HZMO sanirao incident, istraga oko mogućeg curenja podataka traje

Hrvatski zavod za mirovinsko osiguranje objavio je da je nakon provedene digitalne forenzike i analize otklonio kibernetički sigurnosni incident na aplikaciji HZMO Live – Kontakt centar te ponovno uspostavio sigurnu i nesmetanu komunikaciju s korisnicima. Time je završen neposredni tehnički dio incidenta koji je službeno potvrđen 20. kolovoza, no niz važnih pitanja i dalje ostaje otvoren. Najvažnije među njima odnosi se na moguće kompromitiranje osobnih podataka korisnika i na povezanost incidenta s bazom od približno 105.000 zapisa za koju skupina koja se predstavlja kao INF Grupa tvrdi da potječe iz HZMO-a. Zavod u najnovijoj objavi ne potvrđuje da su ti podaci ukradeni, ali prvi put izrijekom navodi da će korisnici čiji su osobni podaci potencijalno ugroženi biti obaviješteni elektroničkom poštom nakon završetka svih postupaka i utvrđivanja okolnosti incidenta.

HZMO istodobno ponavlja da kibernetički incident nije zahvatio njegov temeljni informacijski sustav. Poslovni procesi, prema navodima Zavoda, odvijaju se nesmetano, a isplata mirovina i ostvarivanje prava iz mirovinskog osiguranja nisu bili dovedeni u pitanje. To je važna razlika jer je napad, prema dosad objavljenim službenim informacijama, bio ograničen na HZMO Live – aplikaciju Kontakt centra koja se koristi za zaprimanje i odgovaranje na upite korisnika. Tehnička sanacija te aplikacije, međutim, sama po sebi ne daje odgovor na pitanje je li prije otkrivanja i zatvaranja incidenta netko neovlašteno pristupio podacima, iznio ih iz sustava ili ih kasnije objavio.

Upravo je zato nova formulacija HZMO-a važnija od same informacije da aplikacija ponovno radi. Zavod navodi da su u postupanje i daljnje aktivnosti uključeni nadležni nacionalni subjekti za kibernetičku sigurnost i zaštitu osobnih podataka, a korisnicima preporučuje povećan oprez pri telefonskim pozivima, porukama i elektroničkoj pošti, osobito kada se od njih traži dostava osobnih podataka, otvaranje poveznica ili privitaka, potvrđivanje podataka ili druge neuobičajene radnje. Građanima se posebno savjetuje da ne vjeruju porukama koje izgledaju kao da ih šalje HZMO ako se u njima traže osobni, financijski ili sigurnosni podaci.

Pozadina slučaja počela se rasplitati 19. kolovoza, kada je u javnost dospjela tvrdnja skupine INF Grupa da raspolaže bazom sa 105.000 zapisa hrvatskih građana navodno povezanih s HZMO-om. Prema tvrdnjama napadača, među podacima se nalaze imena i prezimena, OIB-i, telefonski brojevi i adrese elektroničke pošte. Sama objava takve tvrdnje, kao ni objava uzorka ili baze na kanalima kojima se koriste kibernetičke skupine, nije dokaz da podaci doista potječu iz sustava HZMO-a. Za takvu potvrdu potrebna je tehnička i forenzička analiza koja mora povezati konkretne zapise, vrijeme njihova nastanka i eventualnog preuzimanja s kompromitiranim sustavom i tragovima napada.

HZMO je potom 20. kolovoza službeno potvrdio da je dan ranije zabilježen kibernetički napad na aplikaciju HZMO Live. Zavod je tada priopćio da su odmah nakon uočavanja aktivnosti tipičnih za kibernetički napad aktivirane sigurnosne i forenzičke procedure te da je pokrenuta detaljna analiza. Već tada je naglašeno da temeljni informacijski sustav nije zahvaćen. Današnja objava potvrđuje da je aplikacija nakon provedene forenzike ponovno puštena u siguran rad, ali ne zatvara pitanje mogućeg curenja podataka niti potvrđuje ili opovrgava autentičnost baze koju je INF Grupa pripisala HZMO-u.

Da se slučaj obrađuje kao ozbiljan kibernetički incident potvrdio je jučer za ICTbusiness Media – ICTbusiness.info i Nacionalni centar za kibernetičku sigurnost, NCSC-HR. Centar je naveo da je HZMO obveznik Zakona o kibernetičkoj sigurnosti te da je incident prijavio kao značajan, u zakonski predviđenom roku, putem platforme PiXi. Nakon prijave, prema NCSC-HR-u, uspostavljena je bliska suradnja nadležnih tijela i HZMO-a te je pokrenuta opsežna analiza. NCSC-HR zbog istrage nije objavio tehničke detalje napada niti je potvrdio njegovu eventualnu povezanost s drugim kibernetičkim incidentima.

Ta potvrda bitna je iz dva razloga. Prvo, pokazuje da se ne radi samo o internoj tehničkoj poteškoći HZMO-a, nego o događaju koji je u nacionalnom sustavu kibernetičke sigurnosti formalno klasificiran i prijavljen kao značajan incident. Drugo, NCSC-HR nije potvrdio tko je izveo napad. Nije potvrđeno ni da je INF Grupa tehnički povezana s prodorom u HZMO Live. Atribucija kibernetičkog napada zahtijeva analizu infrastrukture, indikatora kompromitacije, načina početnog pristupa, korištenih alata, vremenskih tragova i drugih tehničkih podataka. Zbog toga tvrdnje napadača i činjenicu da je HZMO stvarno imao incident zasad treba promatrati kao dvije informacije između kojih službena forenzička veza još nije objavljena.

Paralelno s kibernetičkom istragom otvorena je i regulatorna dimenzija slučaja. Agencija za zaštitu osobnih podataka, AZOP, jučer je za ICTbusiness Media – ICTbusiness.info potvrdila da je po službenoj dužnosti pokrenula nadzorno postupanje nad HZMO-om kako bi utvrdila sve relevantne činjenice o navodnom napadu i mogućoj javnoj objavi osobnih podataka građana. U trenutku kada je AZOP odgovorio na naš upit Agencija još nije bila zaprimila izvješće o predmetnoj povredi od HZMO-a ili drugog tijela. To samo po sebi nije značilo da je prekršen GDPR jer rok za prijavu povrede počinje teći od trenutka kada voditelj obrade sazna da je do povrede osobnih podataka doista došlo, a ne od trenutka kada se tvrdnja o mogućem incidentu pojavi u javnosti.

Ako forenzička analiza potvrdi povredu osobnih podataka, tada se otvara obveza procjene rizika za osobe na koje se podaci odnose. GDPR propisuje da voditelj obrade u pravilu mora obavijestiti nadzorno tijelo bez nepotrebnog odgađanja, a najkasnije 72 sata nakon saznanja za povredu, osim ako nije vjerojatno da će ona predstavljati rizik za prava i slobode pojedinaca. Kada je vjerojatan visok rizik, postoji i obveza izravnog obavještavanja pogođenih osoba. Najnovija najava HZMO-a da će potencijalno ugrožene korisnike obavijestiti elektroničkom poštom nakon utvrđivanja svih okolnosti pokazuje da se upravo taj dio procjene sada provodi.

Nacionalni CERT, koji nije nadležan za obradu incidenta u informacijskim sustavima tijela javne vlasti, jučer je za ICTbusiness Media – ICTbusiness.info upozorio na praktične posljedice mogućeg curenja podataka. Za konkretni incident nadležan je NCSC-HR, dok Nacionalni CERT upozorava da kombinacija OIB-a, telefonskog broja, adrese elektroničke pošte i drugih identifikacijskih podataka može napadačima omogućiti znatno uvjerljivije phishing, smishing i druge oblike socijalnog inženjeringa. Vrijednost takvih podataka za kriminalce često se ne iscrpljuje u trenutku njihova curenja. Oni se mogu mjesecima ili godinama poslije kombinirati s drugim javno dostupnim ili ranije kompromitiranim bazama i koristiti za ciljano lažno predstavljanje.

Upravo se zato građanima preporučuje dodatna provjera svake poruke ili poziva u kojem se pošiljatelj predstavlja kao HZMO, banka, telekom operator ili druga institucija i traži hitnu reakciju. Posebno su sumnjivi zahtjevi za unos lozinki, brojeva kartica, autorizacijskih kodova, preslika dokumenata ili drugih podataka koji nisu potrebni za uobičajenu komunikaciju. CERT savjetuje da korisnik ne provjerava autentičnost poruke preko poveznice ili kontakta koji je dobio u istoj poruci, nego da samostalno otvori službenu internetsku stranicu ili nazove službeno objavljeni broj institucije. Preporučuju se i jedinstvene lozinke za različite servise te višefaktorska autentifikacija gdje god je dostupna.

Današnje priopćenje HZMO-a zato zatvara samo jednu fazu slučaja. Aplikacija HZMO Live ponovno je u funkciji i Zavod tvrdi da temeljni informacijski sustav, isplata mirovina i ostvarivanje prava nisu bili ugroženi. No tehničko otklanjanje incidenta nije isto što i završetak istrage. Još nije službeno objavljeno kako je do napada došlo, koliko je dugo napadač eventualno imao pristup, koji su podaci bili dostupni, jesu li izneseni iz sustava ni može li se baza od oko 105.000 zapisa forenzički povezati s napadom.

Odgovori na ta pitanja odredit će i stvarnu težinu incidenta. Ako se pokaže da nije došlo do iznošenja osobnih podataka, slučaj će ostati ozbiljan primjer napada na aplikaciju javnog sektora koji je otkriven, prijavljen i saniran bez posljedica za temeljne procese. Ako se, međutim, potvrdi da su podaci korisnika kompromitirani, tehnički saniran incident prerast će u dugotrajniji problem zaštite osobnih podataka, mogućih prijevara i regulatornih obveza. HZMO je najavio da će pogođene korisnike, ako se utvrdi da su njihovi podaci potencijalno ugroženi, obavijestiti e-poštom i dostaviti im upute o mjerama zaštite. Do završetka forenzičkih i regulatornih postupaka zato ostaje najvažnije razdvojiti ono što je potvrđeno od onoga što tek treba dokazati: napad na HZMO Live i njegova sanacija jesu potvrđeni, dok opseg eventualnog curenja podataka i veza s tvrdnjama INF Grupe još nisu.