Ransomware sparaliżował łotewskie lasy państwowe

22 czerwca, w czasie święta Jāņi, gdy część administracji pracowała w ograniczonym trybie, cyberatak uderzył w Latvijas valsts meži (LVM), łotewską spółkę zarządzającą lasami państwowymi. Według LTV przestała działać mniej więcej połowa jej systemów informatycznych, w tym usługi używane na co dzień przez obywateli i partnerów: mapy cyfrowe, aplikacja łowiecka Mednis oraz wymiana danych z kontrahentami (LTV).

LVM wyłączyła publiczne usługi prewencyjnie, rozpoczęła odtwarzanie systemów z kopii zapasowych i odmówiła współpracy z napastnikami. Łotewski zespół reagowania na incydenty CERT.LV potwierdził, że część skradzionych materiałów opublikowano w sieci, choć śledczy nadal ustalali, jakie dane faktycznie przejęto. Wstępna ocena była istotna politycznie: nie chodziło o operację państwową, lecz o komercyjnie motywowany atak ransomware (LTV). Zwykła grupa przestępcza była więc w stanie zatrzymać usługi, od których zależy codzienne funkcjonowanie państwa.

Stare instalacje za nową fasadą

Duża instytucja publiczna często wygląda cyfrowo nowocześnie tylko od frontu. Ma portale, aplikacje mobilne, interaktywne mapy. Za nimi działają jednak starsze systemy logowania, dawno wdrożone połączenia dla wykonawców i infrastruktura, której nie da się wymienić w jednym cyklu budżetowym. Dla obywatela te warstwy są niewidoczne. Dla atakującego są pierwszym miejscem, w którym szuka wejścia.

Typowy atak ransomware zaczyna się od skradzionego hasła albo niezałatanego systemu. Potem napastnicy stopniowo zwiększają uprawnienia, przechodzą z jednego segmentu sieci do kolejnego i próbują uzyskać dostęp administracyjny. Gdy pojawia się żądanie okupu, intruz może być w środku od tygodni (CISA). Według LTV rozpoznanie zabezpieczeń LVM zaczęło się jeszcze przed widocznym atakiem z 22 czerwca (LTV).

Instytucje publiczne są szczególnie podatne, bo nie mogą po prostu zatrzymać pracy na czas modernizacji. Muszą równolegle utrzymywać stare i nowe technologie, a cykle zakupowe oraz wdrożeniowe trwają latami (CISA, CrowdStrike). Najsłabszym punktem staje się właśnie miejsce styku: tam, gdzie nowy portal łączy się ze starym rejestrem, a zewnętrzny dostawca nadal ma dostęp, którego nikt dawno nie przejrzał.

Ten sam wzór za granicą

Łotewski przypadek wpisuje się w szerszy problem regionu. Na Litwie śledczy badają kradzież ponad 600 000 wyciągów z Rejestru Nieruchomości, w tym danych z osobistymi kodami identyfikacyjnymi, z państwowego operatora Registrų centras (LRT). Dostęp uzyskano przez skradzione konta pracowników, a pierwsze nielegalne logowania miały pochodzić z początku 2026 r. Opinia publiczna dowiedziała się o sprawie dopiero po kilku miesiącach (TV3). Około 1 000 osób miało przygotowywać pozew przeciwko państwu (Verslo žinios).

Technicznie to inne sprawy: na Łotwie paraliż usług, na Litwie wyciek danych z rejestru. Mechanizm ryzyka jest jednak ten sam. Cywilne systemy cyfrowe, obsługujące zwykłe sprawy obywateli, są bronione słabiej, niż wymaga tego ich realne znaczenie. Niemcy pokazały, dokąd to prowadzi. W 2021 r. powiat Anhalt-Bitterfeld po ataku ransomware ogłosił stan katastrofy, a usługi dla mieszkańców były zakłócone przez tygodnie (Landkreis Anhalt-Bitterfeld).

Nowe przepisy zderzają się z realną awarią

NIS2, unijna dyrektywa o cyberodporności, przenosi odpowiedzialność za bezpieczeństwo cyfrowe na poziom zarządów i kierownictwa instytucji. Operatorzy usług kluczowych muszą wysłać wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu, pełniejsze zgłoszenie w ciągu 72 godzin, a raport końcowy w ciągu miesiąca (EUR-Lex). Kierownictwo wyższego szczebla ponosi osobistą odpowiedzialność za zarządzanie ryzykiem cyberbezpieczeństwa (European Commission).

Łotwa wdrożyła NIS2 do prawa krajowego od września 2024 r., a minimalne wymagania cyberbezpieczeństwa mają wejść w życie w lipcu 2025 r. (Business.gov.lv). Po ataku na LVM pełniący obowiązki premiera podpisał pięć rezolucji zobowiązujących ministerstwa do raportowania stanu bezpieczeństwa systemów państwowych oraz sposobu obiegu informacji o incydentach w administracji (Kulbergs). Powiązał sprawę z zaległymi regulacjami cyberbezpieczeństwa, przyznając w praktyce, że same przepisy nie wystarczą bez działających procedur.

Teraz liczy się wykonanie. Jak długo potrwa odtworzenie systemów LVM? Czy obywatele dowiedzą się, jakie dane osobowe ujawniono? Czy kopie zapasowe były wcześniej testowane, czy dopiero atak pokazał ich wartość? Czy minister potrafi wskazać osobę odpowiedzialną za ryzyko cybernetyczne każdego systemu publicznego w swoim resorcie? Te pytania dotyczą nie tylko państw bałtyckich. NIS2 sprawia, że w całej Europie coraz trudniej będzie zostawiać je bez odpowiedzi.