Хакерська атака на Hof van Twente (2020): 5 уроків для громад

Що сталося

Зловмисники проникли через слабкий пароль на адміністративному обліковому записі, для якого до того ж було вимкнено двофакторну автентифікацію. Крім того, тривалий час порт доступу (RDP) сервера був відкритий в інтернет. Так злочинці змогли зашифрувати системи і, що вирішально, зробити непридатними й резервні копії. Через це відновлення з чистої резервної копії було неможливе. Громаді довелося багато чого відбудовувати заново; надання послуг мешканцям було порушене тижнями. Загальні збитки оцінили приблизно в чотири мільйони євро, тоді як зловмисники вимагали значно менший викуп. Громада не заплатила.

Урок 1: Резервні копії стають резервними лише тоді, коли вони офлайн

Найболючіший урок: якщо ваші резервні копії підключені до тієї самої мережі, програма-вимагач зашифрує і їх. Подбайте про резервні копії, які є офлайн або незмінними (immutable) і недоступні зі звичайної мережі. Крім того, регулярно перевіряйте, чи справді можете відновитися з резервної копії. Резервна копія, яку ви ніколи не відновлювали, — це припущення, а не впевненість.

Урок 2: Порядок в основах запобігає більшості лиха

Атака не була жодним технічним подвигом. Провал стався на рівні основ. А ці основи посильні для кожної громади.

• Надійні, унікальні паролі та обов'язкова двофакторна автентифікація, особливо на адміністративних облікових записах.
• Жодного адміністративного доступу (як-от RDP), відкритого напряму в інтернет.
• Своєчасне встановлення оновлень і вимкнення непотрібних служб.
• Сегментація мережі, щоб зараження не могло поширитися всюди.

Урок 3: Інформуйте мешканців про недоступні послуги

Для мешканців важлива не техніка, а питання: чи можу я подати заяву на паспорт, отримати виплату, дозвіл? Тут будьте швидкими й чесними: які послуги недоступні, які є альтернативи й коли буде більше новин. За можливості запропонуйте аварійне віконце обслуговування або телефонний канал. І повторюйте повідомлення послідовно на всіх каналах. Невизначеність посилює невдоволення більше, ніж сам збій.

Урок 4: Залучайте юристів і фахівців з приватності з першої хвилини

Під час злому часто викрадають персональні дані. Це робить його не лише ІКТ-кризою, а й питанням приватності. Тому одразу залучайте уповноваженого із захисту даних і юридичну експертизу та оцініть, чи стався витік даних. Про витік даних ви повідомляєте протягом 72 годин Управління із захисту персональних даних (Autoriteit Persoonsgegevens), а за високого ризику інформуєте причетних мешканців. Зовнішні фахівці з цифрової криміналістики допомагають у розслідуванні; фіксуйте, хто, що й коли робить.

Урок 5: Врядування та обов'язки повідомлення (NIS2, BIO2, AVG)

Важливим висновком у Hof van Twente було те, що сигнали про інформаційну безпеку недостатньо доходили до керівництва. Тому закріпіть інформаційну безпеку на керівному рівні — з CISO та власним бюджетом — і подбайте, щоб ризики були видимі. Громади працюють за BIO2 та AVG (нідерландським аналогом GDPR) і підпадають під Закон про кібербезпеку (NIS2). Про кіберінцидент ви повідомляєте NCSC та галузевий CSIRT; про витік даних — протягом 72 годин Управління із захисту персональних даних. Залучіть Службу інформаційної безпеки (IBD) для громад і фіксуйте всі повідомлення.

Як у цьому допомагає CrisisRadar

CrisisRadar об'єднує керівництво, CISO, уповноваженого із захисту даних, речника та зовнішніх фахівців у спільній картині кризи. Ви фіксуєте факти із зазначенням джерела, за лічені хвилини складаєте повідомлення для мешканців і повідомлення для наглядового органу, а таймери обов'язкового повідомлення відстежують строки за AVG та NIS2. Зовнішні криміналістичні команди долучаються через безпечний тимчасовий гостьовий доступ. Хочете побачити, як кібератака з витоком даних крок за кроком виглядає на платформі? Тоді перегляньте відповідний практичний сценарій.

Stappenplan

Veelgestelde vragen

Як громаду Hof van Twente вдалося зламати?

Зловмисники проникли через слабкий пароль на адміністративному обліковому записі без двофакторної автентифікації, тоді як адміністративний порт (RDP) був відкритий в інтернет. Так вони змогли зашифрувати системи й навіть резервні копії.

Чому громада не могла просто відновитися з резервної копії?

Тому що резервні копії були підключені до тієї самої мережі й через це були зашифровані разом із усім іншим. Це показує, чому резервні копії мають бути офлайн або незмінними і чому відновлення потрібно регулярно перевіряти.

Який обов'язок повідомлення діє під час кібератаки на громаду?

Про витік даних ви повідомляєте протягом 72 годин Управління із захисту персональних даних; за високого ризику інформуєте мешканців. Про кіберінцидент ви повідомляєте згідно із Законом про кібербезпеку (NIS2) NCSC та CSIRT. Громади також залучають Службу інформаційної безпеки (IBD).