Hackerský útok na Hof van Twente (2020): 5 ponaučení pre obce

Čo sa stalo

Útočníci sa dostali dnu cez slabé heslo na správcovskom účte, na ktorom bola navyše vypnutá dvojfaktorová autentifikácia. Okrem toho už dlhší čas bol prístupový bod (RDP) servera otvorený do internetu. Zločinci tak mohli zašifrovať systémy a, čo je kľúčové, znefunkčniť aj zálohy. Obnova z čistej zálohy tak nebola možná. Obec musela mnohé budovať nanovo; poskytovanie služieb obyvateľom bolo týždne narušené. Celková škoda sa odhadla na približne štyri milióny eur, zatiaľ čo útočníci žiadali oveľa nižšie výkupné. Obec nezaplatila.

Ponaučenie 1: Zálohy sú zálohami až vtedy, keď sú offline

Najbolestivejšie ponaučenie: ak sú vaše zálohy v tej istej sieti, ransomvér ich zašifruje spolu s ostatným. Zabezpečte zálohy, ktoré sú offline alebo nemenné (immutable) a ktoré nie sú dostupné z bežnej siete. Navyše pravidelne testujte, či dokážete zo zálohy skutočne obnoviť systém. Záloha, ktorú ste nikdy neobnovili, je predpoklad, nie istota.

Ponaučenie 2: Poriadok v základoch predchádza väčšine problémov

Útok nebol žiadny majstrovský kúsok. Zlyhali základy. Tie sú pritom dosiahnuteľné pre každú obec.

• Silné, jedinečné heslá a povinná dvojfaktorová autentifikácia, najmä na správcovských účtoch.
• Žiadny správcovský prístup (napríklad RDP) otvorený priamo do internetu.
• Včasné aktualizácie (patchovanie) a vypnutie nepotrebných služieb.
• Segmentácia siete, aby sa nákaza nemohla rozšíriť všade.

Ponaučenie 3: Komunikujte s obyvateľmi o vypadnutých službách

Pre obyvateľov nie je dôležitá technika, ale otázka: môžem si vybaviť pas, dávku, povolenie? Buďte v tom rýchli a úprimní: ktoré služby nefungujú, aké sú alternatívy a kedy budú ďalšie informácie. Kde je to možné, ponúknite núdzové kontaktné miesto alebo telefonickú cestu. A opakujte správu konzistentne na všetkých kanáloch. Nejasnosť zväčšuje nespokojnosť viac než samotný výpadok.

Ponaučenie 4: Zapojte právne oddelenie a ochranu súkromia od prvej minúty

Pri hackerskom útoku sú často odcudzené osobné údaje. To z toho robí nielen IT krízu, ale aj otázku ochrany súkromia. Preto ihneď zapojte zodpovednú osobu pre ochranu údajov a právnu expertízu a posúďte, či ide o únik údajov. Únik údajov nahlásite do 72 hodín úradu na ochranu osobných údajov Autoriteit Persoonsgegevens a pri vysokom riziku informujete dotknutých obyvateľov. Externí forenzní experti pomáhajú pri vyšetrovaní; zaznamenajte, kto čo a kedy robí.

Ponaučenie 5: Riadenie a oznamovacie povinnosti (NIS2, BIO2, GDPR)

Dôležitým záverom v Hof van Twente bolo, že signály o informačnej bezpečnosti sa dostatočne nedostávali k vedeniu. Informačnú bezpečnosť preto ukotvite na úrovni vedenia, s CISO a vlastným rozpočtom, a zabezpečte, aby boli riziká viditeľné. Obce pracujú podľa noriem BIO2 a GDPR a spadajú pod zákon o kybernetickej bezpečnosti (NIS2). Kybernetický incident nahlásite úradu NCSC a sektorovému tímu CSIRT; únik údajov do 72 hodín úradu Autoriteit Persoonsgegevens. Zapojte službu informačnej bezpečnosti pre obce Informatiebeveiligingsdienst (IBD) a všetky hlásenia zaznamenajte.

Ako pri tom pomáha CrisisRadar

CrisisRadar spája vedenie, CISO, zodpovednú osobu pre ochranu údajov, komunikáciu a externých expertov do spoločného krízového obrazu. Zaznamenávate fakty aj so zdrojom, za pár minút zostavíte správu pre obyvateľov a hlásenie pre dozorný orgán a časovačmi oznamovacích povinností strážite lehoty podľa GDPR a NIS2. Externé forenzné strany spolupracujú cez bezpečný, dočasný hosťovský prístup. Chcete vidieť, ako kybernetický útok s únikom údajov vyzerá v platforme krok za krokom? Pozrite si súvisiacu prípadovú situáciu.

Stappenplan

Veelgestelde vragen

Ako mohla byť obec Hof van Twente napadnutá hackermi?

Útočníci sa dostali dnu cez slabé heslo na správcovskom účte bez dvojfaktorovej autentifikácie, pričom aj správcovský port (RDP) bol otvorený do internetu. Tak mohli zašifrovať systémy a dokonca aj zálohy.

Prečo obec nemohla jednoducho obnoviť systém zo zálohy?

Pretože zálohy boli v tej istej sieti, a tak boli zašifrované spolu s ostatným. To ukazuje, prečo musia byť zálohy offline alebo nemenné a prečo treba obnovu pravidelne testovať.

Aká oznamovacia povinnosť platí pri kybernetickom útoku na obec?

Únik údajov nahlásite do 72 hodín úradu Autoriteit Persoonsgegevens; pri vysokom riziku informujete obyvateľov. Kybernetický incident nahlásite podľa zákona o kybernetickej bezpečnosti (NIS2) úradu NCSC a tímu CSIRT. Obce zapájajú aj službu Informatiebeveiligingsdienst (IBD).