Izsiljevalski napad ohromil latvijske državne gozdove

Če državljan potrebuje lovsko dovolilnico, gozdarski zemljevid ali podatke o dobavi lesa, je zanj digitalni izpad zelo konkreten problem. 22. junija je kibernetski napad zadel Latvijas valsts meži (LVM), latvijsko državno gozdarsko podjetje, in onesposobil približno polovico njegovih informacijskih sistemov prav med praznikom Jāņi, ko je bilo zaradi kresovanja ob poletnem solsticiju pred zasloni manj zaposlenih (LTV).

LVM je iz previdnosti izklopil javne storitve: digitalne zemljevide, lovsko aplikacijo Mednis in izmenjavo podatkov s partnerji. Podjetje je začelo obnovo iz varnostnih kopij in zavrnilo sodelovanje z napadalcem. Latvijska skupina za odzivanje na kibernetske incidente CERT.LV je potrdila, da je bilo ukradeno gradivo objavljeno na spletu, preiskovalci pa še ugotavljajo, kateri podatki so bili dejansko odtujeni. Njihova ocena je, da je šlo za finančno motivirano izsiljevalsko operacijo, ne za kampanjo, povezano z državo (LTV). Storitve, ki jih ljudje uporabljajo v vsakdanjem življenju, je torej ustavila kriminalna skupina, ki išče zaslužek.

Stara napeljava za novimi zidovi

Velika javna organizacija pogosto deluje kot prenovljena stavba. Vhod je sodoben: spletni portali, mobilne aplikacije, interaktivni zemljevidi. Za stenami pa ostaja stara napeljava: prijavni sistemi iz časa pred današnjimi varnostnimi standardi, oddaljeni dostopi zunanjih izvajalcev, ki jih leta ni nihče temeljito pregledal. Javnost teh šibkih točk ne vidi, napadalci pa jih iščejo najprej.

Skupine, ki uporabljajo izsiljevalsko programsko opremo, običajno vstopijo z ukradenim geslom ali skozi neposodobljen sistem. Nato poskušajo tiho razširiti začetni, omejeni dostop v poln skrbniški nadzor in se premikajo od sistema do sistema, dokler ne dobijo glavnega ključa. Ko se pojavi izsiljevalsko sporočilo, je napadalec v omrežju lahko že več tednov (CISA). LTV je poročal, da se je preverjanje varnostnih sistemov LVM začelo že pred vidnim datumom napada (LTV).

Javne organizacije so posebej izpostavljene, ker si težko privoščijo izpade, hkrati pa morajo skozi dolge cikle nadgradenj vzdrževati staro in novo tehnologijo skupaj (CISA, CrowdStrike). Varnost se najpogosteje zlomi prav tam, kjer se starejša infrastruktura stika z novejšo.

Vzorec v soseščini

Napad v Latviji se ujema s širšo regionalno težavo. V Litvi pristojni organi preiskujejo krajo več kot 600.000 izpiskov iz registra nepremičnin, vključno z osebnimi identifikacijskimi kodami, pri državnem upravljavcu registrov Registrų centras (LRT). Dostop naj bi potekal prek ukradenih računov zaposlenih, prvi nezakoniti vpisi pa segajo v začetek leta 2026. Javnost je za primer izvedela šele več mesecev pozneje (TV3). Približno 1.000 ljudi se je pripravljalo na tožbo proti državi (Verslo žinios).

Primera sta tehnično različna, razkrivata pa isto vrzel: civilni digitalni sistemi, ki urejajo vsakdanje javne storitve, nimajo vedno obrambe, ki bi ustrezala njihovi pomembnosti. Nemčija je že pokazala, kam lahko to pripelje. Leta 2021 je okrožje Anhalt-Bitterfeld po napadu z izsiljevalsko programsko opremo razglasilo katastrofo, storitve za državljane pa so bile motene več tednov (Landkreis Anhalt-Bitterfeld).

Nova pravila ob resničnem izpadu

NIS2 je direktiva EU, ki kibernetsko odpornost postavlja na raven odgovornosti vodstva. Upravljavci bistvenih storitev morajo v 24 urah po zaznavi incidenta poslati zgodnje opozorilo, v 72 urah podrobnejše obvestilo, v enem mesecu pa končno poročilo (EUR-Lex). Višje vodstvo je osebno odgovorno za upravljanje kibernetskih tveganj (European Commission).

Latvija je NIS2 prenesla v nacionalno zakonodajo z veljavnostjo od septembra 2024, minimalne zahteve glede kibernetske varnosti pa začnejo veljati julija 2025 (Business.gov.lv). Po napadu na LVM je latvijski vršilec dolžnosti predsednika vlade podpisal pet sklepov, s katerimi morajo ministrstva poročati o varnosti državnih sistemov in o tem, kako informacije o incidentih potujejo skozi državno upravo (Kulbergs). Incident je povezal z zapoznelimi kibernetskimi predpisi in s tem priznal, da zapisana pravila niso dovolj, če jih ne spremlja operativna izvedba.

Preizkus je zdaj praktičen in presega Baltik. Kako dolgo bo trajala obnova LVM? Bodo državljani izvedeli, kateri osebni podatki so bili izpostavljeni? So varnostne kopije pred napadom dejansko preizkusili? Lahko minister jasno pove, kdo v njegovi verigi odgovornosti nosi kibernetsko tveganje za posamezen javni sistem? S temi vprašanji se srečuje vsak javni upravljavec v Evropi. NIS2 zagotavlja predvsem to, da nanje ne bo več mogoče molčati.