Grad Beč za problem nije doznao tako što je neki gradski sustav prestao raditi ili su se na ekranima pojavile poruke ucjenjivača. Prema riječima gradskog Chief Information Officera Klemensa Himpelea, prva informacija stigla je 9. rujna preko austrijskog Computer Emergency Response Teama – CERT-a.

Prethodno je na jednom internetskom forumu navodno bio ponuđen pristup sigurnosnoj ranjivosti u gradskom okruženju. Nakon upozorenja Grad Beč je zajedno s austrijskim sigurnosnim strukturama, uključujući Direkciju za državnu sigurnost i obavještajne poslove, krenuo u identifikaciju problema. Ranjivost je pronađena i, prema informacijama Grada, zatvorena.

Naknadna analiza pokazala je da napadači nisu uspjeli „preuzeti Grad Beč“ u smislu u kojem ljudi često zamišljaju cybernapad. Nisu dobili administratorsku kontrolu nad kompletnom informatičkom infrastrukturom, nisu preuzeli korisničke račune i, prema gradu, nisu mogli upravljati ključnim sustavima.

Napad je ipak otvorio vrata prema internoj dokumentacijskoj platformi. Na takvim se sustavima nalaze materijali koji zaposlenicima služe za svakodnevni rad – projektne dokumentacije, informacije vezane uz edukacije, procedure i drugi interni sadržaji koji pojedinačno možda izgledaju bezazleno, ali u velikoj količini mogu sadržavati vrlo mnogo osobnih i organizacijskih informacija.

Napadači su kopirali oko 26.000 takvih dokumenata. Ukupni volumen nije golem u tehničkom smislu – oko devet gigabajta danas stane na običan USB uređaj – ali broj datoteka i njihov sadržaj pokazuju zašto se ozbiljnost curenja podataka ne mjeri samo gigabajtima.

Napadači nisu preuzeli kontrolu nad gradskom IT infrastrukturom, ali su došli do dovoljno velikog broja internih dokumenata da se u njima nalaze osobni podaci tisuća ljudi. Upravo je to ključna razlika između prekida rada sustava i curenja podataka.

Među dokumentima imena, e-mailovi, IBAN-i i podaci o bolovanju

Analiza kopiranih materijala pokazala je da su zahvaćeni podaci gotovo 6.000 osoba. Najveće pojedinačne skupine čini oko 2.900 građana i približno 2.000 zaposlenika bečkog Magistrata. U dokumentima se nalaze i podaci više od 800 osoba odnosno tvrtki koje za Grad Beč rade kao vanjski izvođači ili ugovorni partneri.

U najvećem broju slučajeva riječ je, prema dosad dostupnim informacijama, o imenima i adresama elektroničke pošte. To je još uvijek osobni podatak, ali je rizik drukčiji nego kada se izgube financijski, zdravstveni ili autentifikacijski podaci.

Problem je u tome što nisu svi dokumenti sadržavali samo osnovne kontaktne informacije. U pojedinim slučajevima kopirani su i osjetljiviji podaci. Među primjerima koje navode austrijski mediji nalaze se IBAN brojevi i informacije povezane s danima bolovanja.

Takvi podaci sami po sebi ne znače da netko može jednostavno isprazniti bankovni račun ili dobiti pristup zdravstvenom kartonu. Međutim, kada se osobno ime, e-mail adresa, radno mjesto, financijski podatak ili neka informacija o zaposlenju spoje u isti profil, vrijednost podataka za prijevare i ciljane napade postaje znatno veća.

Upravo zato veliki gubici podataka često imaju i drugu fazu. Prvi napadač možda samo kopira dokumente, ali se oni kasnije mogu preprodavati ili koristiti za vrlo uvjerljive phishing poruke. E-mail koji sadrži stvarno ime zaposlenika, točan naziv projekta ili informaciju o njegovu poslu izgleda mnogo vjerodostojnije od klasične nasumične poruke koja od primatelja traži lozinku ili uplatu.

Grad Beč zasad naglašava jednu važnu stvar: nema indicija da su kopirani dokumenti javno objavljeni. Također prema riječima gradskog CIO-a nije stigao zahtjev za otkupninom. Drugim riječima, ovo prema dosadašnjim informacijama nije klasični ransomware napad u kojem kriminalci zaključaju sustave pa od žrtve traže novac za njihovo otključavanje.

Međutim, činjenica da sadržaj zasad nije objavljen ne znači da je rizik nestao. Grad zato mora utvrditi što se točno nalazilo u svakoj od tisuća datoteka, tko je pogođen i kakav je potencijalni rizik za svaku osobu čiji su podaci kopirani.

Napadači su možda ranjivost pronašli uz pomoć automatiziranog AI skeniranja

Posebno zanimljiv detalj istrage odnosi se na način na koji je sigurnosni propust mogao biti pronađen. Prema dosadašnjim procjenama, sumnja se da je korišten specijalizirani automatizirani alat odnosno sustav za skeniranje ranjivosti, pri čemu austrijski izvještaji spominju i mogućnost korištenja softvera potpomognutog umjetnom inteligencijom.

To zasad nije isto što i potvrda da je „AI napao Beč“. Riječ je o sumnji vezanoj uz alat kojim se velike količine javno dostupnih sustava mogu automatski pregledavati u potrazi za slabostima. Kada se pronađe potencijalni otvor, napadač može pokušati iskoristiti ga prije nego što vlasnik sustava otkrije problem.

Grad trenutno isključuje phishing kao izvor početnog prodora. To je važan podatak jer se veliki broj cyberincidenata pokrene upravo tako što zaposlenik otvori zlonamjernu poveznicu, dokument ili preda svoje pristupne podatke. Ovdje je prema aktualnim informacijama problem bio tehničke prirode – ranjivost u sustavu kojem su napadači pristupili izvana.

Bečka IT infrastruktura pritom je golema. Wien Digital upravlja približno 100.000 IT profila za gradsku politiku, magistratske odjele, gradska poduzeća, bolnice, domove za njegu i druge povezane sustave. Grad navodi oko 10.000 poslužitelja, više od 90.000 radnih uređaja i gotovo 100.000 mailboxa.

Upravo razmjer takvog sustava objašnjava zašto apsolutna sigurnost praktički ne postoji. Što je sustav veći i što više aplikacija, korisnika i vanjskih servisa povezuje, veći je i broj potencijalnih mjesta na kojima se može pojaviti sigurnosna slabost.

Grad Beč ima vlastiti WienCERT koji se bavi informacijskom sigurnošću Magistrata i surađuje s austrijskim i međunarodnim CERT strukturama. Postoje i programi prijavljivanja sigurnosnih propusta. No upravo ovaj incident pokazuje da sigurnost nije stanje koje se jednom postigne, nego stalna utrka između onih koji ranjivosti pokušavaju otkriti i zatvoriti i onih koji ih žele iskoristiti.

Što sada slijedi za gotovo 6.000 pogođenih ljudi

Incident je prijavljen austrijskom tijelu za zaštitu podataka, a Grad je najavio da će obavijestiti pogođene osobe. To je važan dio postupka jer rizik nije jednak za nekoga čije se ime pojavilo na popisu sudionika edukacije i osobu čiji dokument sadrži dodatne financijske ili osjetljive podatke.

Himpele se u ime Grada ispričao pogođenima. Grad istodobno pokušava jasno odvojiti ono što se dogodilo od onoga što se nije dogodilo: sigurnosni incident i kopiranje podataka jesu potvrđeni, ali nema informacija da je netko upravljao gradskim sustavima, preuzeo korisničke račune ili objavio ukradeni materijal.

Upravo je takva preciznost važna kod cybernapada. Izraz „hakiran je Beč“ može zvučati kao da je napadač imao kontrolu nad semaforima, bolnicama, gradskim računima ili cijelim Magistratom. Prema dosad objavljenim informacijama ništa takvo nije utvrđeno.

Ono što jest utvrđeno dovoljno je ozbiljno samo po sebi. Interni podaci nisu trebali napustiti gradsku platformu, a sada je određeni broj datoteka izvan kontrole Grada. Hoće li ih napadači koristiti, prodavati, objaviti ili će incident završiti bez daljnjih posljedica, trenutačno se ne može znati.

Posebno oprezni trebali bi zato biti ljudi koje Grad izravno obavijesti da su njihovi podaci bili zahvaćeni. Eventualne poruke koje koriste stvarne informacije o njihovoj suradnji s Gradom, projektima ili administrativnim postupcima zaslužuju dodatnu provjeru, osobito ako traže lozinku, bankovnu uplatu ili otvaranje neočekivane poveznice.

Za sam Grad incident će gotovo sigurno značiti dodatnu forenzičku analizu, pregled dokumentacijskih sustava i pitanje kako je ranjivost ostala otvorena dovoljno dugo da netko s platforme izvuče desetke tisuća datoteka.

Beč se posljednjih godina predstavlja kao jedan od europskih gradova koji snažno ulažu u digitalnu upravu. Što se više administrativnih postupaka, dokumenata i komunikacije seli u digitalne sustave, to cyber sigurnost manje postaje tehnička tema za nekoliko stručnjaka u server-sobi, a sve više dio osnovnog funkcioniranja grada.

U ovom slučaju gradske službe nastavile su funkcionirati. Građani nisu ostali bez usluga, a napadač prema dosadašnjim informacijama nije preuzeo kontrolu nad ključnim sustavima. Ali 26.000 kopiranih dokumenata dovoljno je ozbiljan podsjetnik da digitalni grad može imati vrlo stvarnu ranjivost čak i kada se izvana čini da sve radi normalno.

Zoran / TV Wien