Zsarolóvírus bénította meg a román földhivatal rendszerét
A támadás július 14-én érte a román Országos Kataszteri és Ingatlan-nyilvántartási Ügynökséget, az ANCPI-t. Elérhetetlenné vált az országos e-Terra kataszteri és földhivatali rendszer, leálltak az intézmény elektronikus levelezési szolgáltatásai, valamint több olyan belső alkalmazás, amelyet a hivatal munkatársai, közjegyzők, ügyvédek és földmérők használnak. Az ANCPI először súlyos technikai problémaként beszélt a leállásról, később azonban megerősítette, hogy kibertámadás történt.
A ByteToBreach álnevet használó támadó egy hackerfórumon azt állította, hogy hozzájutott román állampolgárok adataihoz, belső adatbázisokhoz, alkalmazotti belépési információkhoz és az ANCPI egyes rendszereinek forráskódjához. Állítása szerint lemásolta a hivatal GitLab-szervereit, köztük az e-Terra és a RENNS alkalmazások fejlesztési anyagait is, majd zsarolóprogramot telepített a szerverekre. Ezeknek az állításoknak egy részét a hatóságok egyelőre nem erősítették meg.
Nem tudtak lakásokat eladni vagy jelzálogot bejegyezni
Mivel a román földhivatali rendszer teljesen digitalizált, az e-Terra kiesése azonnal megakasztotta az ingatlanügyleteket. A közjegyzők nem tudtak hivatalos tulajdoni lapot lekérni, adásvételi szerződést hitelesíteni, új tulajdonjogot vagy jelzáloghitelt bejegyezni. A már beadott kérelmek feldolgozása szintén leállt.
Egy román közjegyző úgy foglalta össze a helyzetet, hogy a támadás óta sem tulajdoni lapot kiadni, sem lakáseladást hitelesíteni, sem jelzálogot bejegyezni nem tudott. A probléma tehát nem csupán egy átmenetileg elérhetetlen weboldalt jelentett, hanem országos szinten akadályozta a lakásvásárlásokat, a banki hitelügyleteket és más ingatlanjogi eljárásokat.
Különösen rosszkor történt a támadás, mert Romániában sok vásárló még a lakásokra vonatkozó kedvezményes, 9 százalékos áfakulcs kifutása előtt szeretett volna szerződést kötni. A leállás miatt olyan törvényjavaslat is született, amely meghosszabbítaná a határidőt azok számára, akik önhibájukon kívül nem tudták időben lezárni az ügyletet.
A támadó a teljes adatbázis törlésével dicsekedett
A támadó először pénzt próbált kicsikarni az intézménytől. Miután a zsarolási kísérlet nem járt sikerrel, állítólag törölte azokat az adatokat, amelyekhez hozzáfért, köztük belső dokumentumokat, alkalmazotti azonosítókat és földhivatali adatokat. Azt is állította, hogy a biztonsági másolatokat megpróbálta megsemmisíteni, hogy megakadályozza a rendszer helyreállítását.
Az ANCPI ugyanakkor vitatja, hogy Románia teljes ingatlan-nyilvántartása végleg elveszett volna. A hivatal közlése szerint a tulajdonosi viszonyokat, térképeket, telekhatárokat és jelzálogjogokat tartalmazó központi jogi és műszaki adatbázisok nem sérültek helyreállíthatatlanul. A román kiberbiztonsági hatóság vizsgálata sem talált egyelőre bizonyítékot arra, hogy a teljes tulajdoni nyilvántartást vagy nagy tömegű személyes adatot ellopták volna. Korlátozott mennyiségű információ, például belépési adatok és forráskódok azonban kikerülhettek.
A jelenleg elérhető információk alapján tehát elképzelhető, hogy a támadó az éles, működésben lévő adatbázisokat és szervereket törölte vagy titkosította, de az ország ingatlantulajdonosi adatai nem semmisültek meg végleg. A támadó állításai, a kiberbiztonsági cégek beszámolói és a hivatalos román közlések között továbbra is vannak ellentmondások.
A több helyen tárolt biztonsági másolat menthette meg a helyzetet
Az ANCPI közölte, hogy a támadás idején több, egymástól elkülönített helyszínen rendelkezett biztonsági mentésekkel. A hivatal szerint éppen ez a többszörös védelem teszi lehetővé, hogy a nyilvántartásokat visszaállítsák, még akkor is, ha az éles rendszerek egy része megsemmisült vagy használhatatlanná vált.
A hatóság nem egyszerűen visszakapcsolja a régi szervereket, hanem lényegében újraépíti a teljes hálózatot. Az alkalmazásokat a román kormányzati felhőbe költöztetik, majd szakemberek ellenőrzik az adatok sértetlenségét, kijavítják a biztonsági réseket, és csak ezután állítják helyre fokozatosan a szolgáltatásokat. A cél az, hogy a támadó által esetleg hátrahagyott hozzáférések vagy kártékony programok ne kerülhessenek vissza az új rendszerbe.
Ez magyarázza, miért tarthat sokáig a helyreállítás akkor is, ha az adatokról létezik mentés. Egy fertőzött hálózatnál nem elegendő egyszerűen visszamásolni az állományokat: minden szervert, felhasználói fiókot, alkalmazást és kapcsolódó eszközt át kell vizsgálni, a kiszivárgott jelszavakat pedig le kell cserélni.
A támadás állítólag nem is volt különösebben bonyolult
Dan Cîmpean, a román Nemzeti Kiberbiztonsági Igazgatóság vezetője szerint a támadás pénzügyi célú volt, és technikailag nem számított különösen összetettnek. A behatoló korábban kiszivárgott belépési adatokat, valamint olyan ismert szoftveres sérülékenységeket használhatott ki, amelyek javítására a hatóság már korábban figyelmeztette az érintett szervezeteket.
A Cybernews szerint az ANCPI az elmúlt húsz évben körülbelül 135 millió eurót fordított digitalizációra, ennek azonban mindössze körülbelül 0,2 százalékát, 305 ezer eurót költött kiberbiztonságra. A román kiberbiztonsági vezetők és kormányzati szereplők ezért azt mondták, a támadás kockázatát alaposabb megelőzéssel, rendszeres frissítésekkel és erősebb belső védelemmel jelentősen csökkenteni lehetett volna.
és
Fotó: illusztráció, Unsplash
