LVM atakoje nutekėjo 7 000 slaptažodžių

Birželio 22 d. Latvijos valstybinė miškų bendrovė LVM išjungė visą IT infrastruktūrą, kad sustabdytų įsilaužėlį, kopijavusį bendrovės failus. Medienos tiekimas daugumai pirkėjų atnaujintas per keturias dienas, o dauguma vidaus sistemų vėl veikė iki birželio 29 d.. Tačiau internete jau buvo paskelbta apie 44 GB vidinių duomenų, o pavogtas kiekis gali būti didesnis.

Valstybinei miškų valdymo bendrovei keturios dienos — trumpas laikas. Pirkėjams reikia medienos, rangovams — nurodymų, o viešoji įmonė turi tęsti darbą, kol vyksta tyrimas. LVM teigia turėjusi veikiančias atsargines kopijas ir negavusi išpirkos reikalavimo. Latvijos nacionalinė kibernetinio saugumo institucija CERT.LV patvirtino, kad atsargines kopijas buvo galima atkurti, taip paneigdama ankstesnius pranešimus, esą jos sunaikintos. Organizacija veiklos neprarado. Problema — tai, kas spėta išnešti prieš uždarant duris.

Vienas senas serveris, dvi savaitės prieigos

Šiuolaikinė išpirkos reikalaujanti kenkimo programinė įranga veikia ne tiek kaip užrakintas kompiuteris, kiek kaip įsilaužimas į pastatą. Įsibrovėlis randa silpną įėjimą, juda per tinklą, renka prieigos duomenis, kopijuoja dokumentus ir tada grasina juos paskelbti, jei nebus sumokėta. CISA išpirkos reikalaujančių atakų gairėse ši eiga aprašoma kaip įprasta: gauti prieigą, plisti tinkle, vogti prisijungimo duomenis, kopijuoti informaciją, šifruoti sistemas.

Kibernetinio saugumo ekspertas Elvis Strazdinis Latvijos žiniasklaidai teigė, kad įsilaužėlis esą beveik dvi savaites buvo LVM sistemose, patekęs per pasenusios programinės įrangos serverį. Pranešama, kad įsibrovėlis gavo prieigą prie maždaug 7 000 darbuotojų slaptažodžių ir įdiegė kenkimo programą. Tai ekspertų ir žiniasklaidos pateikiama informacija, o ne oficialios skaitmeninės ekspertizės išvados. Vis dėlto ji rodo gerai žinomą pažeidžiamumą: vienas neatnaujintas serveris net ir šiuolaikiškame tinkle gali atverti kelią į visą infrastruktūrą.

Strazdinis taip pat sakė susisiekęs su įsilaužėliu ir išgirdęs, kad duomenų iššifravimo kaina siekė apie 618 600 €, susiejant ją su 0,1 % LVM pajamų. LVM tvirtina, kad joks reikalavimas bendrovės nepasiekė. CERT.LV vadovė Baiba Kaškina įsilaužėlį apibūdino kaip labiau siekusį žinomumo nei pinigų, pažymėdama, kad ši grupė taikėsi į organizacijas keliose šalyse. Patikimų įrodymų apie valstybės paramą nėra. Matomas modelis labiau atitinka komerciškai motyvuotą išpirkos reikalaujančią ataką, papildytą viešumo paieškomis.

Pakeistos spynos ir nufotografuoti dokumentai

LVM atsarginės kopijos išsaugojo veiklą. Sudėtingesnė problema ta, kad atsarginės kopijos padeda atkurti užšifruotas sistemas, bet nepanaikina jau nutekintų failų. Slaptažodžiai, saugumo sertifikatai — skaitmeniniai įgaliojimai, patvirtinantys, kad serveris tikrai yra tas, kuo prisistato, — vidaus dokumentai: kartą nukopijuoti, jie lieka atskleisti, kad ir kaip gerai būtų atkurti originalai.

Po įsilaužimo būtina pakeisti spynas, bet tai nesugrąžina pakeliui nufotografuotų dokumentų. CERT.LV įspėjo, kad kompromituotus slaptažodžius, sertifikatus ir skaitmeninius raktus reikia pakeisti, o nutekinti duomenys kelia tęstinę riziką visoms trečiosioms šalims, susijusioms su LVM sistemomis.

Kai pasirengimas tampa teisiniu klausimu

Tarpas tarp „sistemos atkurtos“ ir „duomenys apsaugoti“ yra vienas svarbiausių ES TIS2 direktyvos klausimų. Ši direktyva apima 18 ypatingos svarbos sektorių. Jos esmė — vadovai turi įrodyti, kad organizacija buvo pasirengusi prieš ataką, o ne tik sugebėjo atsigauti po jos. Direktyva vadovybei numato tiesioginę atsakomybę už rizikos valdymą ir pranešimą apie incidentus.

Ar LVM aiškiai patenka į TIS2 taikymo sritį, priklauso nuo to, kaip bendrovę klasifikuoja Latvija. Visiško atitikties įgyvendinimo terminai valstybėse narėse nusitęsia į 2027 m. ir vėliau, todėl daug operatorių dar tik kuria apsaugos priemones, kurias netrukus turės gebėti įrodyti.

LVM atvejis parodo abi šio tarpo puses. Suveikęs pasirengimas — atsarginės kopijos, etapinis sistemų atkūrimas, veiklos tęstinumo planavimas — leido tiekimą atnaujinti per kelias dienas. Nesuveikęs pasirengimas — ne visi laiku atnaujinti serveriai, per vėlai aptiktas įsibrovėlis — paliko tūkstančius prisijungimo duomenų ir gigabaitus failų viešai prieinamus. Kaškina šią disproporciją nusakė paprastai: gynėjai turi apsaugoti viską, o užpuolikui pakanka vienos silpnos vietos. Tai lieka nuolatinis iššūkis kiekvienam Europos viešųjų paslaugų operatoriui — nesvarbu, ar jis valdo miškus, ligonines, ar tiekimo grandines.