Hof van Twenten hakkerointi (2020): viisi oppia kunnille

Mitä tapahtui

Hyökkääjät pääsivät sisään hallintatilin heikon salasanan kautta, ja lisäksi sen kaksivaiheinen tunnistautuminen oli kytketty pois päältä. Sen lisäksi palvelimen etäkäyttöportti (RDP) oli ollut jo pitkään auki internetiin. Näin rikolliset saattoivat salata järjestelmät ja, ratkaisevaa kyllä, tehdä myös varmuuskopiot käyttökelvottomiksi. Palauttaminen puhtaasta varmuuskopiosta ei siksi ollut vaihtoehto. Kunnan oli rakennettava paljon uudelleen; palvelut asukkaille olivat viikkokausia sekaisin. Kokonaisvahingoksi arvioitiin noin neljä miljoonaa euroa, kun taas hyökkääjät vaativat paljon pienempää lunnasrahaa. Kunta ei maksanut.

Oppi 1: Varmuuskopiot ovat varmuuskopioita vasta, kun ne ovat offline-tilassa

Kivuliain oppi: jos varmuuskopiosi ovat samassa verkossa, kiristyshaittaohjelma salaa ne mukana. Huolehdi varmuuskopioista, jotka ovat offline-tilassa tai muuttumattomia (immutable) ja joihin ei pääse tavanomaisesta verkosta. Testaa lisäksi säännöllisesti, pystytkö todella palautumaan varmuuskopiosta. Varmuuskopio, jota et ole koskaan palauttanut, on oletus, ei varmuus.

Oppi 2: Perusasiat kunnossa estävät suurimman osan harmeista

Hyökkäys ei ollut mestarinäyte. Pieleen meni perusasioissa. Ne perusasiat ovat jokaisen kunnan ulottuvilla.

• Vahvat, ainutkertaiset salasanat ja pakollinen kaksivaiheinen tunnistautuminen, varsinkin hallintatileillä.
• Ei hallintakäyttöä (kuten RDP) suoraan auki internetiin.
• Päivitä ajoissa ja kytke tarpeettomat palvelut pois päältä.
• Verkon segmentointi, jotta tartunta ei pääse leviämään kaikkialle.

Oppi 3: Viesti asukkaille kaatuneista palveluista

Asukkaille ei merkitse tekniikka vaan kysymys: voinko hakea passini, etuuteni, lupani? Ole tässä nopea ja rehellinen: mitkä palvelut ovat nurin, mitä vaihtoehtoja on ja milloin on lisää uutisia. Tarjoa mahdollisuuksien mukaan hätäpalvelupiste tai puhelinreitti. Ja toista viesti johdonmukaisesti kaikilla kanavilla. Epäselvyys lisää tyytymättömyyttä enemmän kuin itse häiriö.

Oppi 4: Ota juridiikka ja tietosuoja mukaan heti ensimmäisestä minuutista

Hakkeroinnissa on usein viety henkilötietoja. Se ei tee siitä vain ICT-kriisiä vaan myös tietosuojakysymyksen. Ota siksi tietosuojavastaava ja juridinen asiantuntemus heti mukaan ja arvioi, onko kyseessä tietoturvaloukkaus. Tietoturvaloukkauksesta ilmoitat 72 tunnin kuluessa tietosuojaviranomaiselle (Autoriteit Persoonsgegevens), ja korkean riskin tapauksessa tiedotat asianosaisille asukkaille. Ulkoiset rikostekniset asiantuntijat auttavat tutkinnassa; kirjaa, kuka tekee mitä ja milloin.

Oppi 5: Hallintotapa ja ilmoitusvelvollisuudet (NIS2, BIO2, GDPR)

Yksi tärkeä johtopäätös Hof van Twentessä oli, että tietoturvaa koskevat signaalit eivät kantautuneet riittävästi johdolle. Sijoita tietoturva siksi johdon tasolle, tietoturvajohtajan (CISO) ja oman budjetin kanssa, ja huolehdi, että riskit ovat näkyvissä. Kunnat toimivat BIO2:n ja GDPR:n mukaisesti ja kuuluvat kyberturvallisuuslain (NIS2) piiriin. Kyberpoikkeamasta ilmoitat NCSC:lle ja alakohtaiselle CSIRT:lle; tietoturvaloukkauksesta 72 tunnin kuluessa tietosuojaviranomaiselle (Autoriteit Persoonsgegevens). Ota käyttöön kuntien tietoturvapalvelu (Informatiebeveiligingsdienst, IBD) ja kirjaa kaikki ilmoitukset ylös.

Miten CrisisRadar auttaa tässä

CrisisRadar kokoaa johdon, tietoturvajohtajan (CISO), tietosuojavastaavan, tiedotuksen ja ulkoiset asiantuntijat yhteiseen tilannekuvaan. Kirjaat tosiasiat lähteineen, laadit minuuteissa viestin asukkaille ja ilmoituksen valvojalle sekä valvot ilmoitusajastimilla GDPR- ja NIS2-määräaikoja. Ulkoiset rikostekniset osapuolet työskentelevät mukana turvallisen, väliaikaisen vierailuoikeuden kautta. Haluatko nähdä, miltä kyberhyökkäys ja tietoturvaloukkaus näyttävät vaihe vaiheelta alustassa? Tutustu silloin siihen liittyvään harjoitustilanteeseen.

Stappenplan

Veelgestelde vragen

Miten Hof van Twenten kunta voitiin hakkeroida?

Hyökkääjät pääsivät sisään hallintatilin heikon salasanan kautta ilman kaksivaiheista tunnistautumista, samalla kun myös hallintaportti (RDP) oli auki internetiin. Näin he saattoivat salata järjestelmät ja jopa varmuuskopiot.

Miksi kunta ei voinut vain palautua varmuuskopiosta?

Koska varmuuskopiot olivat samassa verkossa ja siten salattiin mukana. Tämä osoittaa, miksi varmuuskopioiden on oltava offline-tilassa tai muuttumattomia ja miksi palautuminen on testattava säännöllisesti.

Mikä ilmoitusvelvollisuus koskee kuntaan kohdistuvaa kyberhyökkäystä?

Tietoturvaloukkauksesta ilmoitat 72 tunnin kuluessa tietosuojaviranomaiselle (Autoriteit Persoonsgegevens); korkean riskin tapauksessa tiedotat asukkaille. Kyberpoikkeamasta ilmoitat kyberturvallisuuslain (NIS2) nojalla NCSC:lle ja CSIRT:lle. Kunnat ottavat käyttöön myös tietoturvapalvelun (Informatiebeveiligingsdienst, IBD).