Hakeri tvrde da imaju 105.000 zapisa hrvaqtskih građana

Hrvatski zavod za mirovinsko osiguranje 19. kolovoza našao se u središtu nove priče o mogućem velikom kibernetičkom incidentu nakon što je skupina koja se predstavlja kao INF Grupa objavila da raspolaže bazom sa 105.000 zapisa hrvatskih građana. Prema njihovim navodima, podaci potječu iz sustava HZMO-a, a obuhvaćaju imena i prezimena, telefonske brojeve, OIB-e i adrese elektroničke pošte. Napadači tvrde i da su bazu učinili dostupnom bez traženja otkupnine. HZMO je nakon prvih medijskih upita naveo da u tom trenutku nema informacija o sigurnosnom upadu, dok na njegovim službenim stranicama do trenutka naše provjere nije bilo objavljeno priopćenje o incidentu.

Objava baze na hakerskom forumu, čak i ako sadrži stvarne osobne podatke, sama po sebi još ne dokazuje da su ti podaci izravno i sada preuzeti iz informacijskog sustava HZMO-a. Forenzička analiza trebala bi utvrditi izvor zapisa, vrijeme njihova nastanka i eventualnog preuzimanja, stupanj preklapanja sa starijim bazama te postoji li tehnički dokaz neovlaštenog pristupa konkretnom sustavu.

Takav oprez nije samo formalnost. INF Grupa je prije nešto više od tjedan dana tvrdila da je iz hrvatskog pravosudnog sustava pribavila podatke 86.000 osoba, uključujući OIB-e, datume rođenja i JMBG-ove. Ministarstvo pravosuđa, uprave i digitalne transformacije tada nije potvrdilo napad, nego je objavilo da provjerava integritet sustava i uspoređuje objavljene zapise kako bi utvrdilo radi li se o stvarnom incidentu, ponovnom objavljivanju ranije dostupnih podataka ili drugačije sastavljenoj bazi.

Ista se skupina tijekom svibnja povezivala s napadom na mrežne stranice Ministarstva rada, mirovinskoga sustava, obitelji i socijalne politike. Tada je na stranici bila postavljena politički i nacionalistički intonirana poruka, ali Ministarstvo je nakon sanacije incidenta priopćilo da je napad bio ograničen na mrežnu stranicu te da baze podataka nisu bile ugrožene. Razlika između rušenja ili izmjene web-stranice i stvarne eksfiltracije stotina tisuća osobnih zapisa pritom je golema.

Dodatnu težinu sadašnjoj situaciji daje zaseban slučaj koji hrvatska policija već istražuje. Ravnateljstvo policije 30. srpnja službeno je objavilo da je dovršilo kriminalističko istraživanje nad punoljetnim državljaninom Srbije zbog sumnje u teška kaznena djela protiv računalnih sustava, programa i podataka te nedozvoljenu uporabu osobnih podataka. Policija je potvrdila da se sumnja kako je neovlašteno pristupao sustavima više pravnih osoba i tijela javne vlasti, ali u službenom priopćenju nije navela o kojim je institucijama riječ. Zato taj slučaj u ovom trenutku nije moguće službeno povezati s INF Grupom ili novom objavom podataka koja se pripisuje HZMO-u.

Za razliku od klasičnog ransomwarea, kod kojeg napadači pokušavaju iznuditi novac zaključavanjem sustava ili prijetnjom objavljivanja podataka, INF Grupa u posljednjim objavama tvrdi da podatke stavlja u javnost bez otkupnine. Poruke skupine imaju izraženu političku i nacionalističku komponentu, što može upućivati na drugačiji motiv od izravne financijske koristi. Međutim, atribucija kibernetičkog napada daleko je složenija od utvrđivanja tko je preuzeo odgovornost na forumu ili Telegram kanalu. Bez digitalnih tragova iz kompromitiranih sustava nije moguće pouzdano zaključiti tko je izveo napad niti jesu li različiti incidenti međusobno povezani.

Ako se potvrdi da su iz HZMO-a neovlašteno preuzeti OIB-i, telefonski brojevi i e-mail adrese, problem za građane ne završava objavom baze. OIB nije lozinka niti sam po sebi omogućuje pristup računu ili državnom sustavu, ali kombinacija identifikacijskih i kontaktnih podataka znatno povećava mogućnost uvjerljivih phishing i vishing prijevara. AZOP upravo za slučajeve u kojima ime, prezime, telefon, e-mail i OIB završe kod zlonamjernika upozorava građane na povećan oprez prema porukama i pozivima kojima se pokušavaju iznuditi dodatni podaci, uključujući podatke o bankovnim karticama.

Pitanje je potom i što je HZMO, ako se incident potvrdi, dužan učiniti prema propisima o zaštiti osobnih podataka. GDPR propisuje da voditelj obrade mora nadzorno tijelo obavijestiti o povredi osobnih podataka bez nepotrebnog odgađanja i, gdje je izvedivo, najkasnije 72 sata nakon što je za povredu saznao, ako postoji rizik za prava i slobode građana. Ako je vjerojatno da će povreda uzrokovati visok rizik, građane čiji su podaci pogođeni treba obavijestiti bez nepotrebnog odgađanja.

Postoji i zaseban režim prijavljivanja kibernetičkih incidenata. Prema hrvatskom Zakonu o kibernetičkoj sigurnosti, kategorizirani ključni i važni subjekti za incidente koji uzrokuju ili mogu uzrokovati ozbiljan poremećaj usluge imaju obvezu ranog upozorenja u roku od 24 sata te početne obavijesti u roku od 72 sata. Primjenjuje li se ta konkretna obveza na HZMO u ovom slučaju ovisi o njegovu statusu prema sustavu kategorizacije i karakteristikama samog incidenta.

Upravo zato središnje pitanje više nije samo je li na nekom forumu osvanula baza od 105.000 redaka. Treba utvrditi jesu li zapisi autentični, koliko su stari, odakle su došli, postoji li još uvijek neovlašten pristup sustavu i jesu li kompromitirani i podaci koji nisu javno objavljeni. Nakon više incidenata i tvrdnji o napadima na hrvatske državne institucije tijekom samo nekoliko mjeseci, jednako je važno odgovoriti koliko su brzo napadi otkriveni, jesu li napadači mogli neometano ostati u sustavima te razmjenjuju li institucije dovoljno brzo podatke o kompromitaciji. Tek odgovori na ta pitanja pokazat će je li riječ o još jednoj hakerskoj objavi čiji se značaj pokušava povećati propagandom ili o ozbiljnom sigurnosnom incidentu koji je izložio podatke desetaka tisuća hrvatskih građana.