Rosja śledzi broń przez kamery IP

Tania kamera przemysłowa na ścianie europejskiego magazynu, nadal działająca na fabrycznym haśle, może stać się elementem rosyjskiego systemu rozpoznania. Nie trzeba włamywać się do sztabu ani przejmować wojskowego satelity. Wystarczy urządzenie, którego nikt od lat nie aktualizował. Holenderskie służby ujawniły w lipcu, że rosyjscy hakerzy państwowi przejmowali kamery IP w państwach NATO, zwłaszcza wzdłuż tras logistyki wojskowej prowadzącej do Ukrainy (AIVD, DW).

Ten przykład dobrze pokazuje zmianę, o której europejskie rządy mówią już bez większych niedomówień: rosyjskie operacje cybernetyczne wymierzone w cywilną infrastrukturę nie są serią odosobnionych incydentów. Stały się trwałym elementem presji na państwa wspierające Ukrainę.

Fińskie władze opisują to słowem „arkipäivää”, czyli codzienność, stan tła, z którym trzeba żyć (Yle). NATO, potępiając 13 lipca „uporczywe złośliwe działania cybernetyczne” Rosji, użyło języka prowadzącego do podobnego wniosku (NATO). Nie chodzi o jedno włamanie, które można zbadać, zamknąć raportem i uznać za zakończone. Chodzi o operację prowadzoną stale.

Kopiowanie wszystkich kluczy do budynku

Stary obraz cyberataku przypomina włamanie: ktoś wchodzi, coś kradnie i znika. To, co opisują dziś europejskie służby, bardziej przypomina skopiowanie wszystkich kluczy do budynku, poznanie grafiku ochrony, rozrysowanie tras dostaw i sprawdzanie od czasu do czasu, jak szybko zadziała alarm.

Punkt wejścia bywa banalny: stary router, słabe hasło, kamera bez aktualizacji. Fińska służba Supo wskazuje, że 16. Centrum FSB wykorzystuje właśnie takie luki do szpiegowania firm energetycznych i obronnych (Supo). Nie potrzeba do tego wyrafinowanego arsenału.

Znaczenie strategiczne zaczyna się później. Po wejściu do systemu atakujący przejmują dane logowania, czyli w praktyce kopiują cyfrowe klucze. Następnie poruszają się między systemami: z recepcji do magazynu, z magazynu do pomieszczenia sterowania. Obserwują komunikację wewnętrzną, uczą się sposobu działania organizacji i utrzymują dostęp przez miesiące albo lata.

Szpiegostwo służy rozpoznaniu terenu. Zalew śmieciowego ruchu, który wyłącza strony internetowe, tworzy szum i obciąża obsługę techniczną. Złośliwe oprogramowanie niszczące dane może pozostawać uśpione, gotowe do użycia, gdy Kreml uzna eskalację za opłacalną (ENISA).

Różne państwa, ta sama kampania

Każde państwo widzi zagrożenie przez własną ekspozycję. Dla Finlandii jest to przede wszystkim historia o brzegu sieci: firmy energetyczne i sektory krytyczne stają się celami długotrwałego rozpoznania. Szefowa fińskiej dyplomacji Elina Valtonen potępiła działania Rosji i wezwała rosyjskiego ambasadora (MTV Uutiset).

Dla Polski to historia korytarza logistycznego. Jako jeden z głównych szlaków pomocy dla Ukrainy Polska mierzy się z operacjami cyfrowymi równolegle do zagrożeń sabotażowych. Minister spraw zagranicznych Radosław Sikorski mówił o wiarygodnych informacjach, że Rosja planuje kolejne działania, wymieniając podpalenia, ataki na kolej i rozpoznanie infrastruktury obok włamań cyfrowych (RMF24, Rzeczpospolita).

Te opisy się nie wykluczają. Pokazują różne powierzchnie tej samej kampanii: zdobywać dostęp, obserwować sieci, mapować zależności, zakłócać wybrane punkty i podnosić koszt polityczny wsparcia dla Ukrainy.

Jest tu jednak zastrzeżenie. Część ostrzeżeń opiera się na informacjach niejawnych, których rządy nie mogą pokazać opinii publicznej. Atrybucja pozostaje oficjalną oceną instytucji, nie dowodem przedstawionym w jawnej sali sądowej. Polski MSZ powołał się na stanowisko UE łączące operacje destrukcyjne z 16. Centrum FSB (WP). To ocena wiarygodna i instytucjonalnie umocowana, ale nie w pełni audytowalna z zewnątrz.

Prawo jest gotowe, routery nie

Europejska odpowiedź prawna przyspieszyła. Dwa najważniejsze instrumenty, dyrektywa NIS2 i akt o cyberodporności, przesuwają odpowiedzialność wyżej: z przeciążonego działu IT na zarządy firm oraz producentów urządzeń (NIS2 Directive). NIS2 wprowadza odpowiedzialność kadry kierowniczej za cyberbezpieczeństwo i zaostrza obowiązki raportowania incydentów w większej liczbie sektorów. Akt o cyberodporności uderza bezpośrednio w problem kamer i routerów, wymagając od producentów bezpiecznych ustawień domyślnych zamiast fabrycznych haseł (EUR-Lex CRA).

Luka leży w wykonaniu. Dyrektywa nie zaktualizuje z dnia na dzień starych routerów i nie zmieni tysięcy domyślnych haseł. Wdrażanie NIS2 w państwach członkowskich pozostaje nierówne. Konstrukcja regulacyjna jest sensowna, ale instalacja wciąż nie została dokończona.

Dla obywateli i firm zmiana jest nie tylko techniczna, lecz także mentalna. Cyberbezpieczeństwo nie jest już sprzątaniem po spektakularnym włamaniu. Staje się utrzymaniem infrastruktury: stałym wykrywaniem zagrożeń, aktualizowaniem systemów, nadzorem nad dostawcami i ćwiczeniem reakcji na incydenty. To mniej efektowne niż jeden duży atak z nagłówków, ale trudniejsze do utrzymania.

Najbliższy test nie będzie polegał na tym, czy Europa ma dobre przepisy na papierze. Pytanie brzmi, czy stare kamery, niezałatane routery i nieprzygotowane zarządy zmienią się szybciej, niż Rosja wykorzysta dostęp, który już sobie zbudowała.