Zsarolóvírus bénította meg a lett erdőcéget

Június 22-én kibertámadás érte a Latvijas valsts mežit, vagyis Lettország állami erdészeti vállalatát. Az LVM informatikai rendszereinek nagyjából fele leállt, ráadásul a Jāņi, a lett nyári napfordulós ünnep idején, amikor kevesebben figyelték a rendszereket (LTV).

A cég elővigyázatosságból levette az online szolgáltatásait: a digitális térképeket, a Mednis vadászati alkalmazást és a partnerekkel működő adatkapcsolatokat is. Az LVM biztonsági mentésekből kezdte helyreállítani a rendszereket, és közölte, hogy nem működik együtt a támadóval. A lett kibervédelmi központ, a CERT.LV megerősítette, hogy ellopott anyagok jelentek meg az interneten, de a vizsgálók még azt próbálták megállapítani, pontosan milyen adatokhoz fértek hozzá. A hatóságok értékelése szerint pénzszerzésre irányuló zsarolóvírusos akcióról volt szó, nem állami hátterű műveletről (LTV). Egy bűnözői csoport olyan szolgáltatásokat állított le, amelyeket sokan napi ügyintézésre használnak.

Új felület, régi vezetékek

Egy nagy állami szervezet digitális rendszere gyakran úgy néz ki, mint egy felújított épület. Elöl modern a fogadótér: webes ügyintézés, mobilalkalmazás, interaktív térképek. A falak mögött viszont sokszor régi vezetékek futnak. Elavult beléptetési rendszerek, régen kialakított távoli hozzáférések, külső vállalkozók kapcsolatai, amelyeket évek óta senki nem vizsgált át rendesen.

A zsarolóvírusos csoportok jellemzően lopott jelszóval vagy be nem foltozott sérülékenységen keresztül jutnak be. Ezután csendben dolgoznak azon, hogy egy alacsony jogosultságú hozzáférésből rendszergazdai irányítás legyen, és fokozatosan haladnak végig a hálózaton. Mire megjelenik a váltságdíj-követelés, a támadó akár hetek óta bent lehet a rendszerben (CISA). Az LTV szerint az LVM biztonsági rendszereinek feltérképezése már a látható támadás előtt elkezdődött (LTV).

Az állami szervezetek különösen kiszolgáltatottak, mert nem engedhetik meg maguknak a tartós leállást, miközben hosszú fejlesztési ciklusok alatt kell együtt működtetniük régi és új technológiákat (CISA, CrowdStrike). A legtöbb törés éppen ott keletkezik, ahol az örökölt infrastruktúra találkozik a modern rendszerekkel.

A szomszédban is ugyanez a minta látszik

A lett támadás egy tágabb regionális problémába illeszkedik. Litvániában a hatóságok azt vizsgálják, hogyan lophattak el több mint 600 000 ingatlan-nyilvántartási kivonatot, köztük személyi azonosító kódokat, az állami nyilvántartásokat kezelő Registrų centras rendszeréből (LRT). A támadók lopott dolgozói fiókokon keresztül fértek hozzá az adatokhoz, az első jogosulatlan belépések pedig 2026 elejére nyúlnak vissza. A nyilvánosság csak hónapokkal később értesült az ügyről (TV3). Körülbelül 1000 ember készült arra, hogy beperelje az államot (Verslo žinios).

A két ügy technikailag eltérő, de ugyanarra a hiányosságra mutat: a mindennapi közszolgáltatásokat kezelő civil digitális rendszerek védelme sok helyen nem tart lépést a kockázattal. Németország már megmutatta, hová vezethet ez. 2021-ben Anhalt-Bitterfeld járás katasztrófahelyzetet hirdetett egy zsarolóvírusos támadás után, mert a lakossági ügyintézési szolgáltatások hetekre akadoztak (Landkreis Anhalt-Bitterfeld).

Az új szabályok most éles helyzetben vizsgáznak

A NIS2 az EU kiberbiztonsági irányelve, amely a digitális ellenálló képességet vezetői felelősséggé teszi. Az alapvető szolgáltatásokat működtető szervezeteknek az incidens észlelésétől számított 24 órán belül korai figyelmeztetést kell küldeniük, 72 órán belül részletes bejelentést kell tenniük, egy hónapon belül pedig zárójelentést kell adniuk (EUR-Lex). A felső vezetés személyesen felel a kiberbiztonsági kockázatok kezeléséért (European Commission).

Lettország 2024 szeptemberétől ültette át a NIS2-t a nemzeti jogba, a minimum kiberbiztonsági követelmények pedig 2025 júliusában lépnek hatályba (Business.gov.lv). Az LVM elleni támadás után Lettország ügyvezető miniszterelnöke öt határozatot írt alá, amelyekben a minisztériumoknak jelenteniük kell az állami rendszerek biztonságáról és arról, hogyan áramlik az incidensekre vonatkozó információ a kormányzaton belül (Kulbergs). A támadást a késésben lévő kiberbiztonsági szabályozásokhoz kötötte, és ezzel lényegében elismerte: a papíron létező szabályok csak akkor érnek valamit, ha működő eljárások állnak mögöttük.

Most gyakorlati kérdésekre kell választ adni, nemcsak Lettországban. Mennyi ideig tart az LVM rendszereinek helyreállítása? Megtudják-e az állampolgárok, milyen személyes adataik kerülhettek ki? Tesztelték-e a biztonsági mentéseket azelőtt, hogy szükség lett rájuk? Meg tudja-e nevezni egy miniszter, ki felel a felügyeleti láncban egy-egy közrendszer kiberkockázatáért? Ezekkel a kérdésekkel minden európai közszolgáltatónak szembe kell néznie. A NIS2 után már nehezebb lesz válasz nélkül hagyni őket.