“Sličnih hakerskih incidenata bit će još mnogo”

Ovotjedni hakerski napad na zračnu luku u Splitu nedvojbeno je uzdrmao do kraja sve koji su ignorirali stvarno stanje kibernetičke sigurnosti u Hrvatskoj i posljedice koje to stanje prati.

Ključni informatički sustav splitskog aerodroma jučer je osposobljen, stvari se pomalo vraćaju u normalu – ali sigurno se neće riješiti još neko vrijeme. Tim više što se napad dogodio na vrhuncu sezone. Zračna luka u Splitu vjerojatno je u ovom trenu najprometnija u Hrvatskoj, što ju čini posebno zanimljivom metom.

Pitali smo se i je li napad bio ciljan, s nekim predumišljajem; tko ga je izveo i kako? No, nakon tri uzastopna napada na hrvatske institucije možda je bolje pitati se zašto nam se ovo događa?

Napredno hakiranje ili samo nemar o sigurnosti?

U pitanju je “vrlo ozbiljan hakerski napad”, rekao je Lukša Novak, predsjednik uprave Zračne luke, u obraćanju medijima ovaj utorak. Situacija jest bila ozbiljna – kada imate u prometnom rasporedu oko 100-tinjak zrakoplova i skoro 30 tisuća ljudi… No, metoda kojom je hakerska grupa Akira onesposobila računalni sustav aerodroma u Splitu nije bila posebno napredna.

U pitanju je jednostavna, ali efektivna metoda koja koristi uobičajene ranjivosti. Prema dosad poznatim informacijama, hakeri su navodno iskoristili propust u VPN sustavu koji je bio bez multifaktorske autentifikacije. Ovakvi napadi često se ne smatraju tehnički naprednima jer se temelje na iskorištavanju ljudske pogreške ili nemara, pojašnjava Leo Valentić, Threat Researcher u Security Joesu.

Inicijalni vektor napada bio je propust u VPN-u bez multifaktorske autentikacije, što više upućuje na nemar u poslovanju nego na sofisticiranost napada. Ovaj incident također oslikava opće stanje kibernetičke sigurnosti u Hrvatskoj.

Unatoč tome, Vlatko Košturjak, Chief Technology Officer u Divertu ne smatra da je naša regija “posebno ranjiva” u usporedbi s ostalim područjima kada govorimo o kibernetičkom kriminalu.

Kibernetički kriminal je oportunistički i neselektivan te obično nije povezan s određenim regijama ili nacionalnim akterima. Radi se o grupama koje biraju mete na temelju pristupa sustavima i potencijala za zaradu.

Pomno biraju vrijeme, a žrtva može biti bilo tko ranjiv

Napadači traže (lake) prilike. Ako vaš sustav nije prikladno zaštićen, napadaču je to pozivnica da proba, navodi Vlatko.

Napadači vrlo često koriste podatke o korisničkim kredencijalima koji su “iscurili” iz prethodnih incidenata ili liste poznatih ranjivosti perimetarskih sustava.

Što se tiče suradnje i komunikacije među napadačima, moramo biti svjesni da se radi o organiziranom kriminalu s podjelom posla, ističe.

Često jedna grupa otkrije slabosti i načine upada u sustav i proda te podatke drugoj grupi koja onda izvrši napad.

Napadači isto tako biraju vrijeme kada će organizacije biti manje pažljive ili kada mogu uzrokovati što veću štetu, dodaje Leo. Posebno su popularni početak vikenda te doba praznika ili godišnjih odmora zbog minimalnog broja osoblja i zamjena…

U slučaju ransomware napada, incidenti su vrlo česti u petak navečer ili vikendom ako se radi o prodiranju u sustav ili pokretanju enkripcije jer su to izrazito “bučni” manevri.

Dok u slučaju DDoS napada, gdje je glavni cilj onesposobiti uslugu ili dostupnost, bilježimo sasvim suprotno ponašanje. Najviše DDoS napada bilježimo ponedjeljkom i utorkom između 7-10h sati ujutro kada najviše mogu uzrokovati štetu nedostupnošću usluge.

Drugi važan čimbenik koji odlučuje hoće li hakeri iskoristiti ranjivosti koje su našli je činjenica gdje mogu izvući više benefita odnosno novaca – ili direktno iznudom ili prodajom podataka na crnom tržištu, a nekad i da preko vas dođu do drugih, većih riba.

Umjesto traženja krivaca među hakerskim skupinama, pogledajmo sebe

Niz hakerskih napada u Hrvatskoj ovog ljeta nemala je stvar općenito, ali pogotovo s obzirom na to da ove jeseni na snagu stupa NIS2. Ova direktiva Europske unije pokrenuta je upravo kako bi potaknula povećanje razine kibernetičke sigurnosti na razini EU. Cilj joj je osuvremeniti zaštitu javnog interesa od kibernetičkih prijetnji kako bi se osigurao kontinuitet rada kritične infrastrukture.

Rakar o slučaju KBC Rebro: “Obavijesti su bile nepotpune, zavaravajuće i u konačnici – netočne”

NIS2 obvezuje sve države članice na usvajanje odgovarajućih nacionalnih zakona i politika kako bi se ti zahtjevi ostvarili. Direktiva je stupila na snagu u siječnju 2023., a na ljeto prošle godine u Hrvatskoj je provedeno eSavjetovanje o nacrtu novog Zakona o kibernetičkoj sigurnosti koji bi usvojio te smjernice. Njihova implementacija u Hrvatskoj kreće od 18. listopada 2024., što je poražavajuće ako pogledamo gdje smo trenutno, ističe Leo.

Iako NIS2 direktiva dolazi, već sada je jasno da će sličnih incidenata biti još mnogo. Umjesto traženja krivaca među hakerskim skupinama, potrebno je priznati da se nedovoljno ulaže u kibernetičku sigurnost.

I vi ste na redu, samo je pitanje kad…

Leo ističe kako je po njemu najvažnije da naučimo iz ovoga svega da…

Nedavni događaji nisu samo neki “trend” već polako postaju naša svakodnevica, a mi se moramo na to adekvatno i pripremiti.

Navodi i kako:

1. Ulaganje u kibernetičku sigurnost: Institucije bi trebale posvetiti više resursa i financijskih sredstava za poboljšanje svoje kibernetičke sigurnosti, uključujući implementaciju sigurnosnih operativnih centara (SOC) i sustava za otkrivanje i odgovor na incidente (MDR). Ovako bi omogućili proaktivno praćenje i analizu sigurnosnih događaja, bržu detekciju potencijalnih prijetnji te adekvatnu reakciju na incidente.
2. Obvezna upotreba multifaktorske autentifikacije: Kao osnovnu mjeru sigurnosti, svaka pristupna točka, posebno VPN-ovi i drugi osjetljivi sustavi, trebali bi zahtijevati multifaktorsku autentifikaciju kako bi se smanjio rizik od neovlaštenog pristupa.
3. Stalna edukacija zaposlenika: Zaposlenici bi trebali biti redovito educirani o najboljoj praksi u kibernetičkoj sigurnosti, uključujući prepoznavanje phishing napada i korištenje sigurnih lozinki.
4. Redovito ažuriranje i testiranje sustava: Institucije bi trebale redovito ažurirati svoje sustave i softver kako bi osigurale da su zaštićeni od poznatih ranjivosti, kao i provoditi redovite sigurnosne testove i revizije kako bi identificirale potencijalne slabosti.

HZZO je nešto naučio iz hakerskog napada, ali još se ne zna gdje je “procurilo”

Koliko je teško uložiti u sigurnost?

Nažalost, kao vjerojatno većina naših institucija, Zračna luka Split kibernetičku sigurnost ne vidi kao nužno ulaganje. Leo to stavlja i u perspektivu njihovih prihoda…

Iako je prema Poslovna HR ostvarila prihod od 64.698.273,00 € u 2023. godini, nije bila spremna izdvojiti 1% svojih prihoda za uspostavu sigurnosnog operativnog centra ili druge mjere poboljšanja sigurnosti sustava.

S izuzetkom reguliranih industrija, svijest o važnosti informacijske i kibernetičke sigurnosti te zrelost procesa još uvijek nije na zadovoljavajućoj razini u cijeloj Europskoj uniji, smatra Vlatko. Međutim, napominje da treba razumjeti poslovodstvo koje često mora donijeti odluku hoće li ulagati u unaprjeđenije svog proizvoda ili u sigurnost poslovanja…

Često to nije laka odluka zbog sve kompetitivnijih uvjeta na regionalnom i globalnom tržištu. No, sada je došlo vrijeme kada sigurnost postaje kompetitivna prednost usluge ili proizvoda. Poslovodstva postaju sve svjesnija toga.

Nadamo se da će to shvatiti i institucije. Njih ne vodi kompetitivnost, ali mogu biti barem svjesniji odgovornosti.