Хакването на Hof van Twente (2020): 5 урока за общините

Какво се случи

Нападателите проникнаха чрез слаба парола на административен акаунт, за който при това двуфакторното удостоверяване беше изключено. Освен това от дълго време един достъпен порт (RDP) на сървър стоеше отворен към интернет. Така престъпниците можаха да криптират системите и, което е решаващо, да направят и резервните копия неизползваеми. Възстановяване от чисто резервно копие затова не беше вариант. Общината трябваше да изгради много неща наново; обслужването на жителите беше нарушено седмици наред. Общите щети бяха оценени на около четири милиона евро, докато нападателите поискаха много по-нисък откуп. Общината не плати.

Урок 1: Резервните копия са резервни копия едва когато са офлайн

Най-болезненият урок: ако резервните ви копия висят на същата мрежа, ransomware ги криптира заедно с останалото. Осигурете резервни копия, които са офлайн или непроменими (immutable) и не са достъпни от обичайната мрежа. Освен това редовно тествайте дали наистина можете да възстановите от резервно копие. Резервно копие, което никога не сте възстановявали, е предположение, а не сигурност.

Урок 2: Базата в ред предотвратява повечето беди

Атаката не беше висш пилотаж. Обърка се в основата. Тази основа е постижима за всяка община.

• Силни, уникални пароли и задължително двуфакторно удостоверяване, особено за административните акаунти.
• Никакъв административен достъп (като RDP) директно отворен към интернет.
• Навременно закърпване (patching) и изключване на ненужните услуги.
• Сегментиране на мрежата, за да не може една зараза да се разпространи навсякъде.

Урок 3: Комуникирайте с жителите за отпадналите услуги

За жителите значение има не техниката, а въпросът: мога ли да заявя паспорта си, помощта си, разрешителното си? Бъдете в това бързи и честни: кои услуги са парализирани, какви алтернативи има и кога има повече новини. Предложете там, където е възможно, аварийно гише или телефонен маршрут. И повтаряйте посланието последователно по всички канали. Неяснотата увеличава недоволството повече от самата авария.

Урок 4: Включете правния и защитата на данните от първата минута

При хакване често са откраднати лични данни. Това го прави не само ИТ криза, но и въпрос на защита на данните. Затова включете веднага длъжностното лице по защита на данните и правната експертиза, и преценете дали има пробив в данните. Пробив в данните се съобщава в рамките на 72 часа на органа за защита на личните данни (Autoriteit Persoonsgegevens), а при висок риск информирате засегнатите жители. Външни криминалистични експерти помагат при разследването; документирайте кой какво кога прави.

Урок 5: Управление и задължения за уведомяване (NIS2, BIO2, GDPR)

Важен извод в Hof van Twente беше, че сигналите за информационната сигурност не достигаха достатъчно до ръководството. Затова разположете информационната сигурност на управленско ниво, с CISO и собствен бюджет, и се погрижете рисковете да са видими. Общините работят по BIO2 и GDPR и попадат под Закона за киберсигурност (NIS2). Киберинцидент се съобщава на NCSC и секторния CSIRT; пробив в данните — в рамките на 72 часа на органа за защита на личните данни (Autoriteit Persoonsgegevens). Ангажирайте Службата за информационна сигурност (IBD) за общините и документирайте всички уведомления.

Как CrisisRadar помага тук

CrisisRadar събира ръководството, CISO, длъжностното лице по защита на данните, говорителите и външните експерти в обща картина на кризата. Записвате факти с източник, за минути изготвяте съобщение до жителите и уведомление за надзорния орган, и с таймери за задълженията за уведомяване следите сроковете по GDPR и NIS2. Външни криминалистични страни работят съвместно чрез сигурен, временен гост достъп. Искате ли да видите как кибератака с пробив в данните изглежда стъпка по стъпка в платформата? Разгледайте свързания практически сценарий.

Stappenplan

Veelgestelde vragen

Как община Hof van Twente можа да бъде хакната?

Нападателите проникнаха чрез слаба парола на административен акаунт без двуфакторно удостоверяване, докато и административен порт (RDP) стоеше отворен към интернет. Така успяха да криптират системите и дори резервните копия.

Защо общината не можа просто да възстанови от резервно копие?

Защото резервните копия висяха на същата мрежа и следователно бяха криптирани заедно с останалото. Това показва защо резервните копия трябва да са офлайн или непроменими и защо трябва редовно да тествате възстановяването.

Какво задължение за уведомяване важи при кибератака срещу община?

Пробив в данните се съобщава в рамките на 72 часа на органа за защита на личните данни (Autoriteit Persoonsgegevens); при висок риск информирате жителите. Киберинцидент се съобщава по Закона за киберсигурност (NIS2) на NCSC и CSIRT. Общините ангажират и Службата за информационна сигурност (IBD).