Řehka: Kyberútok na platformu od SolarWinds byl sofistikovaný. V ohrožení jsou i české instituce
Hrozí masivní úniky citlivých dat a informací i z nejdůležitějších úřadů a institucí v Česku. Národní úřad pro kybernetickou a informační bezpečnost nařídil kvůli hackerskému útoku na americkou společnost SolarWinds zkontrolovat a zabezpečit systémy všech, kteří spadají pod kyberzákon. Podle ředitele českého kyberúřadu Karla Řehky jsou ohrožené i české instituce. Platformu Orion napadli hackeři a dostali se tak i do systému Pentagonu.
Jaké nebezpečí kvůli útoku na firmu SolarWinds v Česku hrozí a hlavně komu?
Hrozí to v podstatě každému, kdo platformu Orion a konkrétní aplikace firmy SolarWinds používal ve svých systémech. Tam došlo k penetraci systému skrz aktualizace. To byl útok na cíle, na subjekty přes dodavatelský řetězec. Předpokládá se, že došlo k masivnímu úniku citlivých dat. To znamená, že k tomu může dojít i u nás, u těch, kteří tu platformu používají, mohlo dojít ke kompromitaci sítí a únikům dat.
Je to zatím jen hrozba, nebo opravdu v České republice reálně k něčemu došlo?
V tuto chvíli je tady to riziko. My nemáme hlášené konkrétní úniky. Nicméně víme o tom, a proto děláme ty kroky. U nás jak z těch regulovaných povinných subjektů, které spadají pod zákon o kybernetické bezpečnosti, tak i z těch neregulovaných ale významných společností v České republice, víme, že jsou potenciálně ohroženi, protože tu platformu využívají.
Spolupráce úřadů v kyberbezpečnosti funguje. Podle kontrolorů ale chybí přehled o výdajích
Číst článek
K jakým dopadům tam konkrétně došlo, to musíme teprve zjišťovat. Právě proto jsme jako NÚKIB vydali nejdříve v pondělí už takové upozornění na našich webových stránkách a dnešním dnem jsme přistoupili k reaktivnímu opatření. Což je opatření ze zákona, a je právně závazné. Ukládáme správcům těch důležitých systémů, které jsou regulované zákonem o kybernetické bezpečnosti, nějaké konkrétní kroky, které mají udělat.
Co třeba má udělat nemocnice, pokud systém SolarWinds používá?
Pokud je to nějaká menší nemocnice, ten systém používá a není regulovaná zákonem o kybernetické bezpečnosti, tak může použít reaktivní opatření jako doporučení. Pokud je regulována, tak to provézt musí, je to právně závazné. Jsou tam hlavní tři kroky. V tom prvním kroku musí provézt bezpečnostní aktualizace softwaru, což provede od výrobce, že si stáhne aktualizace. Tím by měli zamezit další kompromitaci, která tam ještě nemusela nastat.
Co se týká dalšího kroku, tak si musí zkontrolovat, jestli její systémy, které mají, už nebyly kompromitovány. K tomu to reaktivní opatření poskytuje indikátory kompromitace, které musí vyhledat, jestli je mají v systémech. Na základě toho by se mohlo ukázat, že je síť kompromitována. Jako třetí krok by následně měli provézt celkový bezpečnostní audit, protože my nemáme jistotu, že ty identifikátory kompromitace jsou kompletní.
Útok na dodavatele
Firma Huawei nezískala v Česku bezpečnostní prověrku. Zvažuje, že požádá o nižší stupeň
Číst článek
Dá se odhadnout, kolika úřadů nebo firem v Česku se to může týkat?
To se nedá takhle říct, to by bylo opravdu věštění z křišťálové koule. Pokud opravdu používali tu platformu od března do června 2020, kdy tam došlo k penetraci skrz aktualizace, tak je potřeba předpokládat, že ten systém je kompromitovaný. Ta organizace vůbec nemusela být cílem útoku, ale tím, že tam došlo k zanesení infekce toho malewaru, tak musí počítat s tím, že jsou kompromitováni a že to může být zneužitelné.
O kybernetických útocích slyšíme často, v čem je tento jiný?
Jde o to, že se útočilo přes dodavatelský řetězec. Útočím například na nemocnici nebo významnou státní organizaci, ale neútočím přímo tak, že se snažím prolomit jejich obranu. Útočím na nějaký software, který oni používali. Přes hacknutí dodavatele té služby se k nim přes aktualizace dostal někdo do sítí.
Záludné je to ještě v tom, že podle informací, co máme, to bylo velmi sofistikovaně provedeno, velmi důkladně. Bylo to děláno tak, aby tam byla minimální šance odhalit útočníka, bylo tam velmi důkladné zametání stop za útočníkem. Což naznačuje, že to pravděpodobně byl vyspělý útočník.
