Rusija prek kamer sledi Natovemu orožju

Poceni varnostna kamera na steni evropskega skladišča, še vedno nastavljena na tovarniško geslo, je lahko dovolj. Ruski državni hekerji so takšne naprave po ugotovitvah nizozemskih obveščevalnih služb neopazno vključili v nadzorno mrežo, s katero so spremljali pošiljke orožja za Ukrajino. Lastnik kamere tega morda nikoli ne izve. Nizozemske službe so v začetku meseca razkrile, da so bile IP-kamere v državah Nata kompromitirane vzdolž vojaških logističnih poti (AIVD, DW).

Ta primer dobro pokaže, kar evropske vlade zdaj govorijo vse bolj neposredno: ruske kibernetske operacije proti civilni infrastrukturi niso več posamični incidenti, temveč stalno ozadje varnostne politike. Finske oblasti zanje uporabljajo izraz »arkipäivää«, vsakdanjost (Yle). Podobno je 13. julija sporočil Nato, ko je obsodil ruske »vztrajne zlonamerne kibernetske dejavnosti« (NATO). Ne gre za en vdor, ki se ga preišče in zapre, temveč za dolgotrajno operacijo, s katero se morajo države naučiti živeti.

Kopiranje vseh ključev v stavbi

Stara predstava o kibernetskem napadu je vlom: nekdo vstopi, nekaj vzame in odide. To, kar zdaj opisuje več evropskih služb, je bližje kopiranju vseh ključev v stavbi, opazovanju urnika varnostnikov, kartiranju dostavnih poti in občasnemu sproženju alarma, da se izmeri odziv.

Vstopna točka je pogosto nezanimiva: star usmerjevalnik, šibko geslo, naprava, ki je nihče ni posodobil več let. Finska obveščevalna služba Supo pravi, da ruski 16. center FSB uporablja prav takšne odprtine za vohunjenje proti energetskim in obrambnim podjetjem (Supo). Za to niso potrebna eksotična orodja.

Strateško tveganje nastane po vstopu. Napadalci ukradejo prijavne podatke, torej kopirane ključe, nato pa z njimi prehajajo iz enega sistema v drugega: iz avle v skladišče, nato v nadzorno sobo. Spremljajo notranjo komunikacijo, razumejo delovanje organizacije in dostop ohranjajo mesece ali leta. Vohunjenje izriše teren. Poplave neželenega prometa, ki podrejo spletne strani, ustvarijo hrup. Uničevalna zlonamerna programska oprema pa lahko ostane skrita, dokler se ne pojavi politična potreba po zaostritvi (ENISA).

Različne države, ista kampanja

Vsaka država grožnjo vidi skozi svojo izpostavljenost. Finska jo razume predvsem na robu omrežij: energetska podjetja in drugi kritični sektorji so tarče dolgotrajnega vohunjenja. Zunanja ministrica Elina Valtonen je dejavnost obsodila in na pogovor poklicala ruskega veleposlanika (MTV Uutiset).

Poljska je drugačen primer, ker je ena glavnih tranzitnih poti za pomoč Ukrajini. Zato se tam kibernetske operacije prepletajo s fizično sabotažo. Zunanji minister Radosław Sikorski je opozoril na verodostojne obveščevalne podatke, da Rusija načrtuje nove akcije, pri čemer je v isti okvir postavil požige, napade na železnico, izvidovanje infrastrukture in digitalne vdore (RMF24, Rzeczpospolita).

Ti opisi si ne nasprotujejo. Kažejo različne površine iste kampanje: pridobiti dostop, opazovati omrežja, kartirati odvisnosti, selektivno motiti delovanje in zviševati stroške državam, ki podpirajo Ukrajino.

Pri tem ostaja omejitev: del opozoril temelji na tajnih obveščevalnih podatkih, ki jih vlade ne morejo objaviti. Pripisovanje odgovornosti je uradna presoja, ne javno preverljiv sodni dokaz. Poljsko zunanje ministrstvo se je sklicevalo na stališče EU, ki uničevalne operacije povezuje s 16. centrom FSB (WP). Ocena je verjetna in institucionalno podprta, vendar je ni mogoče v celoti neodvisno preveriti.

Zakoni so pripravljeni, usmerjevalniki niso

Evropski pravni odziv se je premaknil hitro. Osnovna zamisel dveh glavnih instrumentov, direktive NIS2 in akta o kibernetski odpornosti, je odgovornost potisniti navzgor: stran od preobremenjenega oddelka IT in k upravam podjetij ter proizvajalcem naprav (NIS2 Directive). NIS2 določa pravno odgovornost višjega vodstva za kibernetsko varnost in zaostruje poročanje o incidentih v širšem naboru sektorjev. Akt o kibernetski odpornosti se problema kamer in usmerjevalnikov loteva pri izvoru, saj od proizvajalcev zahteva varnejše privzete nastavitve namesto tovarniških gesel (EUR-Lex CRA).

Vrzel je v izvedbi. Direktiva ne more čez noč posodobiti vsakega starega usmerjevalnika ali zamenjati vsakega privzetega gesla. Prenos NIS2 v nacionalne pravne rede držav članic ostaja neenakomeren. Zasnova je smiselna, vendar izvedba še ni zaključena.

Za evropske državljane je premik enako konceptualen kot tehničen. Kibernetska varnost ni več čiščenje po odmevnem vdoru, temveč vzdrževanje infrastrukture: stalno zaznavanje, nameščanje varnostnih popravkov, nadzor dobaviteljev in priprava na incidente. To je manj dramatično od enega velikega napada, a težje vzdržno. Naslednji preizkus ne bo, ali ima Evropa na papirju prava pravila. Pokazal bo, ali so se stare kamere, neposodobljeni usmerjevalniki in premalo usposobljene uprave podjetij spremenili, preden Rusija uporabi dostop, ki si ga je že zgradila.