Η επίθεση στον Hof van Twente (2020): 5 μαθήματα για τους δήμους

Τι συνέβη

Οι δράστες εισήλθαν μέσω ενός αδύναμου κωδικού πρόσβασης σε έναν διαχειριστικό λογαριασμό, για τον οποίο επιπλέον είχε απενεργοποιηθεί ο έλεγχος ταυτότητας δύο παραγόντων. Επιπλέον, επί μεγάλο χρονικό διάστημα ήταν ανοιχτή προς το διαδίκτυο μια πύλη πρόσβασης (RDP) ενός διακομιστή. Έτσι οι εγκληματίες μπόρεσαν να κρυπτογραφήσουν τα συστήματα και, το κρίσιμο, να αχρηστεύσουν και τα αντίγραφα ασφαλείας. Η αποκατάσταση από ένα καθαρό αντίγραφο ασφαλείας δεν ήταν έτσι εφικτή. Ο δήμος αναγκάστηκε να ξαναχτίσει πολλά από την αρχή· οι υπηρεσίες προς τους κατοίκους ήταν παράλυτες επί εβδομάδες. Η συνολική ζημιά υπολογίστηκε σε περίπου τέσσερα εκατομμύρια ευρώ, ενώ οι δράστες ζητούσαν πολύ μικρότερα λύτρα. Ο δήμος δεν πλήρωσε.

Μάθημα 1: Τα αντίγραφα ασφαλείας είναι αντίγραφα ασφαλείας μόνο όταν είναι εκτός σύνδεσης

Το πιο επώδυνο μάθημα: αν τα αντίγραφα ασφαλείας σας είναι συνδεδεμένα στο ίδιο δίκτυο, το ransomware τα κρυπτογραφεί κι αυτά. Φροντίστε για αντίγραφα ασφαλείας που είναι εκτός σύνδεσης ή αμετάβλητα (immutable) και δεν είναι προσβάσιμα από το κανονικό δίκτυο. Επιπλέον, ελέγχετε τακτικά αν μπορείτε πραγματικά να κάνετε αποκατάσταση από ένα αντίγραφο ασφαλείας. Ένα αντίγραφο που δεν επαναφέρατε ποτέ είναι μια υπόθεση, όχι μια βεβαιότητα.

Μάθημα 2: Τα βασικά σε τάξη αποτρέπουν τα περισσότερα δεινά

Η επίθεση δεν ήταν άθλος υψηλής τεχνικής. Το λάθος έγινε στα βασικά. Και αυτά τα βασικά είναι εφικτά για κάθε δήμο.

• Ισχυροί, μοναδικοί κωδικοί πρόσβασης και υποχρεωτικός έλεγχος ταυτότητας δύο παραγόντων, ιδίως στους διαχειριστικούς λογαριασμούς.
• Καμία διαχειριστική πρόσβαση (όπως RDP) ανοιχτή απευθείας προς το διαδίκτυο.
• Έγκαιρη εγκατάσταση ενημερώσεων (patching) και απενεργοποίηση περιττών υπηρεσιών.
• Τμηματοποίηση δικτύου, ώστε μια μόλυνση να μην μπορεί να εξαπλωθεί παντού.

Μάθημα 3: Επικοινωνήστε με τους πολίτες για τις υπηρεσίες που έπεσαν

Για τους πολίτες δεν μετράει η τεχνολογία, αλλά το ερώτημα: μπορώ να ζητήσω το διαβατήριό μου, το επίδομά μου, την άδειά μου; Να είστε γρήγοροι και ειλικρινείς: ποιες υπηρεσίες είναι εκτός λειτουργίας, ποιες εναλλακτικές υπάρχουν και πότε θα υπάρχουν νεότερα. Προσφέρετε όπου είναι δυνατόν έναν έκτακτο δίαυλο εξυπηρέτησης ή μια τηλεφωνική οδό. Και επαναλάβετε το μήνυμα με συνέπεια σε όλα τα κανάλια. Η ασάφεια αυξάνει τη δυσαρέσκεια περισσότερο από την ίδια τη βλάβη.

Μάθημα 4: Εμπλέξτε τα νομικά και την προστασία δεδομένων από το πρώτο λεπτό

Σε μια επίθεση συχνά έχουν υποκλαπεί προσωπικά δεδομένα. Αυτό την καθιστά όχι μόνο κρίση πληροφορικής, αλλά και ζήτημα προστασίας δεδομένων. Γι' αυτό εμπλέξτε αμέσως τον Υπεύθυνο Προστασίας Δεδομένων (DPO) και τη νομική εμπειρογνωμοσύνη και εκτιμήστε αν υπάρχει διαρροή δεδομένων. Μια διαρροή δεδομένων την αναφέρετε εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων και, σε περίπτωση υψηλού κινδύνου, ενημερώνετε τους θιγόμενους κατοίκους. Εξωτερικοί εμπειρογνώμονες ψηφιακής εγκληματολογίας βοηθούν στην έρευνα· καταγράψτε ποιος κάνει τι και πότε.

Μάθημα 5: Διακυβέρνηση και υποχρεώσεις αναφοράς (NIS2, BIO2, GDPR)

Ένα σημαντικό συμπέρασμα στον Hof van Twente ήταν ότι τα σήματα για την ασφάλεια πληροφοριών δεν έφταναν επαρκώς στη διοίκηση. Γι' αυτό αναθέστε την ασφάλεια πληροφοριών σε διοικητικό επίπεδο, με έναν CISO και δικό του προϋπολογισμό, και φροντίστε να είναι ορατοί οι κίνδυνοι. Οι δήμοι λειτουργούν υπό το πλαίσιο BIO2 και τον GDPR και εμπίπτουν στον νόμο για την κυβερνοασφάλεια (Cyberbeveiligingswet, NIS2). Ένα κυβερνοπεριστατικό το αναφέρετε στο NCSC και στη σχετική CSIRT· μια διαρροή δεδομένων εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων. Ενεργοποιήστε την Υπηρεσία Ασφάλειας Πληροφοριών (IBD) για τους δήμους και καταγράψτε όλες τις αναφορές.

Πώς βοηθά εδώ το CrisisRadar

Το CrisisRadar φέρνει τη διοίκηση, τον CISO, τον Υπεύθυνο Προστασίας Δεδομένων, την εκπροσώπηση Τύπου και τους εξωτερικούς εμπειρογνώμονες μαζί σε μια κοινή εικόνα κρίσης. Καταγράφετε γεγονότα με πηγή, συντάσσετε μέσα σε λεπτά ένα μήνυμα προς τους κατοίκους και μια αναφορά για την εποπτική αρχή, και με χρονομετρητές υποχρέωσης αναφοράς παρακολουθείτε τις προθεσμίες του GDPR και του NIS2. Εξωτερικοί εταίροι ψηφιακής εγκληματολογίας συνεργάζονται μέσω ασφαλούς, προσωρινής πρόσβασης επισκέπτη. Θέλετε να δείτε πώς μοιάζει βήμα προς βήμα μια κυβερνοεπίθεση με διαρροή δεδομένων μέσα στην πλατφόρμα; Δείτε τότε τη σχετική περίπτωση από την πράξη.

Stappenplan

Veelgestelde vragen

Πώς μπόρεσε να χακαριστεί ο δήμος Hof van Twente;

Οι δράστες εισήλθαν μέσω ενός αδύναμου κωδικού πρόσβασης σε έναν διαχειριστικό λογαριασμό χωρίς έλεγχο ταυτότητας δύο παραγόντων, ενώ ταυτόχρονα μια διαχειριστική πύλη (RDP) ήταν ανοιχτή προς το διαδίκτυο. Έτσι μπόρεσαν να κρυπτογραφήσουν τα συστήματα και ακόμη και τα αντίγραφα ασφαλείας.

Γιατί δεν μπόρεσε ο δήμος απλώς να κάνει αποκατάσταση από αντίγραφο ασφαλείας;

Επειδή τα αντίγραφα ασφαλείας ήταν συνδεδεμένα στο ίδιο δίκτυο και έτσι κρυπτογραφήθηκαν κι αυτά. Αυτό δείχνει γιατί τα αντίγραφα ασφαλείας πρέπει να είναι εκτός σύνδεσης ή αμετάβλητα και γιατί πρέπει να δοκιμάζετε τακτικά την αποκατάσταση.

Ποια υποχρέωση αναφοράς ισχύει σε μια κυβερνοεπίθεση σε δήμο;

Μια διαρροή δεδομένων την αναφέρετε εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων· σε περίπτωση υψηλού κινδύνου ενημερώνετε τους κατοίκους. Ένα κυβερνοπεριστατικό το αναφέρετε βάσει του νόμου για την κυβερνοασφάλεια (Cyberbeveiligingswet, NIS2) στο NCSC και στη CSIRT. Οι δήμοι ενεργοποιούν επίσης την Υπηρεσία Ασφάλειας Πληροφοριών (IBD).