Išpirkos ataka sustabdė Latvijos miškų sistemas

Birželio 22 d. kibernetinė ataka smogė Latvijos valstybinių miškų bendrovei „Latvijas valsts meži“ (LVM). Per Joninių, latviškai Jāņi, šventinį laikotarpį, kai sistemų stebėsena paprastai retesnė, sutriko maždaug pusė bendrovės IT sistemų: nuo miškų žemėlapių iki medienos pristatymo duomenų ir medžioklės leidimų infrastruktūros (LTV).

LVM prevenciškai išjungė viešąsias paslaugas: skaitmeninius žemėlapius, medžioklės programėlę „Mednis“ ir duomenų mainus su partneriais. Bendrovė pradėjo sistemų atkūrimą iš atsarginių kopijų ir, kaip pranešama, atsisakė bendradarbiauti su užpuolikais. Latvijos reagavimo į kibernetinius incidentus komanda CERT.LV patvirtino, kad dalis pavogtos medžiagos paskelbta internete, nors tyrėjai dar aiškinosi, kokie duomenys iš tiesų paimti. Pirminis vertinimas: tai komerciniais tikslais vykdyta išpirkos reikalaujanti ataka, o ne su valstybe siejama operacija (LTV).

Sena instaliacija už naujų sienų

Didelė viešojo sektoriaus organizacija dažnai primena renovuotą pastatą. Išorėje matyti šiuolaikinės paslaugos: interneto portalai, mobiliosios programėlės, interaktyvūs žemėlapiai. Už sienų lieka senesnė infrastruktūra: prisijungimo sistemos, sukurtos iki dabartinių saugumo standartų, metų metus neaudituotos rangovų nuotolinės prieigos, su naujais sprendimais sujungtos senos duomenų bazės.

Būtent per tokias vietas dažniausiai ir einama. Išpirkos reikalaujančių programų grupuotės paprastai pradeda nuo pavogto slaptažodžio arba neatnaujintos sistemos, tada tyliai plečia prieigą, kol žemo lygio naudotojo paskyra virsta administratoriaus kontrole. Kai organizacija pamato išpirkos reikalavimą, įsilaužėliai viduje gali būti išbuvę kelias savaites (CISA). LTV pranešė, kad LVM saugumo sistemų zondavimas prasidėjo dar iki matomos atakos datos (LTV).

Viešosios organizacijos ypač pažeidžiamos, nes jos negali ilgam stabdyti paslaugų ir dažnai priverstos kartu eksploatuoti senas bei naujas technologijas per ilgus modernizavimo ciklus (CISA, CrowdStrike). Saugumas dažniausiai lūžta ne ten, kur sistema atrodo sena, o ten, kur sena infrastruktūra sujungta su nauja.

Tas pats modelis kaimynystėje

Latvijos atvejis įsirašo į platesnį regiono vaizdą. Lietuvoje institucijos tiria daugiau kaip 600 000 Nekilnojamojo turto registro išrašų vagystę iš valstybės registrų operatoriaus Registrų centro. Tarp nutekintų duomenų buvo ir asmens kodai (LRT). Prieiga, kaip skelbta, gauta per pavogtas darbuotojų paskyras, o pirmieji neteisėti prisijungimai fiksuoti 2026 m. pradžioje. Visuomenė apie tai sužinojo tik po kelių mėnesių (TV3). Apie 1 000 žmonių rengėsi bylinėtis su valstybe (Verslo žinios).

Techniniu požiūriu šie atvejai skirtingi, tačiau jie rodo tą pačią spragą: kasdienį viešąjį gyvenimą aptarnaujančios civilinės skaitmeninės sistemos ginamos nepakankamai. Vokietija jau parodė, kur tai gali nuvesti. 2021 m. Anhalto-Biterfeldo apskritis po išpirkos reikalaujančios atakos paskelbė nelaimės padėtį, o gyventojams teikiamos paslaugos buvo sutrikusios kelias savaites (Landkreis Anhalt-Bitterfeld).

Naujos taisyklės susiduria su tikru sutrikimu

NIS2 – ES direktyva, kibernetinį atsparumą perkelianti į aukščiausios vadovybės atsakomybės lygį. Esminių paslaugų operatoriai apie incidentą turi pateikti ankstyvą įspėjimą per 24 valandas nuo jo nustatymo, išsamesnį pranešimą – per 72 valandas, o galutinę ataskaitą – per vieną mėnesį (EUR-Lex). Vyresnioji vadovybė asmeniškai atsako už kibernetinio saugumo rizikos valdymą (European Commission).

Latvija NIS2 perkėlė į nacionalinę teisę nuo 2024 m. rugsėjo, o minimalieji kibernetinio saugumo reikalavimai įsigalioja 2025 m. liepą (Business.gov.lv). Po LVM atakos Latvijos laikinasis premjeras pasirašė penkias rezoliucijas, įpareigojančias ministerijas pateikti informaciją apie valstybės sistemų saugumą ir apie tai, kaip incidentų informacija juda valdžios grandinėje (Kulbergs). Jis susiejo incidentą su vėluojančiu kibernetinio saugumo reguliavimu, kartu pripažindamas, kad vien parašytų taisyklių neužtenka.

Dabar klausimas praktinis ir aktualus ne tik Baltijos šalims. Kiek truks LVM atkūrimas? Ar gyventojai sužinos, kokie asmens duomenys buvo atskleisti? Ar atsarginės kopijos buvo išbandytos dar iki krizės? Ar ministras gali įvardyti, kas jo atsakomybės grandinėje valdo kiekvienos viešosios sistemos kibernetinę riziką? NIS2 šiuos klausimus padaro neišvengiamus visiems Europos viešųjų paslaugų operatoriams.