrastrukture nisu povremeni incidenti, nego stalno stanje.

Finske vlasti za to koriste riječ „arkipäivää”, svakodnevica, odnosno trajna pozadina normalnog života (Yle). NATO je 13. srpnja, osuđujući ruske „trajne zlonamjerne kibernetičke aktivnosti”, upotrijebio sličan rječnik (NATO). To više nije jedan upad koji se istraži i zatvori. To je operacija koja traje i na koju se države moraju prilagoditi.

Kopiranje svih ključeva u zgradi

Stara predodžba kibernetičkog napada nalikuje provali: netko uđe, nešto odnese i ode. Ono što danas opisuju europske službe više nalikuje situaciji u kojoj netko potajno kopira sve ključeve u zgradi, uči raspored čuvara, mapira dostavne pravce i povremeno aktivira protupožarni alarm kako bi izmjerio reakciju.

Ulazna točka često je banalna: stari usmjerivač, slaba lozinka, uređaj koji nitko godinama nije ažurirao. Finska obavještajna služba Supo tvrdi da se upravo takvim slabostima koristi 16. centar ruske Federalne sigurnosne službe, FSB-a, za špijuniranje energetskih i obrambenih tvrtki (Supo). Za to nisu potrebni posebno egzotični alati.

Strateška težina počinje nakon ulaska. Napadači kradu pristupne podatke, dakle kopiraju ključeve, a zatim ih koriste za prelazak iz jednog sustava u drugi: iz predvorja u skladište, pa u kontrolnu sobu. Prate internu komunikaciju, uče kako organizacija funkcionira i održavaju pristup mjesecima ili godinama. Špijunaža im crta kartu terena. Poplave beskorisnog prometa koje ruše internetske stranice stvaraju buku. Destruktivni zlonamjerni programi mogu ostati uspavani, spremni ako se odluči na zaoštravanje (ENISA).

Različite države, ista operacija

Svaka država prijetnju vidi kroz vlastitu izloženost. U Finskoj je naglasak na rubovima mreža: energetske tvrtke i poduzeća u kritičnim sektorima mete su dugotrajne špijunaže. Ministrica vanjskih poslova Elina Valtonen osudila je aktivnosti i pozvala ruskog veleposlanika na razgovor (MTV Uutiset). U Poljskoj je riječ o logističkom koridoru: kao jedna od glavnih tranzitnih ruta za pomoć Ukrajini, zemlja se suočava s kibernetičkim operacijama uz fizičke sabotaže. Ministar vanjskih poslova Radosław Sikorski upozorio je na vjerodostojne obavještajne podatke da Rusija planira nove akcije, spominjući palež, napade na željeznicu i izviđanje infrastrukture zajedno s digitalnim upadima (RMF24, Rzeczpospolita).

Ta izvješća nisu u sukobu. Ona prikazuju različite površine iste kampanje: ukrasti pristup, promatrati mreže, mapirati ovisnosti, selektivno ometati i povećavati trošak državama koje podupiru Ukrajinu.

Tu je potrebna ograda. Dio upozorenja temelji se na povjerljivim obavještajnim podacima koje vlade ne mogu javno objaviti. Pripisivanje odgovornosti službena je procjena, a ne dokazni postupak pred sudom. Poljsko ministarstvo vanjskih poslova pozvalo se na stajalište Europske unije koje destruktivne operacije povezuje sa 16. centrom FSB-a (WP). Takva je tvrdnja uvjerljiva i institucionalno poduprta, ali nije potpuno provjerljiva iz javno dostupnih podataka.

Zakoni su spremni, usmjerivači nisu

Europski pravni odgovor ubrzano je napredovao. Dva glavna instrumenta, Direktiva NIS2 i Akt o kibernetičkoj otpornosti, počivaju na istoj ideji: odgovornost treba podići prema vrhu, s preopterećenih informatičkih odjela na uprave poduzeća i proizvođače uređaja (NIS2 Directive). NIS2 čini više rukovodstvo pravno odgovornim za kibernetičku sigurnost i širi obveze prijavljivanja incidenata na veći broj sektora. Akt o kibernetičkoj otpornosti izravno cilja problem kamera i usmjerivača, jer od proizvođača traži da uređaje isporučuju sa sigurnim zadanim postavkama, a ne s tvorničkim lozinkama (EUR-Lex CRA).

Praznina je u provedbi. Direktiva ne može preko noći zakrpati svaki stari usmjerivač ni promijeniti svaku zadanu lozinku. Prijenos NIS2 u nacionalna zakonodavstva i dalje je neujednačen među državama članicama. Arhitektura je postavljena, ali instalacija nije dovršena.

Za europske građane promjena je jednako pojmovna koliko i tehnička. Kibernetička sigurnost više nije čišćenje nakon spektakularnog proboja, nego održavanje infrastrukture: stalno otkrivanje prijetnji, ažuriranje sustava, nadzor dobavljača i priprema odgovora na incidente. Manje je dramatično od jednog velikog napada, ali teže za održavati. Sljedeći test neće biti ima li Europa dobre zakone na papiru, nego jesu li stare kamere, nezakrpani usmjerivači i nedovoljno pripremljene uprave doista promijenjeni prije nego što Rusija iskoristi pristup koji je već izgradila.