7,000 haseł wyciekło po ataku na LVM

22 czerwca łotewska państwowa spółka leśna LVM wyłączyła całą infrastrukturę IT, by zatrzymać napastnika kopiującego kolejne pliki. Dostawy drewna do większości odbiorców wznowiono w ciągu czterech dni, a większość systemów wewnętrznych działała ponownie 29 czerwca. W sieci zdążyło się jednak znaleźć ok. 44 GB danych wewnętrznych, a skala kradzieży może być większa.

Jak na operatora państwowych lasów, cztery dni przerwy to wynik niezły. Odbiorcy nadal potrzebowali surowca, wykonawcy instrukcji, a spółka publiczna musiała działać równolegle ze śledztwem. LVM twierdzi, że miała sprawne kopie zapasowe i nie otrzymała żądania okupu. Łotewski urząd cyberbezpieczeństwa CERT.LV potwierdził, że kopie dało się odtworzyć, co zaprzeczało pierwszym doniesieniom o ich zniszczeniu. Firma utrzymała więc ciągłość działania. Problem leży gdzie indziej: w tym, co opuściło jej systemy, zanim drzwi zostały domknięte.

Jeden stary serwer, dwa tygodnie dostępu

Współczesny ransomware coraz rzadziej przypomina zwykłe zablokowanie komputera. Bardziej przypomina włamanie do budynku: napastnik znajduje słabe wejście, przechodzi z pokoju do pokoju, zbiera klucze, kopiuje dokumenty, a dopiero potem grozi publikacją danych, jeśli nie dostanie pieniędzy. Poradnik CISA dotyczący ransomware opisuje właśnie taki schemat: uzyskanie dostępu, rozprzestrzenienie się po sieci, kradzież poświadczeń, kopiowanie danych i szyfrowanie.

Ekspert cyberbezpieczeństwa Elvis Strazdiņš powiedział łotewskim mediom, że napastnik miał spędzić w systemach LVM niemal dwa tygodnie, wchodząc przez serwer z przestarzałym oprogramowaniem. Według tych relacji uzyskał dostęp do ok. 7 tys. haseł pracowników i zainstalował złośliwe oprogramowanie. To relacje ekspertów i mediów, nie oficjalne ustalenia śledczych. Pokazują jednak znany mechanizm: jeden niezałatany serwer w skądinąd nowoczesnej sieci potrafi otworzyć drogę do całej organizacji.

Strazdiņš twierdził również, że skontaktował się z hakerem i usłyszał, iż cena za odszyfrowanie danych wynosiła ok. 618 600 EUR, czyli 0,1% przychodów LVM. Spółka utrzymuje, że żadne żądanie do niej nie dotarło. Szefowa CERT.LV Baiba Kaškina oceniła, że napastnikowi bardziej zależało na rozgłosie niż na pieniądzach, wskazując, że ta sama grupa atakowała organizacje w kilku krajach. Nie ma wiarygodnych dowodów na udział państwa. Wzorzec bardziej pasuje do komercyjnego ransomware, wzmocnionego potrzebą publicznej demonstracji.

Wymienione zamki, sfotografowane dokumenty

Kopie zapasowe uratowały działalność LVM. Trudniejszy problem polega na tym, że backup rozwiązuje tylko część dotyczącą szyfrowania. Nie cofa wycieku. Hasła, certyfikaty bezpieczeństwa, czyli cyfrowe poświadczenia potwierdzające tożsamość serwera, dokumenty wewnętrzne: po skopiowaniu pozostają poza kontrolą firmy, nawet jeśli oryginalne systemy uda się odtworzyć bez strat.

Po włamaniu wymiana zamków jest konieczna, ale nie odzyskuje dokumentów sfotografowanych przez włamywacza. CERT.LV ostrzegł, że przejęte hasła, certyfikaty i klucze cyfrowe trzeba wymienić, a ujawnione dane tworzą trwałe ryzyko także dla podmiotów trzecich podłączonych do systemów LVM.

Gdy przygotowanie staje się kwestią prawną

Właśnie w tej luce między „systemy działają” a „dane są chronione” mieści się sens unijnej dyrektywy NIS2, obejmującej 18 sektorów krytycznych. Jej główna zmiana polega na przesunięciu odpowiedzialności z samego gaszenia pożaru na dowód wcześniejszego przygotowania. Kierownictwo ma odpowiadać bezpośrednio za zarządzanie ryzykiem i zgłaszanie incydentów, co wynika z samej dyrektywy.

To, czy LVM w pełni podlega NIS2, zależy od sposobu klasyfikacji spółki przez Łotwę. Harmonogram pełnego dostosowania w państwach członkowskich rozciąga się na 2027 r. i kolejne lata, więc wielu operatorów dopiero buduje zabezpieczenia, które wkrótce będzie musiało umieć wykazać.

Przypadek LVM dobrze pokazuje obie strony tej zmiany. To, co zadziałało — kopie zapasowe, etapowe odtwarzanie systemów, plan ciągłości działania — pozwoliło wznowić dostawy w kilka dni. To, co zawiodło — aktualizowanie każdego serwera i wcześniejsze wykrycie intruza — zostawiło w sieci tysiące poświadczeń i gigabajty plików. Kaškina ujęła tę asymetrię najprościej: obrońcy muszą zabezpieczyć wszystko, atakującemu wystarczy jeden słaby punkt. To pozostaje stałym problemem europejskich operatorów usług publicznych, niezależnie od tego, czy zarządzają lasami, szpitalami, czy łańcuchami dostaw.