Ransomware blochează sistemele forestiere ale Letoniei

Pe 22 iunie, un atac cibernetic a lovit Latvijas valsts meži (LVM), compania silvică de stat a Letoniei, și a scos din funcțiune aproximativ jumătate dintre sistemele sale IT chiar în timpul sărbătorii Jāņi, când prezența personalului era redusă (LTV). Pentru utilizatori, efectul a fost simplu: permise de vânătoare, hărți forestiere și date despre livrările de lemn au devenit brusc indisponibile.

LVM a oprit preventiv serviciile publice: hărțile digitale, aplicația de vânătoare Mednis și schimburile de date cu partenerii. Compania a început restaurarea din copii de rezervă și a refuzat să coopereze cu atacatorul. Echipa letonă de răspuns la incidente cibernetice, CERT.LV, a confirmat că materiale furate au fost publicate online, deși anchetatorii încă stabileau ce date au fost efectiv extrase. Evaluarea lor: o operațiune de răscumpărare motivată comercial, nu o campanie legată de un stat (LTV). Cu alte cuvinte, o grupare infracțională interesată de profit a blocat servicii pe care cetățenii le folosesc în viața de zi cu zi.

Instalații vechi în clădiri renovate

O mare organizație publică seamănă adesea cu o clădire renovată. La intrare, totul pare modern: portaluri web, aplicații mobile, hărți interactive. În pereți, însă, rămân instalații vechi: sisteme de autentificare anterioare standardelor actuale de securitate, conexiuni la distanță pentru contractori pe care nu le-a mai verificat nimeni de ani întregi. Publicul nu vede aceste vulnerabilități, dar atacatorii le caută primele.

Grupările de ransomware intră, de regulă, printr-o parolă furată sau printr-un sistem neactualizat. Apoi încearcă, fără zgomot, să transforme un cont cu drepturi limitate în acces de administrator, mutându-se dintr-o zonă în alta a infrastructurii până când ajung să controleze cheia principală. Când apare nota de răscumpărare, intrusul poate fi deja în rețea de săptămâni întregi (CISA). LTV a relatat că testarea sistemelor de securitate ale LVM începuse înainte de data la care atacul a devenit vizibil (LTV).

Organizațiile publice sunt expuse în mod special. Nu își pot permite perioade lungi de indisponibilitate și trebuie să țină în funcțiune, în paralel, tehnologii vechi și noi, pe parcursul unor cicluri de modernizare care durează ani (CISA, CrowdStrike). Tocmai aceste puncte de contact dintre infrastructura moștenită și cea modernă sunt locurile în care securitatea cedează cel mai des.

Tiparul din vecini

Atacul din Letonia se înscrie într-o problemă regională mai largă. În Lituania, autoritățile investighează furtul a peste 600.000 de extrase din Registrul Imobiliar, inclusiv coduri personale de identificare, de la operatorul registrelor de stat Registrų centras (LRT). Accesul s-a făcut prin conturi de angajați compromise, primele autentificări ilicite datând de la începutul lui 2026. Publicul a aflat abia după câteva luni (TV3). Aproximativ 1.000 de persoane se pregăteau să dea statul în judecată (Verslo žinios).

Cele două cazuri sunt diferite tehnic, dar arată aceeași fisură: sisteme digitale civile, care susțin servicii publice obișnuite, rămase insuficient apărate. Germania a arătat unde poate duce această vulnerabilitate. În 2021, districtul Anhalt-Bitterfeld a declarat stare de dezastru după un atac ransomware, iar serviciile pentru cetățeni au fost perturbate timp de mai multe săptămâni (Landkreis Anhalt-Bitterfeld).

Noile reguli întâlnesc o pană reală

NIS2 este directiva UE care mută reziliența cibernetică la nivelul conducerii organizațiilor. Operatorii de servicii esențiale trebuie să trimită o avertizare timpurie în cel mult 24 de ore de la detectarea unui incident, să furnizeze o notificare detaliată în 72 de ore și să transmită un raport final în termen de o lună (EUR-Lex). Conducerea executivă răspunde personal pentru gestionarea riscului cibernetic (European Commission).

Letonia a transpus NIS2 în legislația națională, cu aplicare din septembrie 2024, iar cerințele minime de securitate cibernetică urmau să intre în vigoare în iulie 2025 (Business.gov.lv). După atacul asupra LVM, premierul interimar al Letoniei a semnat cinci rezoluții prin care ministerele trebuie să raporteze starea securității sistemelor de stat și modul în care informațiile despre incidente circulă în interiorul guvernului (Kulbergs). A legat incidentul de reglementări de securitate cibernetică întârziate, recunoscând implicit că regulile scrise au valoare doar dacă sunt dublate de proceduri care funcționează în practică.

Testul este acum unul operațional și depășește cu mult zona baltică. Cât va dura recuperarea LVM? Vor afla cetățenii ce date personale au fost expuse? Copiile de rezervă au fost testate înainte să fie nevoie de ele? Poate un ministru să spună cine răspunde, pe lanțul de comandă, de riscul cibernetic pentru fiecare sistem public? Fiecare operator public din Europa se confruntă cu aceleași întrebări. NIS2 face ca ele să nu mai poată fi amânate.