Moguća objava osobnih podataka desetaka tisuća hrvatskih građana ne predstavlja sigurnosni rizik samo u trenutku kada podaci dospiju na internet. Njihova stvarna vrijednost za napadače može se pokazati tek kasnije, kada ih počnu koristiti za ciljane prijevare, lažno predstavljanje i pokušaje krađe dodatnih podataka. To je jedna od najvažnijih poruka Nacionalnog CERT-a nakon upita ICTbusiness Media – ICTbusiness.info povezanog s kibernetičkim napadom na aplikaciju HZMO Live i tvrdnjama INF Grupe o objavi podataka približno 105.000 građana. Naravno poslali smo upit i u
Nacionalni CERT pritom jasno naglašava da nije tijelo nadležno za obradu konkretnog incidenta u sustavu Hrvatskog zavoda za mirovinsko osiguranje. Za postupanje u slučaju kibernetičkih incidenata u informacijskim sustavima tijela državne uprave nadležan je Nacionalni centar za kibernetičku sigurnost, NCSC, dok su za eventualnu kaznenu istragu odgovorna tijela kaznenog progona. Naravno poslali smo upit i u Nacionalni centar za kibernetičku sigurnost, NCSC odnosno SOA-u pa kad stignu i ako stignu ti odgovori objavit ćemo ih.
To znači da Nacionalni CERT ne može potvrditi je li zaprimio tehničke pokazatelje povezane s napadom, koji su indikatori kompromitacije utvrđeni, kojom je infrastrukturom napad izveden niti može procjenjivati jesu li tvrdnje INF Grupe povezane s novim prodorom ili eventualnom objavom starijih podataka. Takve informacije, prema važećem sustavu nadležnosti, treba tražiti od NCSC-a i Ministarstva unutarnjih poslova.
Isto vrijedi i za pitanje postoji li između više napada i objava koji se posljednjih mjeseci povezuju s INF Grupom zajednički tehnički obrazac. Nacionalni CERT zbog svoje nadležnosti ne može ocjenjivati jesu li u različitim slučajevima korištene iste ranjivosti, metode početnog pristupa, alati ili infrastruktura za upravljanje napadom, kao ni može li se govoriti o jedinstvenoj ili koordiniranoj kampanji protiv hrvatskih institucija.
U odgovoru ICTbusiness Media – ICTbusiness.info Nacionalni CERT zato upućuje na NCSC i MUP kao institucije koje bi trebale raspolagati informacijama potrebnima za takvu procjenu. Upravo tehnička analiza više incidenata mogla bi pokazati postoje li zajednički digitalni tragovi, koristi li se ista napadačka infrastruktura i radi li se o povezanim operacijama ili o incidentima koji se samo javno pripisuju istoj skupini.
Iako Nacionalni CERT nije nadležan za samu istragu incidenta, njegov odgovor postaje posebno važan kada se pitanje prebaci s počinitelja na građane čiji su podaci možda kompromitirani. Ako se potvrdi da su javno dostupni OIB-i, telefonski brojevi, adrese elektroničke pošte i druga identifikacijska obilježja, posljedice za pogođene osobe ne prestaju uklanjanjem sigurnosnog propusta iz sustava.
Neovlašteno objavljeni osobni podaci mogu se naknadno koristiti za ciljane napade. Problem je u tome što poruka koja sadrži stvarno ime, prezime, OIB, telefonski broj ili neki drugi podatak o primatelju djeluje uvjerljivije od generičke phishing poruke poslane tisućama slučajnih korisnika. Napadač više ne mora nagađati identitet osobe nego može izgraditi komunikaciju koja ostavlja dojam da dolazi od banke, državne institucije, telekom operatora, dostavne službe ili nekog drugog vjerodostojnog izvora.
Upravo privid legitimnosti povećava vjerojatnost da građanin napad neće prepoznati na vrijeme. Ako poruka sadrži informacije koje bi, prema očekivanju primatelja, trebala znati samo službena institucija, korisnik može lakše povjerovati da razgovara s pravim pošiljateljem. Sljedeći korak napadača tada može biti zahtjev za unosom lozinke, podataka s kartice, autorizacijskog koda, preslike dokumenta ili nekog drugog podatka koji omogućuje ozbiljniju zlouporabu.
Nacionalni CERT zato građanima i organizacijama preporučuje povećan oprez pri zaprimaju poruka, telefonskih poziva i drugih oblika komunikacije kojima se traže osobni, financijski ili pristupni podaci. Posebno bi trebalo biti oprezan kada pošiljatelj inzistira na hitnom postupanju, pokušava stvoriti osjećaj straha ili vremenskog pritiska, odnosno kada poruka sadrži poveznice ili privitke nepoznatog podrijetla.
Važna je i preporuka da se informacije iz takvih poruka ne provjeravaju putem istog komunikacijskog kanala. Ako netko telefonom tvrdi da zove iz banke, institucije ili druge organizacije, sigurnije je prekinuti poziv i samostalno kontaktirati tu instituciju putem službeno objavljenog broja. Isto vrijedi za elektroničku poštu i SMS poruke: umjesto otvaranja ponuđene poveznice, korisnik bi trebao sam otvoriti službenu internetsku stranicu ili aplikaciju.
Građanima se također preporučuje da ne otvaraju sumnjive poveznice i privitke, provjere vjerodostojnost pošiljatelja te koriste snažne i jedinstvene lozinke. Posebno je važno izbjegavati korištenje iste lozinke na više servisa jer kompromitacija jednog korisničkog računa tada može otvoriti pristup i drugim uslugama.
Dodatni sloj zaštite daje višefaktorska autentifikacija. Čak i ako napadač nekim putem dođe do lozinke, dodatna potvrda identiteta može spriječiti pristup računu. Nacionalni CERT upozorava i da lozinke ne bi trebale sadržavati osobne podatke jer informacije poput imena, datuma rođenja ili drugih identifikacijskih elemenata nakon curenja podataka mogu postati dostupne napadačima.
Slučaj HZMO-a tako pokazuje da se posljedice kibernetičkog incidenta ne mogu procjenjivati samo prema tome radi li napadnuta aplikacija ponovno i jesu li osnovni poslovni procesi institucije nastavljeni. Ako je došlo do iznošenja podataka, sigurnosni problem prelazi iz informacijskog sustava u svakodnevni život građana. Jednom objavljeni podaci mogu se kopirati, spajati s drugim bazama i ponovno koristiti dugo nakon završetka izvornog incidenta.
Upravo zato je u sljedećoj fazi ključno utvrditi što je stvarno kompromitirano u napadu na HZMO Live i postoji li veza između tog incidenta i podataka koje je objavila INF Grupa. Nacionalni CERT neće voditi tu istragu, ali njegova poruka građanima ostaje jasna: objavljeni osobni podaci mogu poslužiti kao početna točka za nove napade, zbog čega će povećan oprez biti potreban i nakon što neposredni kibernetički incident bude tehnički saniran.
