Incydent bezpieczeństwa teleinformatycznego rzadko zaczyna się od spektakularnego włamania. Częściej od kliknięcia w link, folderu w chmurze udostępnionego wszystkim albo hasła używanego w kilku serwisach naraz. Formalnie incydentem jest każde zdarzenie, które narusza lub może naruszyć poufność, integralność albo dostępność informacji i systemów. W ICT Future od 2016 roku pracujemy z firmami, instytucjami kultury, jednostkami samorządu i placówkami ochrony zdrowia. Poniżej zebraliśmy rodzaje incydentów bezpieczeństwa, z którymi organizacje mierzą się najczęściej. Opisujemy je na przykładach głośnych ataków i sytuacji z codziennej pracy biura, razem z prostymi sposobami ograniczenia ryzyka.
Phishing i socjotechnika jako najczęstszy początek incydentu
Phishing to wiadomość podszyta pod kogoś zaufanego: bank, firmę kurierską, dostawcę albo przełożonego. Ma skłonić odbiorcę do podania hasła, otwarcia załącznika lub wykonania przelewu. Socjotechnika działa podobnie, tylko kanałem bywa też telefon, SMS albo komunikator. Atakujący nie łamie zabezpieczeń. Prosi człowieka, żeby sam je otworzył.
Najczęstsze scenariusze w firmach i urzędach:
- faktura od stałego kontrahenta ze zmienionym numerem rachunku,
- pilna prośba „prezesa” o przelew poza zwykłą procedurą,
- link do rzekomo udostępnionego dokumentu, prowadzący do fałszywej strony logowania,
- telefon od „działu IT” z prośbą o kod z SMS lub instalację programu do zdalnej pomocy.
Głośnym przykładem jest atak na MGM Resorts z września 2023 roku. Według doniesień medialnych przestępcom wystarczyła rozmowa z helpdeskiem, w której podali się za pracownika i poprosili o reset dostępu. Skutkiem był wielodniowy paraliż hoteli i kasyn w Las Vegas, a firma szacowała straty na około 100 mln dolarów.
Przed phishingiem najlepiej chronią trzy rzeczy: regularne szkolenia pracowników, logowanie dwuskładnikowe do poczty i systemów oraz zasada potwierdzania zmian w danych do przelewu innym kanałem, na przykład telefonicznie pod znany wcześniej numer.
Ransomware i paraliż systemów na przykładzie znanych ataków
Ransomware to złośliwe oprogramowanie szyfrujące pliki i serwery. Po ataku firma widzi komunikat z żądaniem okupu w zamian za klucz do odszyfrowania. Dziś przestępcy zwykle najpierw kopiują dane, a dopiero potem je szyfrują. Mają wtedy drugi argument: groźbę publikacji dokumentów, jeśli ofiara nie zapłaci.
Ataki z 2023 roku dobrze pokazują skalę problemu. Grupa Clop wykorzystała nieznaną wcześniej lukę w MOVEit, popularnym programie do przesyłania plików, i w krótkim czasie wykradła dane wielu organizacji na całym świecie. W tym samym roku sieć Caesars Entertainment, zaatakowana przez tych samych przestępców, którzy uderzyli w MGM, według doniesień zdecydowała się zapłacić okup. W Polsce ofiarami ransomware w ostatnich latach były między innymi szpitale, urzędy i spółki komunalne. Dla takich jednostek przestój oznacza wstrzymanie usług dla pacjentów i mieszkańców.
Przed skutkami ransomware chronią:
- kopie zapasowe przechowywane poza główną siecią i regularnie sprawdzane testem odtworzenia,
- bieżące aktualizacje systemów i urządzeń sieciowych,
- podział sieci na strefy, dzięki któremu infekcja jednego komputera nie obejmuje całej firmy,
- plan ciągłości działania z określoną kolejnością przywracania usług.
Serwery i infrastrukturę klientów możemy utrzymywać w naszych dwóch niezależnych Data Center we Wrocławiu, zgodnych ze standardem TIER 3.
Błędna konfiguracja chmury i wycieki danych
Nie każdy wyciek wymaga ataku. Bardzo często dane wyciekają, bo ktoś zostawił otwarte drzwi. Typowe przykłady to folder w chmurze udostępniony każdemu, kto ma link, baza danych wystawiona do internetu bez hasła albo kamera monitoringu z hasłem fabrycznym.
Największy wyciek 2023 roku dotyczył firmy DarkBeam. Źle skonfigurowane narzędzia do przeglądania bazy danych pozwalały każdemu zobaczyć około 3,8 mld rekordów z danymi logowania. Nikt niczego nie łamał, bo dostęp był po prostu otwarty. Ten sam mechanizm odpowiada za wiele mniejszych incydentów, o których nie piszą media.
Drugi częsty błąd to zaniedbane aktualizacje. Brytyjska Komisja Wyborcza ujawniła w 2023 roku, że przestępcy mieli dostęp do danych około 40 mln wyborców. Wśród prawdopodobnych przyczyn wskazywano niezaktualizowany serwer poczty.
Jak tego uniknąć w praktyce:
- prowadzić spis usług chmurowych i sprawdzać, kto ma do nich dostęp,
- domyślnie ustawiać udostępnianie tylko dla konkretnych osób,
- zmieniać hasła fabryczne na wszystkich urządzeniach,
- zlecać okresowy audyt techniczny, który wyłapie otwarte porty i stare oprogramowanie.
Incydenty z udziałem pracowników i nadużycie uprawnień
Pracownik może stać się źródłem incydentu przez pomyłkę albo celowo. Pierwszy scenariusz zdarza się znacznie częściej. W sierpniu 2023 roku policja Irlandii Północnej, odpowiadając na wniosek o informację publiczną, opublikowała arkusz z ukrytą zakładką. Znajdowały się w niej dane około 10 000 funkcjonariuszy i pracowników cywilnych. Jeden błąd przy wysyłce pliku wystarczył, by narazić bezpieczeństwo tysięcy osób.
Przykładem działania celowego jest wyciek tajnych dokumentów Pentagonu z 2023 roku. Młody członek Gwardii Narodowej, mający szeroki dostęp do informacji, publikował je na zamkniętym serwerze w komunikatorze Discord. Problemem nie była technologia, tylko zbyt szerokie uprawnienia i brak kontroli nad ich wykorzystaniem.
W polskich organizacjach najczęściej spotykamy prostsze sytuacje:
- konto byłego pracownika aktywne kilka miesięcy po jego odejściu,
- kopiowanie bazy klientów na prywatny dysk przed zmianą pracy,
- wspólne loginy do systemu dla całego działu,
- administrator z pełnymi prawami do wszystkich danych, bez rejestru działań.
Rozwiązaniem jest zasada najmniejszych uprawnień: każdy ma dostęp tylko do danych potrzebnych mu w pracy. Do tego dochodzi procedura odbierania dostępów przy odejściu pracownika i zapis logowań do ważnych systemów.
Ataki i incydenty po stronie przez dostawców i partnerów biznesowych
Organizacja może mieć dobre zabezpieczenia i mimo to paść ofiarą ataku przez swojego dostawcę. Przestępcy wybierają tę drogę, bo jedna firma usługowa ma często dostęp do systemów dziesiątek klientów. Przejęcie jej daje im wejście do wszystkich naraz.
Atak na MOVEit pokazał to bardzo wyraźnie. Ofiarami zostały organizacje, które same nie popełniły błędu, tylko korzystały z popularnego narzędzia. Wcześniej, w 2020 roku, podobny efekt miał atak na firmę SolarWinds. Przestępcy umieścili złośliwy kod w aktualizacji jej oprogramowania i dotarli w ten sposób do sieci tysięcy firm i urzędów, w tym amerykańskich instytucji rządowych.
W mniejszej skali ten sam schemat wygląda tak:
- biuro rachunkowe z przejętą skrzynką wysyła klientom faktury z fałszywym numerem konta,
- firma serwisowa ma stały, niechroniony dostęp zdalny do serwerów klienta,
- dostawca oprogramowania przechowuje kopię bazy danych bez szyfrowania.
Dlatego znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych zarządzania ryzykiem w łańcuchu dostaw. Dobrą praktyką jest lista dostawców z dostępem do systemów, umowy z wymaganiami bezpieczeństwa oraz dostęp zdalny tylko przez zabezpieczone połączenie VPN i tylko na czas wykonywania pracy.
Codzienne przykłady incydentów w biurach i urzędach
Większość incydentów nie trafia na pierwsze strony gazet. To drobne zdarzenia, które powtarzają się w każdym biurze i urzędzie. Każde z nich może jednak oznaczać naruszenie ochrony danych osobowych i obowiązek zgłoszenia do Prezesa UODO w ciągu 72 godzin.
| Zdarzenie | Ryzyko | Pierwsza reakcja |
|---|---|---|
| Zgubiony laptop lub telefon bez szyfrowania | dostęp do poczty i dokumentów | zgłosić, zablokować konta, zdalnie wyczyścić urządzenie |
| Mail z danymi wysłany do złego adresata | ujawnienie danych osobowych | zgłosić, poprosić odbiorcę o usunięcie, ocenić ryzyko |
| Dokumenty zostawione w drukarce | wgląd osób postronnych | zebrać dokumenty, zgłosić przełożonemu |
| Nieznany pendrive podłączony do komputera | infekcja złośliwym oprogramowaniem | odłączyć komputer od sieci, zgłosić do IT |
| To samo hasło w pracy i w prywatnych serwisach | przejęcie konta | zmienić hasło, włączyć logowanie dwuskładnikowe |
Ostatni przypadek dobrze ilustruje sprawa 23andMe z 2023 roku. Przestępcy logowali się na konta klientów firmy hasłami wykradzionymi wcześniej z innych serwisów, a następnie pobrali dane osobowe i genetyczne milionów użytkowników.
Wspólny mianownik tych zdarzeń jest prosty: pracownik musi wiedzieć, że zgłoszenie jest właściwą reakcją, a nie przyznaniem się do winy. Im szybciej dział IT dowie się o problemie, tym mniejsze będą jego skutki.
Czego uczą incydenty bezpieczeństwa firmy i instytucje publiczne?
Opisane przykłady różnią się skalą, ale prowadzą do podobnych wniosków. Na podstawie pracy z klientami zebraliśmy je w krótką listę:
- Człowiek jest najczęstszym punktem wejścia. Szkolenia działają, jeśli są regularne i oparte na realnych przykładach.
- Kopia zapasowa ma wartość tylko wtedy, gdy da się z niej szybko odtworzyć dane. To trzeba sprawdzać w praktyce.
- Aktualizacje i poprawna konfiguracja usuwają dużą część ryzyka bez dużych nakładów.
- Każdy dostawca z dostępem do systemów jest częścią Twojego bezpieczeństwa.
- Bez jasnej procedury zgłaszania incydentów pracownicy milczą, a czas na reakcję ucieka.
W ICT Future pomagamy przełożyć te wnioski na konkretne działania. Przeprowadzamy audyty bezpieczeństwa organizacyjne, techniczne i RODO, audyt zgodności z KSC oraz testy bezpieczeństwa. Wdrażamy System Zarządzania Bezpieczeństwem Informacji zgodny z ISO 27001:2022 i prowadzimy szkolenia Security Awareness dla firm i instytucji. Zaufały nam między innymi Teatr Muzyczny Capitol, Radio Wrocław i FutureMeds, a nasi inżynierowie mają ponad 15 lat doświadczenia w projektach IT i telekomunikacyjnych.
Co warto zapamiętać?
Incydentu nie da się wykluczyć w stu procentach. Da się natomiast ograniczyć jego prawdopodobieństwo i skutki. Jeśli chcesz sprawdzić, jak Twoja organizacja poradziłaby sobie z opisanymi scenariuszami, skontaktuj się z nami. Zaczniemy od audytu i pokażemy, które zabezpieczenia wdrożyć w pierwszej kolejności.