Cyberatak na KNF

Po latach względnego spokoju niemal jak grom z jasnego nieba spadł komunikat o hackerskim ataku na system informatyczny obsługujący stronę internetową Komisji Nadzoru Finansowego. Witrynę pod adresem ]]>www.knf.gov.pl]]> trzeba było wyłączyć dla zabezpieczenia materiału dowodowego. Rzecznik KNF uspokajał, że „wewnętrzne systemy raportowania przez podmioty nadzorowane funkcjonują niezależnie od systemu informatycznego obsługującego stronę internetową i pozostają bezpieczne", a "prace urzędu przebiegają w sposób niezakłócony".  Dodał, że KNF „pozostaje w bieżącym kontakcie z przedstawicielami nadzorowanych sektorów, w tym bankowego, których działalność nie jest w żadnym stopniu zagrożona".

Zgodnie z procedurą i zdrowym rozsądkiem o ataku poinformowano organa ścigania i resort cyfryzacji. Jak się wydaje, zagrożenie nie zostało spowodowane przez domorosłych hackerów skoro sprawę przejęła Agencja Bezpieczeństwa Wewnętrznego. Potwierdził to zresztą Michał Kurek, dyrektor w Dziale Zarządzania Ryzykiem Informatycznym firmy doradczej EY, według którego atak był przygotowany profesjonalnie i zaawansowany technicznie, o czym świadczy użycie oprogramowania, którego nie wykryły „silniki antywirusowe”. 

Dochodzenie ABW trwa i nie wiadomo, kto ponosi odpowiedzialnośc za atak na infrastrukturę informatyczną ważnej instytucji państwowej. Szef Biura Bezpieczeństwa Narodowego Paweł Soloch nie miał wątpliwości, że był to element wojny hybrydowej demonstrujący, iż Rosja dysponuje siłami zdolnymi do prowadzenia cyberwojny. Niewykluczone, że ma rację, bowiem cyberatak na KNF wpisuje się w całą serię ingerencji hackerskich inspirowanych lub wręcz kierowanych  – jak się uważa – przez władze rosyjskie. Dokładnie tego samego dnia agencja France Presse poinformowała w depeszy z Oslo o cyberataku na norweskie istytucje państwowe, w tym na służbę bezpieczeństwa PST (Politiets sikkerhetstjeneste), której zadaniem jest zbieranie i analizowanie informacji o zagrożeniach dla bezpieczeństwa państwa oraz prowadzenie operacji zwalczania tych zagrożeń.

Jeden z funkcjonariuszy PST poinformował drugi kanał norweskiej telewizji publicznej, że zaatakowanych zostało 9 kont e-mailowych. Podjęto próbę wprowadzenia szkodliwego oprogramowania z zamiarem uzyskania poufnych danych użytkowników, haseł, itp. Rzecznik prasowy PST dodał, że służba nie przypuszcza, aby autorom ataku udało się uzyskać tajne informacje i chodziło im raczej o wprowadzenie szkodliwych wirusów do państwowych systemów informatycznych. Dodał, że przed atakiem  norweskie służby dostały ostrzeżenie od „sojuszniczego państwa”, żeby mieć się na baczności. Obok PST zaatakowane zostały ministerstwo spraw zagranicznych, siły zbrojne, Zarząd Ochrony przed Promieniowaniem, klub parlamentarny opozycyjnej Partii Pracy oraz jedna ze szkół. Wykryte ślady prowadzą do „powiązanej z rosyjskimi władzami” grupy hackerskiej APT 29.

Kilka dni wcześniej w Pradze ujawniono, że w styczniu hackerzy, najprawdopodobniej powiązani z Moskwą, włamali się do poczty kilkudziesięciu wysokiego szczebla urzędników czeskiego ministerstwa spraw zagranicznych. Wiadomość potwierdził szef resortu Lubomir Zaorálek, który przyznał, że w „wielowektorowej” operacji zhakowana została również jego skrzynka. Zapewnił, że hackerzy nie wykradli tajnych wiadomości, ale czeskie media informowały, że ich łupem padła poufna korespondencja dotycząca stosunków między Pragą a krajami NATO i Unii Europejskiej.

Zaorálek ograniczył się do stwierdzenia, że zdaniem ekspertów charakter i profesjonalizm ataku świadczą, iż nastąpił  z zewnątrz i został przeprowadzony przez „obce państwo”. Dyplomatycznie nie wymienił podejrzanego, ale jeden z wysokich urzędników czeskiego MSZ ujawnił, że wszyskie ślady wskazywały na Rosję. Potwierdził to ekspert z dziedziny cyber bezpieczeństwa Vlado Bizik z trustu mózgów European Values, który poinformował, że atak przeprowadzono przy użyciu trudnego do wykrycia „konia trojańskiego” podobnego do wykorzystanego we włamaniu do polskiego MSZ. „Tworzenie tak skomplikowanego oprogramowania jest zazwyczaj sponsorowane przez podmioty państwowe i Rosjanie mogli na tym skorzystać najwięcej” – stwierdził Bizik dodając, że jest „przekonany, iż szkody były duże”. Czeski MSZ pomniejsza znaczenie włamania, ale portal śledczy Neovlivni.cz ustalił, że hackerom udało się „wyssać” ponad 7000 plików, z czego 48 ze skrzynki ministra i resztę ze skrzynek co najmniej 180 innych użytkowników, w tym dwóch wiceministrów. Był to w opinii portalu „największy skandal w czeskim cyberbezpieczeństwie ostatnich lat”.

Premier Bohuslav Sobotka użył mniej barwnych określeń, ale i on nie krył zaniepokojenia uznając incydent za „poważny”, który winien być „dokładnie zbadany” przez specjalnie powołaną grupę dochodzeniową. 

Wciąż zbyt wolno, ale już coraz szybciej, do polityków dociera prawda, że w globalnej cyberprzestrzeni toczy się pierwsza światowa cyberwojna. Na razie przewagę ma w niej Rosja, która najwcześniej zorientowała się, że może, stosunkowo małym kosztem, osiągnąć dominację i manipulować państwami i społeczeństwami. W niedawnym wykładzie na uniwersytecie St Andrews, brytyjski minister obrony sir Michael Fallon otwarcie zarzucił Rosji, że „używając cyberoręża zakłóca działanie krytycznej infrastruktury i demokratycznej maszynerii” w innych państwach, aby w ten sposób „rozszerzyć swoją strefę wpływu, zdestabilizować kraje i osłabić ich sojusze.” Fallon przypomniał, że w ciągu minionych dwóch lat Rosja zaatakowała infrastrukturę cybersprzestrzeni Stanów Zjednoczonych, Francji, Niemiec, Holandii, Bułgarii i Czarnogóry, która choć terytorialnie mała, to jednak opowiadając się za sojuszem z NATO skutecznie blokuje dostęp Rosji do Adriatyku i wyjście na Morze Śródziemne.

W ślad za zarzutami, Wielka Brytania podjęła konkretne działania zapobiegawcze. Londyński dziennik Daily Express poinformował, że wiosną wysłany zostanie do Estonii batalion specjalistów sił lądowych w sile około 350 ludzi. W jego skład wejdą żołnierze z 14 pułku wojsk łączności wyspecjalizowanego w walce elektronicznej oraz eksperci i lingwiści z Głównej Kwatery Komunikacji Rządowej (GCHQ), czyli połączonej służby radio-wywiadu, radio-kontrwywiadu oraz krypto-wywiadu. Ocenia się, że będzie to najpoważniejsza w tym roku antyrosyjska operacja w cyberprzestrzeni.

Mała Estonia padła przed 10 laty ofiarą najprawdopodobniej rosyjskiego ataku sieciowego, który na dłuższy czas unieruchomił wiele internetowych witryn rządowych, portali medialnych i  usługowych stron banków. Po tym bolesnym doświadczeniu rząd estoński postawił na rozwój zdolności obronnych na tym nowym polu walki i kraj staje się stopniowo nasilniejszym cyberbastionem NATO. W Tallinie mieści się sojusznicze centrum cyberobrony CCDCOE (Cooperative Cyber Defence Centre of Excellence), które służy wymianie doświadczeń i pracom studyjnym. Obok zbierania informacji,  tworzenia specjalistycznych baz danych i opracowywania analiz, CCDCOE przejdzie teraz do „działań praktycznych”, stwierdził 39 letni minister obrony Margus Tsahkna i zapowiedział, że Estonia zorganizuje późnym latem lub jesienią sojusznicze manewry w cyberprzestrzeni. W jego opinii głównym zadaniem ośrodka w Tallinie jest obecnie „pobudzanie zrozumienia i świadomości zagrożenia” wśród polityków państw Sojuszu Atlantyckiego, aby zmobilizować ich do opracowania wspólnej doktryny „działania na najwyższym szczeblu politycznym jeśli coś się wydarzy”.

Nie czekając na pozostałe kraje estońskie siły zbrojne tworzą osobne dowództwo walki w cyberprzestrzeni. Margus Tsahkna podkreślił, że jest to realizacja wytycznych przyjętych na ubiegłorocznym szczycie NATO w Warszawie. Nie chodzi tu jedynie o obronę przed rosyjskim cyberszpiegostwem, ale przede wszystkim przed podejmowanymi przez Kreml próbami manipulowania całymi społeczeństwami. „To nie jest science-fiction, to bardzo praktyczne, codzienne działanie” – ostrzegał Margus Tsahkna. Dla obrony przed tym narastającym dosłownie z miesiąca na miesiąc zagrożeniem Estonia, „wcześniej niż inne państwa”, zorganizowała paramilitarną „Ligę Obronną”, czyli ochotnicze jednostki złożone z młodych informatyków gotowych bronić swego kraju w cyberprzestrzeni.

Na warszawskim szczycie NATO ustalono, iż należy rozwijać cały potencjał sojuszu począwszy od cyberdoktryn po realne zdolności obronne. Na tradycyjnym polu walki małe kraje nie mają większych szans w konfrontacji z gigantycznymi machinami wojennymi takimi jak rosyjska, ale w starciu mózgów w cyberprzestrzeni te szanse wyrównują się.