Pondelok ráno nešlo nič: príbeh firmy, ktorú kybernetický útok položil na kolená

Bolo päť minút po ôsmej ráno. Miroslav otvoril notebook, pokúsil sa prihlásiť do firemného systému a nič. Obrazovka sa len točila. Skúsil to znova. A znova. Siahol po telefóne a zavolal kolegovi. Ten mal ten istý problém. O desať minút to vedela celá kancelária: v pondelok ráno nešlo absolútne nič.

Čo je kybernetický útok a čo s ním môže firme urobiť?

Kybernetický útok je cielený pokus o narušenie, poškodenie alebo neoprávnený prístup k IT systémom firmy. Môže mať podobu ransomvéru, DDoS útoku alebo krádeže dát. Bez pripraveného plánu obnovy dokáže paralyzovať celú firmu, zničiť roky budovanú dôveru klientov a spôsobiť straty, z ktorých sa niektoré podniky nikdy nespamätajú.

Firma ako každá iná

Spoločnosť pôsobila v oblasti logistiky. Dvadsaťštyri zamestnancov, sklad pri Trnave, rozsiahla sieť odberateľov po celom západnom Slovensku. Miroslav pracoval ako obchodný referent päť rokov. Bol zvyknutý na pondelky, ktoré začínajú e-mailmi, objednávkami a rannou kávou pred monitorom.

IT v tejto firme nikdy nebol veľká téma. Bol jeden externý správca, ktorý chodil raz za mesiac skontrolovať servery. Zálohy? Existovali kedysi, ale nikto nevedel presne kde ani kedy boli naposledy spustené. Plán obnovy po havárii? Nikto také slová v tejto kancelárii nevyslovil nahlas.

Keď Miroslav o siedmej pätnásť zistil, že sa nevie prihlásiť ani do interného skladu, ani do e-mailu, ani do účtovného systému, cítil len ľahkú frustráciu. Určite sa to o chvíľu samo opraví. Veď sa to vždy opravilo.

Keď kybernetický útok prestane byť abstraktný

O deviatej ráno zavolal konateľ externého správcu. Ten zistil, že firemné servery sú zasiahnuté ransomvérovým útokom. Útočníci zašifrovali všetky dáta a na obrazovke sa objavila správa s požiadavkou na výkupné v kryptomene. Podľa analýzy neskôr vyšlo najavo, že vstupným bodom bol zastaraný firewall bez aktualizácií. Podobný scenár opisuje aj prípad zraniteľnosti JFrog Artifactory, kde útočníci získali prístup za hodiny.

Miroslav sedel pri prázdnom monitore a nevedel čo robiť. Kolegovia sa hromadili okolo kávovaru, pretože nič iné im nezostávalo. Sklad nemohol expedovať. Obchodníci nemali prístup k zákazkám. Účtovníčka Katarína listovala v papierových šanónoch, pretože faktúry nebolo možné vystaviť elektronicky. Hodiny plynuli. Zákazníci volali. Nikto im nevedel dať jasnú odpoveď.

Konateľ sa cítil stratený. Nemal informácie, nemal kontrolu, nemal plán. Telefonoval so správcom, potom s právnikom, potom so správcom znova. Nikto nemal rolu incident managera, nikto nevedel, kto rozhoduje a kto čo robí. Deň sa menil na nočnú moru v spomaľovanom filme.

Zálohy, ktoré neexistovali tam, kde mali

Na tretí deň sa ukázalo, že zálohy síce existovali, ale boli uložené na tom istom serveri, ktorý útok zasiahol. Boli teda tiež zašifrované. Správca si pamätal, že kedysi sa riešilo zálohovanie dát do cloudu, ale projekt sa zastavil pre cenu a nikdy sa nedokončil.

Obnova trvala jedenásť dní. Časť dát sa obnovila z e-mailov, časť z papierových dokumentov. Niekoľko mesiacov starých zmlúv zmizlo navždy. Zákazníci nečakali. Traja kľúčoví odberatelia prešli ku konkurencii počas prvého týždňa. Ich odchod firma pocítila ešte celý nasledujúci rok.

Miroslav sa vrátil za pracovný stôl jedenásty deň. Systémy bežali, ale niečo v kancelárii sa zmenilo. Tá tichá istota, že "nás sa to netýka", zmizla. Zostala len únava a otázka, ktorá visela vo vzduchu: prečo sme to neriešili skôr?

Pritom riešenie existovalo. Iné firmy podobnej veľkosti si dali zálohovanie a šifrovanie dát urobiť správne a ransomvér ich nezastavil ani na hodinu.

Čo by bolo stačilo urobiť inak

Príbeh tejto firmy nie je výnimočný. Podľa SK-CERT patrí ransomvér dlhodobo k najčastejším typom incidentov hlásených na Slovensku. Väčšina zasiahnutých firiem nemala zdokumentovaný plán obnovy, nemala určeného incident managera a nemala zálohy oddelené od primárnej siete.

Konkrétne kroky, ktoré by situáciu zmenili:

• Pravidelne testované zálohovanie dát v cloude, oddelené od firemnej siete
• Aktualizovaný a správne nakonfigurovaný firewall s pravidelným auditom
• Určená osoba alebo partner s rolou incident managera s jasným postupom pri útoku
• Zdokumentovaný plán obnovy, ktorý vie otvoriť aj zamestnanec bez IT vzdelania
• Penetračné testy aspoň raz ročne, ktoré odhalia slabiny skôr, ako to urobia útočníci

DDoS útok, ransomvér, phishing, zneužitie zraniteľnosti ako napríklad kritická zero-day zraniteľnosť F5 BIG-IP APM: forma útoku sa môže líšiť, ale dôsledok je vždy rovnaký, keď firma nemá pripravený plán. Zastaví sa.

Aké riešenie IT bezpečnosti odporúčate pre malú alebo strednú firmu, ktorá doteraz nič neriešila?

Pre firmu s 10 až 50 zamestnancami odporúčame začať komplexným IT auditom, ktorý odhalí skutočný stav bezpečnosti do 2 pracovných dní. Na základe výsledkov nastavíme prioritné opatrenia: oddelené zálohy v cloude, aktualizáciu firewallu a základný plán obnovy. Celé riešenie dokážeme sprevádzkovať do 30 zariadení bez nutnosti meniť celú infraštruktúru. Je to najrýchlejší spôsob, ako získať reálny prehľad a kontrolu.

Čo by vás ešte mohlo zaujímať

Ako spoznám, že moja firma bola napadnutá kybernetickým útokom?

Prvé príznaky sú často nenápadné: nezvyčajne pomalý systém, nemožnosť prihlásiť sa, neznáme súbory s cudzou príponou alebo správy o zamknutých dátach. Niekedy firma zbadá útok až vtedy, keď systémy prestanú reagovať úplne. Preto je kľúčový monitoring siete v reálnom čase a nastavené upozornenia, nie čakanie na viditeľný problém.

Čo je to plán obnovy a musí ho mať každá firma?

Plán obnovy (disaster recovery plán) je zdokumentovaný postup, ako firma obnoví prevádzku po havárii alebo útoku. Obsahuje, kto čo robí, kde sú zálohy, kto rozhoduje a v akom poradí sa systémy obnovia. Pre malé firmy nemusí ísť o stostranový dokument, ale o jasný a otestovaný postup, ktorý zvládne otvoriť aj zamestnanec bez technického vzdelania. Bez neho sa obnova spomalí o dni.

Je DDoS útok rovnako nebezpečný ako ransomvér?

DDoS útok a ransomvér sú rôzne typy hrozieb s rôznym dopadom. DDoS útok zahltí servery falošnou prevádzkou a znepristupní služby, zvyčajne však dáta neničí. Ransomvér naopak zašifruje súbory a vyžaduje výkupné za ich odomknutie. Oba vedia ochromiť firmu na dni. Niekedy útočníci kombinujú oboje: najprv DDoS ako odvrátenie pozornosti, potom infiltrácia sietí.

Musíme kybernetický útok nahlasovať úradom?

Záleží od typu firmy a povahy útoku. Ak spracúvate osobné údaje a došlo k ich úniku, máte povinnosť to nahlásiť Úradu na ochranu osobných údajov SR do 72 hodín. Firmy zahrnuté pod smernicu NIS2 majú rozšírené povinnosti hlásenia bezpečnostných incidentov. Ak si nie ste istí, do ktorej kategórie patríte, odporúčame overiť si to skôr, ako nastane problém.