LVM uniklo 7 000 hesiel

Lotyšský štátny lesnícky podnik LVM 22. júna vypol celú svoju IT infraštruktúru, aby útočníkovi zabránil kopírovať ďalšie súbory. Dodávky dreva pre väčšinu odberateľov sa obnovili do štyroch dní a väčšina interných systémov opäť fungovala do 29. júna. Medzitým sa však na internete objavilo približne 44 GB interných dát a celkový objem ukradnutých údajov môže byť vyšší.

Pri štátnom prevádzkovateľovi lesov sú štyri dni rýchla obnova. Odberatelia stále potrebujú drevo, dodávatelia pokyny a verejná firma musí fungovať aj v čase, keď prebieha vyšetrovanie. LVM tvrdí, že mala funkčné zálohy a nedostala žiadnu požiadavku na výkupné. Lotyšský národný kyberbezpečnostný úrad CERT.LV potvrdil, že zálohy bolo možné obnoviť, čím vyvrátil prvé správy, podľa ktorých mali byť zničené. Organizácia sa nezastavila. Skutočný problém je v tom, čo zo systémov odišlo ešte predtým, než sa dvere zavreli.

Jeden starý server, dva týždne prístupu

Moderný ransomvér už nefunguje len ako zamknutý počítač. Skôr pripomína vlámanie: útočník nájde slabý vchod, postupne prechádza z miestnosti do miestnosti, zbiera kľúče, kopíruje dokumenty a potom hrozí ich zverejnením, ak nedostane zaplatené. Príručka CISA k ransomvéru opisuje bežný postup práve takto: získať prístup, rozšíriť sa v sieti, ukradnúť prihlasovacie údaje, skopírovať dáta a zašifrovať systémy.

Kyberbezpečnostný expert Elvis Strazdiņš lotyšským médiám povedal, že útočník mal byť v systémoch LVM takmer dva týždne a dnu sa dostal cez server so zastaraným softvérom. Podľa týchto správ získal prístup k približne 7 000 heslám zamestnancov a do siete nasadil škodlivý softvér. Ide o vyjadrenia experta a médií, nie o oficiálne forenzné závery. Ukazujú však dobre známu slabinu: jeden nezaplátaný server môže v inak modernizovanej sieti otvoriť celý podnik.

Strazdiņš zároveň uviedol, že kontaktoval hackera a ten mu mal povedať, že cena za dešifrovanie je približne 618 600 €, teda 0,1 % tržieb LVM. LVM tvrdí, že žiadna požiadavka sa k firme nikdy nedostala. Šéfka CERT.LV Baiba Kaškina opísala útočníka ako niekoho, kto hľadal skôr publicitu než peniaze, a pripomenula, že skupina útočila na organizácie vo viacerých krajinách. Dôveryhodné dôkazy o podpore zo strany štátu nie sú. Vzor útoku skôr zodpovedá komerčne motivovanému ransomvéru s výraznou snahou o zviditeľnenie.

Vymenené zámky, odfotené dokumenty

Zálohy LVM zachránili prevádzku. Ťažší problém je inde: zálohy riešia zašifrovanie systémov, no nevedia vrátiť späť už uniknuté súbory. Heslá, bezpečnostné certifikáty, teda digitálne doklady, ktorými server preukazuje svoju identitu, aj interné dokumenty po skopírovaní zostávajú vystavené bez ohľadu na to, ako dobre sa obnovia originály.

Po vlámaní je výmena zámkov nevyhnutná, no nevráti dokumenty, ktoré si páchateľ cestou von odfotil. CERT.LV varoval, že kompromitované heslá, certifikáty a digitálne kľúče treba nahradiť a že uniknuté dáta vytvárajú dlhodobé riziko aj pre tretie strany napojené na systémy LVM.

Keď sa príprava stáva právnou otázkou

Práve rozdiel medzi „systémy sú obnovené“ a „dáta sú chránené“ je jadrom európskej smernice NIS2, ktorá sa týka 18 kritických sektorov. Jej hlavný posun spočíva v tom, že manažment má preukázať prípravu pred útokom, nielen obnovu po ňom. Smernica kladie vedeniu priamu zodpovednosť za riadenie rizík a nahlasovanie incidentov.

To, či LVM jednoznačne spadá pod NIS2, závisí od lotyšskej klasifikácie podniku. Úplné termíny súladu v členských štátoch sa pritom posúvajú až do roku 2027 a neskôr, takže mnohí prevádzkovatelia ešte len budujú obranu, ktorú budú čoskoro musieť vedieť doložiť.

Prípad LVM ukazuje obe strany tejto medzery. To, čo pripravené bolo, teda zálohy, postupná obnova a plánovanie kontinuity, umožnilo obnoviť dodávky v priebehu dní. To, čo pripravené nebolo, najmä udržiavanie všetkých serverov v aktuálnom stave a skoršie odhalenie prieniku, nechalo v otvorenom priestore tisíce prihlasovacích údajov a gigabajty súborov. Kaškina túto nerovnováhu vystihla jednoducho: obrancovia musia zabezpečiť všetko, útočníkovi stačí jedno slabé miesto. Pre európskych prevádzkovateľov verejných služieb to zostáva základná výzva, či spravujú lesy, nemocnice alebo dodávateľské reťazce.