Hacknutí Hof van Twente (2020): 5 ponaučení pro obce

Co se stalo

Útočníci se dostali dovnitř přes slabé heslo u správcovského účtu, u něhož bylo navíc vypnuté dvoufaktorové ověřování. Kromě toho už delší dobu byla přístupová brána (RDP) serveru otevřená do internetu. Tak mohli zločinci systémy zašifrovat a, což je zásadní, znehodnotit i zálohy. Obnovení z čisté zálohy proto nebylo možné. Obec musela mnohé vybudovat znovu; poskytování služeb obyvatelům bylo týdny narušené. Celková škoda byla odhadnuta na přibližně čtyři miliony eur, přestože útočníci požadovali mnohem nižší výkupné. Obec nezaplatila.

Ponaučení 1: Zálohy jsou zálohami, teprve když jsou offline

Nejbolestivější ponaučení: pokud jsou vaše zálohy připojené ke stejné síti, ransomware je zašifruje s sebou. Zajistěte zálohy, které jsou offline nebo neměnné (immutable) a které nejsou dostupné z běžné sítě. Navíc pravidelně testujte, zda ze zálohy opravdu dokážete obnovit. Záloha, kterou jste nikdy neobnovili, je domněnka, nikoli jistota.

Ponaučení 2: Pořádek v základech předejde většině problémů

Útok nebyl žádný majstrštyk. Selhalo to v základech. Tyto základy jsou dosažitelné pro každou obec.

• Silná, jedinečná hesla a povinné dvoufaktorové ověřování, zejména u správcovských účtů.
• Žádný správcovský přístup (například RDP) přímo otevřený do internetu.
• Včas aktualizovat (patchovat) a vypnout zbytečné služby.
• Segmentace sítě, aby se nákaza nemohla rozšířit všude.

Ponaučení 3: Komunikujte s obyvateli o výpadku služeb

Pro obyvatele není důležitá technika, ale otázka: mohu si požádat o pas, o dávku, o povolení? Buďte v tom rychlí a upřímní: které služby jsou mimo provoz, jaké jsou alternativy a kdy budou nové informace. Kde je to možné, nabídněte nouzovou přepážku nebo telefonickou cestu. A sdělení opakujte konzistentně na všech kanálech. Nejasnost zvětšuje nespokojenost více než samotný výpadek.

Ponaučení 4: Zapojte právní a ochranu soukromí od první minuty

Při hacku jsou často odcizeny osobní údaje. To z toho nedělá jen ICT krizi, ale i záležitost ochrany soukromí. Zapojte proto ihned pověřence pro ochranu osobních údajů a právní odbornost a posuďte, zda došlo k úniku dat. Únik dat ohlásíte do 72 hodin úřadu Autoriteit Persoonsgegevens a při vysokém riziku informujete dotčené obyvatele. Externí forenzní experti pomáhají s vyšetřováním; zaznamenejte, kdo dělá co a kdy.

Ponaučení 5: Řízení a ohlašovací povinnosti (NIS2, BIO2, GDPR)

Důležitým závěrem v Hof van Twente bylo, že signály o informační bezpečnosti se nedostávaly dostatečně k vedení. Zakotvěte proto informační bezpečnost na úrovni vedení, s CISO a vlastním rozpočtem, a zajistěte, aby byla rizika viditelná. Obce fungují podle BIO2 a GDPR a spadají pod Cyberbeveiligingswet (NIS2). Kybernetický incident ohlásíte NCSC a sektorové CSIRT; únik dat do 72 hodin úřadu Autoriteit Persoonsgegevens. Zapojte Informatiebeveiligingsdienst (IBD) pro obce a všechna hlášení zaznamenejte.

Jak s tím CrisisRadar pomáhá

CrisisRadar spojuje vedení, CISO, pověřence pro ochranu osobních údajů, tiskové mluvčí a externí experty do sdíleného krizového obrazu. Zaznamenáváte fakta se zdrojem, během minut sestavíte sdělení pro obyvatele i hlášení pro dozorový orgán a časovači ohlašovacích povinností hlídáte lhůty GDPR a NIS2. Externí forenzní strany spolupracují přes bezpečný, dočasný hostovský přístup. Chcete vidět, jak kybernetický útok s únikem dat vypadá v platformě krok za krokem? Podívejte se na související situaci z praxe.

Stappenplan

Veelgestelde vragen

Jak mohla být obec Hof van Twente hacknuta?

Útočníci se dostali dovnitř přes slabé heslo u správcovského účtu bez dvoufaktorového ověřování, přičemž do internetu byla otevřená i správcovská brána (RDP). Tak mohli zašifrovat systémy a dokonce i zálohy.

Proč se obec nemohla jednoduše obnovit ze zálohy?

Protože zálohy byly připojené ke stejné síti, a byly tak zašifrovány s sebou. To ukazuje, proč musí být zálohy offline nebo neměnné a proč je nutné obnovení pravidelně testovat.

Jaká ohlašovací povinnost platí při kybernetickém útoku na obec?

Únik dat ohlásíte do 72 hodin úřadu Autoriteit Persoonsgegevens; při vysokém riziku informujete obyvatele. Kybernetický incident ohlásíte podle zákona Cyberbeveiligingswet (NIS2) NCSC a CSIRT. Obce zapojují i Informatiebeveiligingsdienst (IBD).