7 000 jelszó szivárgott ki az LVM-től

Június 22-én a lett állami erdőgazdálkodási vállalat, az LVM leállította a teljes informatikai infrastruktúráját, hogy megakadályozza a támadót további fájlok kimásolásában. A faanyag-szállítások a legtöbb vevőnél négy napon belül újraindultak, a belső rendszerek nagy része pedig június 29-re ismét működött. Addigra azonban nagyjából 44 GB belső adat már felkerült az internetre, és nem kizárt, hogy ennél több adatot vittek el.

Egy állami erdészeti vállalatnál a négynapos helyreállás gyorsnak számít. A vevőknek továbbra is kell a faanyag, az alvállalkozóknak utasításokra van szükségük, egy közvállalatnak pedig akkor is működnie kell, amikor a vizsgálat még tart. Az LVM szerint használható biztonsági mentéseik voltak, és váltságdíj-követelés nem érkezett hozzájuk. A lett nemzeti kiberbiztonsági hatóság, a CERT.LV megerősítette, hogy a mentések helyreállíthatók voltak, cáfolva azokat a korai értesüléseket, amelyek szerint a támadók ezeket is megsemmisítették. A szervezet tehát talpon maradt. A kérdés az, mi jutott ki a rendszerből, mielőtt bezárták volna az ajtókat.

Egy régi szerver, két hét hozzáférés

A modern zsarolóvírusos támadás inkább betörésre hasonlít, mint egyetlen lezárt számítógépre. A támadó talál egy gyenge bejáratot, végigmegy a hálózaton, hozzáféréseket gyűjt, adatokat másol, majd azzal fenyeget, hogy nyilvánosságra hozza őket, ha nem fizetnek. Az amerikai kiberbiztonsági ügynökség, a CISA zsarolóvírus-útmutatója is ezt a tipikus sorrendet írja le: belépés, terjeszkedés a hálózatban, hitelesítő adatok megszerzése, adatmásolás, titkosítás.

Elvis Strazdiņš kiberbiztonsági szakértő a lett sajtónak azt mondta, hogy a támadó állítólag közel két hetet töltött az LVM rendszereiben, és egy elavult szoftvert futtató szerveren keresztül jutott be. A beszámolók szerint nagyjából 7000 dolgozói jelszóhoz fért hozzá, és kártevőt is telepített. Ezek szakértői és sajtóértesülések, nem hivatalos forenzikus megállapítások. A kockázatot mégis pontosan mutatják: egyetlen frissítetlen szerver egy egyébként korszerű hálózatban is elég lehet ahhoz, hogy a támadó az egész rendszerben mozogni kezdjen.

Strazdiņš azt is állította, hogy kapcsolatba lépett a hackerrel, aki szerint az adatok visszafejtésének ára mintegy 618 600 € lett volna, az LVM bevételének 0,1 százalékához kötve. Az LVM szerint a vállalathoz ilyen követelés nem jutott el. Baiba Kaškina, a CERT.LV vezetője úgy fogalmazott, hogy a támadó inkább hírnevet keresett, mint pénzt, és megjegyezte: a csoport több országban is támadott szervezeteket. Állami háttérre nincs hiteles bizonyíték. A minta inkább üzleti alapon működő zsarolóvírusos támadásra utal, erős nyilvánosságkereséssel.

Lecserélt zárak, lefotózott iratok

Az LVM működését a biztonsági mentések mentették meg. A nehezebb probléma az, hogy a mentés csak a titkosítás következményeit kezeli, a kiszivárgott fájlokat nem lehet „visszaszivárogtatni”. Jelszavak, biztonsági tanúsítványok, vagyis azok a digitális igazolások, amelyekkel egy szerver bizonyítja, hogy valóban az, aminek mondja magát, belső dokumentumok: ha ezeket egyszer kimásolták, akkor a kockázat akkor is megmarad, ha az eredeti rendszereket hibátlanul helyreállítják.

Betörés után zárat cserélni kötelező lépés, de ettől még nem kerülnek vissza azok az iratok, amelyeket a betörő kifelé menet lefotózott. A CERT.LV figyelmeztetett, hogy a kompromittált jelszavakat, tanúsítványokat és digitális kulcsokat le kell cserélni, a kiszivárgott adatok pedig tartós kockázatot jelentenek minden olyan harmadik félnek is, amely kapcsolódik az LVM rendszereihez.

Amikor a felkészülés jogi kérdéssé válik

A „rendszerek helyreálltak” és az „adatok védve maradtak” közötti különbség áll az EU NIS2 irányelvének középpontjában is. A szabályozás 18 kritikus ágazatra terjed ki, és a lényege az, hogy a vezetőknek nem elég egy támadás után bizonyítaniuk a helyreállítás képességét: azt is igazolniuk kell, hogy előre kezelték a kockázatokat. Az irányelv közvetlen felelősséget ró a vezetésre a kockázatkezelésért és az incidensek bejelentéséért.

Az, hogy az LVM pontosan a NIS2 hatálya alá tartozik-e, attól függ, Lettország hogyan sorolja be a vállalatot. A tagállami megfelelési határidők több helyen 2027-ig vagy azon túlra nyúlnak, vagyis sok szolgáltató még most építi azokat a védelmi képességeket, amelyeket rövidesen igazolnia kell.

Az LVM esete mindkét oldalt megmutatja. Ami működött — a mentések, a fokozatos helyreállítás, az üzletmenet-folytonossági tervezés —, néhány nap alatt újraindította a szállításokat. Ami nem működött — minden szerver naprakészen tartása, a behatoló korábbi észlelése —, több ezer hitelesítő adatot és gigabájtnyi fájlt hagyott kint a nyilvánosság előtt. Kaškina egyszerűen írta le az aránytalanságot: a védekezőknek mindent biztosítaniuk kell, a támadónak viszont elég egyetlen gyenge pont. Ez marad minden európai közszolgáltató alapfeladata, akár erdőket, akár kórházakat, akár ellátási láncokat működtet.