FSB-kémek szlovák védelmi hálózatokban

Egy irodai router vagy a távmunkához használt vállalati VPN ritkán tűnik stratégiai célpontnak. Mégis ezek a hétköznapi eszközök jelentik a modern infrastruktúra bejáratait. Szlovákiában orosz állami kötődésű hackerek éppen ezeket a bejáratokat tesztelhették olyan rendszerek körül, amelyek az energiahálózatokhoz, a fegyvergyártáshoz és minisztériumokhoz kapcsolódnak.

A szlovák külügyminisztérium megerősítette, hogy az országot az orosz FSB hírszerző szolgálathoz köthető kiberműveletek célba vették (Topky/TASR). A beruházási minisztérium szerint a tevékenység a kritikus infrastruktúrát, a hadiipart és az energiaszektort érintette (TA3). Erőmű nem állt le, vonatok nem maradtak veszteg. Éppen ez a különbség a lényeg: nem látványos bénításról, hanem előkészítő felderítésről beszélünk.

A betörő, aki nem a tévét viszi el

A művelet mögött álló Turla nem gyors pénzre hajtó zsarolóvírus-banda. Az FSB Centre 16 nevű egységéhez kötött hálózat célja az, hogy csendben bejusson, rejtve maradjon, és hónapokon vagy akár éveken át hírszerzési adatokat gyűjtsön (CISA). Inkább olyan betörőre hasonlít, aki otthagyja a televíziót, de lefotózza a biztosítéktáblát, feljegyzi a kamerák helyét, és lenyomatot vesz minden kulcsról.

A belépési pontok prózaiak. A CISA és az FBI közös figyelmeztetése szerint a Centre 16 szereplői rosszul beállított routereket, gyenge hálózatfelügyeleti konfigurációkat és elavult VPN-átjárókat használnak ki, vagyis azokat az eszközöket, amelyek egy szervezet és az internet határán állnak (CISA AA26-194A, FBI/IC3). Egy VPN-átjáró egyszerre működhet belépési naplóként és térképként: megmutatja, ki honnan csatlakozik, és milyen belső rendszereket ér el. A konfigurációs fájlok a megbízhatónak tekintett kapcsolatokra és a hálózat mélyebb útvonalaira is rálátást adhatnak (AttackIQ).

Egy minisztériumnál vagy energiacégnél ez azt jelenti, hogy a támadó riasztás nélkül feltérképezheti a gyenge pontokat. A nyilvános bizonyítékok alapján ez inkább nyomásgyakorláshoz használható felderítés volt, nem közvetlen szabotázs előjele.

Miért figyelnek a szomszédok is

A mai európai infrastruktúra kevésbé különálló házak sorára, inkább közös vezetékekkel működő társasházra hasonlít. Szlovákiát és Ausztriát gázszállító hálózat, valamint forgalmas Bécs–Pozsony vasúti folyosó köti össze (Gas Connect Austria, ÖBB). Csehországgal védelmi adatcsere-csatornák és határ menti rendszerek kapcsolják össze (Novinky). Ez nem jelenti azt, hogy ezeket a rendszereket feltörték. Azt magyarázza, miért kezelik a kormányok a szlovák behatolást közös sérülékenységként.

Egyetlen szomszédos állam sem jelentett megerősített kompromittálódást az ügy miatt. A kockázat inkább az, hogy az ellopott konfigurációk, beszállítói hozzáférések vagy a gyenge pontokról szerzett ismeretek későbbi támadások előkészítését segíthetik összekapcsolt rendszerek ellen. Ausztria kapcsolódó kibertámadások miatt bekérette az orosz nagykövetet. Az EU és az Egyesült Királyság először vezetett be közös szankciókat a Centre 16 és a Turla-művelet ellen (Sabr Cyber & Tech News, formiche.net). A válaszlépések azt jelzik, hogy a kormányok a fenyegetést határokon átnyúlónak tekintik, akkor is, ha tényleges határon túli kárra nincs bizonyíték.

Egy építési szabályzat nem javít meg egy routert

Erre a helyzetre találták ki a NIS2-t. Az irányelv lényegében a létfontosságú digitális szolgáltatások építési szabályzata: előírja, hogy a kritikus infrastruktúra üzemeltetői kezeljék a kiberkockázatokat, gyorsan jelentsék az incidenseket, és biztosítsák az ellátási láncaikat (EUR-Lex). Szlovákia reakciója ezt a logikát tette próbára. A sajtó szerint a kormány csak újságírói kérdések után ismerte el a támadásokat (TA3), az ellenzék pedig veszélyes passzivitással vádolta a kabinetet (Aktuality).

Egy építési szabályzat előírhat tűzlépcsőt és füstérzékelőt. Azt nem akadályozza meg, hogy valaki kitámassza az ajtót. A NIS2 jelentési határidőket és kockázatértékeléseket írhat elő. Egy régi routert nem frissít helyette senki, és egy kiszivárgott VPN-kulcsot sem cserél le automatikusan.

A nyilvános információk alapján a szlovák ügy nem azt bizonyítja, hogy Oroszország képes megbénítani az európai infrastruktúrát. Inkább azt mutatja, hogy orosz kötődésű szereplők olyan rendszereket céloztak, amelyek segítségével megérthetik, feltérképezhetik és később nyomás alá helyezhetik a kritikus szolgáltatásokat. A hozzáférés csendes, a jelenlét türelmes, a cél hosszú távú. Európa számára az a próba, hogy a láthatatlan hozzáférést ugyanolyan komolyan veszi-e, mint a látványos fennakadást.