Patlaban uzbrucējs nopludinājis 44 gigabaitus no AS “Latvijas valsts meži” (LVM) kiberuzbrukumā iegūtajiem datiem, bet uzbrukumā potenciāli iegūto datu apjoms, visticamāk, ir lielāks, pauda kiberincidentu novēršanas institūcija “Cert.lv”.
Institūcijā norādīja, ka lielāko daļu informācijas datu noplūdē veido iekšējie dokumenti, e-pastu sarakstes un pielikumi, LVM biznesa informācijas tehnoloģiju (IT) projektu koda repozitorijs, dažādu sistēmu sertifikāti un atslēgas, kā arī lietotāju paroles un lietotāju paroļu jaucējfunkciju vērtības.
“Cert.lv” atzīmēja, ka primārais kaitējums skar pašu uzņēmumu un tā darbību. Uzņēmuma prioritāte ir atjaunot sistēmas, nodrošināt biznesa nepārtrauktību un mazināt incidenta ietekmi uz uzņēmuma pamatdarbību.
Analizējot noplūdušos datus, “Cert.lv” apkopo informāciju par potenciālu apdraudējumu trešajām pusēm, kuras nekavējoties informē par nepieciešamību nomainīt autentifikācijas datus un veikt citus preventīvos pasākumus. Papildus tam visi noplūdē sastopamie sertifikāti un atslēgas sistemātiski tiek apzinātas, un tiek organizēts to atjaunošanas process, skaidroja “Cert.lv”.
Institūcijā uzsvēra, ka šādu incidentu atkopšanās procesā ir jāuzskata, ka visi skartās infrastruktūras piekļuves un autentifikācijas dati ir obligāti maināmi.
Tāpat “Cert.lv” norādīja, ka, ņemot vērā iespēju, ka noplūdē varētu būt skarti personu dati, uzņēmums ir vērsies arī Datu valsts inspekcijā (DVI).
Attiecībā uz iepriekš publiskajā telpā izskanējušajām bažām saistībā ar vēlēšanu sistēmas izstrādi “Cert.lv” atzīmēja, ka LVM piekrita izstrādāt elektroniskā tiešsaistes vēlētāju reģistra (ETVR) funkcionalitātes papildinājumus. Pie izstrādes strādāja četru cilvēku komanda, un programmatūras kods netika uzglabāts LVM biznesa koda repozitorijos. No nodalītas vides tika veiktas vairākas piegādes uz Valsts digitālās attīstības aģentūras (VDAA) nodalītu koda repozitoriju.
“Cert.lv” akcentēja, ka ir pārbaudījusi katru piegādi no LVM un veikusi salīdzinājumu koda izmaiņām katrai programmatūras koda rindiņai no pirmās līdz pēdējai piegādei, kas nodota VDAA. “Neviena ļaunprātīga pazīme vai nesankcionēta piekļuve šīm komponentēm nav konstatēta, tātad ir droši izmantojama,” atzīmēja institūcijā.
Iepriekš LVM norādīja, ka jebkura iespējamā datu noplūde kiberuzbrukuma rezultātā, kas bija vērsts pret LVM IT sistēmām, tika pārtraukta 22. jūnijā plkst. 8.30, kad uzņēmums secīgi atslēdza visu uzņēmuma IT infrastruktūru.
Kā skaidro kompānijā, paralēli par notikušo kiberuzbrukumu tika informēts “Cert.lv”. Ņemot vērā “Cert.lv” rekomendācijas, LVM IT infrastruktūras piekļuve internetam tika pilnībā bloķēta, šie pasākumi tika īstenoti tajā pašā 22. jūnija rītā līdz plkst. 10.15.
Pēc kiberuzbrukuma apturēšanas LVM IT speciālisti gan svētku dienās, gan pašlaik strādā ārkārtas režīmā, lai atjaunotu visu IT sistēmu darbību. Kopš uzbrukuma atklāšanas, strādājot ciešā sadarbībā ar “Cert.lv”, nav konstatēti jauni datu noplūdes gadījumi, norāda LVM.
Par notikušo kiberuzbrukumu uzņēmums ir informējis Valsts policiju, DVI un citas tiesībsargājošās institūcijas, kā arī izplatījis paziņojumu klientiem un sadarbības partneriem par kiberdrošības incidentu un konstatēto personas datu aizsardzības pārkāpumu.
Jau vēstījām, ka 22. jūnijā konstatēts kiberuzbrukums LVM IT infrastruktūrai. Pēc uzbrukuma drošības apsvērumu dēļ tika atslēgtas un nebija pieejamas LVM uzturētās ārējās informācijas tehnoloģiju sistēmas – “LVM GEO”, karšu pakalpojumu sistēma, kā arī medību lietotne “Mednis”. Tāpat tika atslēgtas arī vairākas LVM iekšējās sistēmas, kas nodrošina uzņēmuma informācijas apmaiņu ar LVM pakalpojumu sniedzējiem un uzņēmuma klientiem.
Atbildību par kiberuzbrukumu LVM uzņēmies ārvalstu izspiedējvīrusu jeb “ransomware” grupējums. Saistībā ar incidentu Valsts policija sākusi kriminālprocesu, bet kiberincidenta apstākļu skaidrošanā iesaistījusies arī institūcija “Cert.lv”.
Kiberdrošības eksperts Elviss Strazdiņš iepriekš publiski pauda, ka sazinājies ar personu vai grupējumu, kas uzņēmies atbildību par uzbrukumu LVM, un noskaidrojis iespējamo izpirkuma maksas apmēru. Pēc viņa sniegtās informācijas uzbrucēji par datu atšifrēšanu vēlējušies saņemt 0,1% no uzņēmuma gada ieņēmumiem jeb vairāk nekā 600 000 eiro.