LVM kiberuzbrukumā noplūst 7,000 paroļu

22. jūnijā valsts mežu apsaimniekotājs „Latvijas valsts meži” apturēja visu IT infrastruktūru, lai neļautu uzbrucējam kopēt vēl vairāk failu. Koksnes piegādes lielākajai daļai pircēju atsākās četru dienu laikā, un lielākā daļa iekšējo sistēmu darbojās jau 29. jūnijā. Taču aptuveni 44 GB iekšējo datu jau bija publicēti internetā, un nozagto datu apjoms varētu būt lielāks.

Valsts mežsaimniecības uzņēmumam četru dienu atjaunošanās ir ātra. Pircējiem joprojām vajag kokmateriālus, līgumslēdzējiem — darba uzdevumus, un valsts kapitālsabiedrībai jāspēj strādāt arī tad, kad izmeklētāji vēl tikai noskaidro notikušo. LVM norāda, ka tai bija darbspējīgas rezerves kopijas un izpirkuma maksa nav pieprasīta. Latvijas kiberdrošības iestāde CERT.LV apstiprināja, ka rezerves kopijas bija atjaunojamas, atspēkojot sākotnējās ziņas par to iznīcināšanu. Uzņēmums darbu turpināja. Taču galvenais jautājums ir tas, kas no sistēmām tika iznests pirms piekļuve tika apturēta.

Viens novecojis serveris, divas nedēļas piekļuves

Mūsdienu izspiedējvīrusu uzbrukumi arvien retāk līdzinās vienkārši nobloķētam datoram. Tie vairāk atgādina ielaušanos ēkā: uzbrucējs atrod vienu vāju ieeju, pārvietojas no telpas uz telpu, savāc piekļuves atslēgas, nokopē dokumentus un pēc tam draud tos publicēt, ja netiks samaksāts. ASV Kiberdrošības un infrastruktūras drošības aģentūras vadlīnijās šī secība aprakstīta kā standarta modelis: iegūt piekļuvi, izplatīties tīklā, nozagt piekļuves datus, kopēt informāciju un šifrēt sistēmas.

Kiberdrošības eksperts Elvis Strazdiņš Latvijas medijiem sacījis, ka uzbrucējs LVM sistēmās esot pavadījis gandrīz divas nedēļas, iekļūstot caur serveri ar novecojušu programmatūru. Kā tiek ziņots, uzbrucējs piekļuvis aptuveni 7000 darbinieku parolēm un sistēmās ievietojis ļaunatūru. Tie ir ekspertu un mediju ziņojumi, nevis oficiāli digitālās ekspertīzes secinājumi. Tomēr tie parāda labi zināmu ievainojamību: viens neatjaunināts serveris arī citādi modernā tīklā var atvērt piekļuvi visai infrastruktūrai.

Strazdiņš arī norādījis, ka sazinājies ar hakeri un viņam esot nosaukta atšifrēšanas cena — aptuveni 618 600 €, kas piesaistīta 0,1 % no LVM ieņēmumiem. LVM savukārt uzsver, ka uzņēmums nekādu izpirkuma prasību nav saņēmis. CERT.LV vadītāja Baiba Kaškina uzbrucēju raksturoja kā tādu, kurš vairāk meklējis atpazīstamību nekā naudu, norādot, ka grupa uzbrukusi organizācijām vairākās valstīs. Ticamu pierādījumu par valsts sponsorētu operāciju nav. Redzamais modelis drīzāk atbilst komerciāli motivētam izspiedējvīrusu uzbrukumam, kuram pievienota vēlme pēc publicitātes.

Nomainītas slēdzenes, nofotografēti dokumenti

LVM rezerves kopijas nosargāja uzņēmuma darbību. Sarežģītākā daļa ir tā, ka rezerves kopijas atrisina šifrēšanas problēmu, bet nespēj atcelt datu noplūdi. Paroles, drošības sertifikāti jeb digitālie apliecinājumi, kas pierāda servera identitāti, iekšējie dokumenti — ja tie reiz nokopēti, tie paliek ārpus uzņēmuma kontroles arī tad, ja oriģinālās sistēmas tiek atjaunotas.

Pēc ielaušanās slēdzenes jānomaina, taču tas neatgūst dokumentus, ko zaglis paspējis nofotografēt. CERT.LV brīdināja, ka kompromitētās paroles, sertifikāti un digitālās atslēgas jāaizstāj, bet noplūdušie dati rada ilgstošus riskus arī trešajām pusēm, kas ir savienotas ar LVM sistēmām.

Kad sagatavotība kļūst par juridisku jautājumu

Atšķirība starp „sistēmas atjaunotas” un „dati aizsargāti” ir viens no centrālajiem jautājumiem ES NIS2 direktīvā, kas aptver 18 kritiskās nozares. Direktīvas galvenā pārmaiņa ir prasība vadībai pierādīt, ka organizācija bija sagatavojusies pirms uzbrukuma, nevis tikai spēja atkopties pēc tā. Direktīva nosaka vadības tiešu atbildību par risku pārvaldību un incidentu ziņošanu.

Tas, vai LVM pilnībā ietilpst NIS2 tvērumā, atkarīgs no Latvijas noteiktās klasifikācijas. Pilnas atbilstības termiņi dalībvalstīs sniedzas līdz 2027. gadam un vēl tālāk, tāpēc daudzi operatori vēl tikai veido aizsardzības sistēmas, kuru esamība drīz būs jāpierāda.

LVM gadījums parāda abas šīs pārejas puses. Sagatavotība, kas nostrādāja — rezerves kopijas, pakāpeniska sistēmu atjaunošana un darbības nepārtrauktības plānošana — ļāva piegādes atsākt dažu dienu laikā. Sagatavotība, kas nenostrādāja — visu serveru uzturēšana aktuālā stāvoklī un ātrāka ielaušanās pamanīšana — atstāja atklātībā tūkstošiem piekļuves datu un gigabaitiem failu. Kaškina šo asimetriju formulēja vienkārši: aizstāvjiem jānosargā viss, bet uzbrucējam pietiek ar vienu vāju punktu. Tas ir pastāvīgs izaicinājums ikvienam Eiropas publisko pakalpojumu operatoram — neatkarīgi no tā, vai tas pārvalda mežus, slimnīcas vai piegādes ķēdes.