Haker uczy rząd, jak się bronić

„Alladyn 2" włamał się do rządowej sieci informatycznej. I zostawił rady, jak unikać takich ataków.

Publikacja: 14.03.2013 19:51

Słabość rządowych zabezpieczeń w sieci pokazały już przed rokiem ataki Anonimowych w czasie protestó

Słabość rządowych zabezpieczeń w sieci pokazały już przed rokiem ataki Anonimowych w czasie protestów przeciw ACTA

Foto: Fotorzepa, Piotr Wittman

Działający samotnie haker włamuje się do rządowej sieci i prostym zabiegiem zyskuje dostęp do kont tysięcy pracowników administracji rządowej. Choć brzmi to jak scenariusz hollywoodzkiego filmu, to właśnie wydarzyło się w ubiegłym tygodniu w Polsce.

Sprawcą ataku był haker „Alladyn2", który zyskał dostęp do danych kont 1300 pracowników Kancelarii Prezesa Rady Ministrów oraz 8 tys. pracowników MSZ. Do włamania przyznał się w środę. Zadeklarował, że danych nie ukradł, atak zaś przeprowadził po to, aby zwrócić uwagę na słaby poziom zabezpieczeń rządowej cyberprzestrzeni. Zostawił nawet zestaw rekomendacji co do tego, jak lepiej ją chronić.

Choć to nie pierwszy atak na rządowe serwery, a eksperci od dawna alarmują o braku dobrych procedur i słabych zabezpieczeniach, rząd nie spieszy się, aby to naprawić.

Jednym z głównych organów odpowiadających za bezpieczeństwo teleinformatyczne państwa jest Zespół CERT.GOV.PL. Od 2008 roku publikuje on raporty o stanie zabezpieczeń na rządowych stronach. Co roku są one krytyczne i zawierają zalecenia, jak zmienić ten stan. Ostatni taki raport, z maja 2012 roku, podaje, że tylko 7 proc. witryn gov.pl jest bezpiecznych.

Pokazały to zwłaszcza ataki grupy „Anonymous" w czasie protestów przeciw ACTA, kiedy dochodziło do masowego blokowania państwowych stron, włamań na ich bazy danych i wycieku informacji. Kiedy zapytaliśmy ABW, dlaczego rekomendacje podległego mu CERT nie są wprowadzane w życie, otrzymaliśmy następującą odpowiedź: „ABW nie ma możliwości wymuszenia zastosowania lub wprowadzenia do systemów teleinformatycznych instytucji państwowych zaleceń zespołu CERT.GOV.PL".

– Brak jest całościowej strategii. Nie można napisać wytycznych i usiąść z założonymi rękami – mówi Mirosław Maj, prezes Fundacji Bezpieczna Cyberprzestrzeń.

Jak pokazał atak „Alladyna2", problem jest jednak dużo poważniejszy, niż gdyby dotyczył tylko bezpieczeństwa rządowych witryn. – Atak na rządowe sieci nie był szczególnie skomplikowany technicznie, jednocześnie wspaniale zobrazował, do czego zdolna jest umiejętnie zastosowana socjotechnika – mówi „Rz" Piotr Konieczny, szef zespołu bezpieczeństwa Niebezpiecznik.pl, portalu, który pierwszy poinformował o ataku. – W ramach wykonywanych przez nasz zespół testów taka technika przynosi pozytywne skutki niemal w każdym przypadku.

Jak twierdzi sam haker, zdołał on najpierw złamać zabezpieczenia konta pocztowego szefa KPRM Tomasza Arabskiego, po czym rozesłał prostą wiadomość e-mailową do innych pracowników Kancelarii i ministerstw z zainfekowanym plikiem „raport.xls". Kiedy urzędnicy go otworzyli, haker mógł zdalnie obsługiwać ich komputery i szperać w ich dyskach twardych.

Dzięki temu mógł przeglądać np. osobisty grafik Radosława Sikorskiego czy też wejść na konto samego premiera. Dostępu do informacji niejawnych nie miał, bo te są przetwarzane na odizolowanych serwerach.

– W pełnym zaawansowanej i całkiem bezpiecznej elektroniki świecie to człowiek jest najsłabszym ogniwem – mówi Konieczny.

Uwypuklił to opublikowany w Internecie anonimowy list informatyka pracującego dla jednego z ministerstw. Pisze on, że według dyrektorów urzędów wdrażanie procedur to „za dużo pracy", a pracownicy nie chcą dbać o bezpieczeństwo haseł. Informatyków zmusza się też do zajmowania się pobocznymi sprawami. „Jeśli taki atak się odbędzie, jest duża szansa, że go nie wykryję, bo będę pisał przetarg na sprzęt albo przenosił dane pomiędzy telefonami ministra, bo nikt nie wie, jak to zrobić" – czytamy w liście.

Od 2012 r. rząd podjął dwie inicjatywy na rzecz zwiększenia bezpieczeństwa sieci. Obie krytykowano. We wrześniu 2012 r. resort administracji i cyfryzacji (MAiC) przedstawił „Politykę Ochrony Cyberprzestrzeni RP", dokument zakładający zintegrowanie systemu bezpieczeństwa sieci. W konsultacjach społecznych organizacje pozarządowe ostro skrytykowały go m.in. za brak propozycji konkretnych działań. – Zgłosiły też kilka naprawdę rzetelnych propozycji. Żadna z nich nie została uwzględniona – mówi Maj.

Druga rządowa inicjatywa to stworzenie „Wytycznych MAiC w zakresie ochrony portali administracji publicznej". Te również były przedmiotem krytyki ekspertów.

– To przykre, ale wytyczne, które przedstawił „Alladyn2", były dużo lepsze niż te opracowane przez MAiC. Choć nie popieram takich działań, to ten „niezamówiony audyt" hakera może wyjść rządowi na dobre – twierdzi Maj.

Dodaje jednak, że nie wszędzie obrona sieci jest dziurawa. Choć haker włamał się również do sieci MON i Kancelarii Prezydenta, informatycy tych instytucji szybko zareagowali i nie pozwolili na penetrację sieci. – Chodzi jednak o całość systemu, a tu sytuacja wygląda po prostu źle – uważa.

Kraj
Podcast Pałac Prezydencki: "Prezydenta wybierze internet". Rozmowa z szefem sztabu Mentzena
https://track.adform.net/adfserve/?bn=77855207;1x1inv=1;srctype=3;gdpr=${gdpr};gdpr_consent=${gdpr_consent_50};ord=[timestamp]
Kraj
Gala Nagrody „Rzeczpospolitej” im. J. Giedroycia w Pałacu Rzeczpospolitej
Kraj
Strategie ochrony rynku w obliczu globalnych wydarzeń – zapraszamy na webinar!
Kraj
Podcast „Pałac Prezydencki”: Co zdefiniuje kampanię prezydencką? Nie tylko bezpieczeństwo
Materiał Promocyjny
Bank Pekao wchodzi w świat gamingu ze swoją planszą w Fortnite
Kraj
Sondaż „Rzeczpospolitej”: Na wojsko trzeba wydawać więcej