Uhićena trojica članova hakerske INF Grupe

Srbijanska policija identificirala je i uhitila trojicu osumnjičenih pripadnika INF Grupe, hakerske skupine koja se posljednjih mjeseci povezivala s nizom kibernetičkih napada u Srbiji, Hrvatskoj i drugim državama regije. Akciju su 27. kolovoza proveli pripadnici Službe za borbu protiv visokotehnološkog kriminala srbijanskog MUP-a u suradnji s Bezbednosno-informativnom agencijom, uz sudjelovanje specijaliziranih policijskih jedinica te policijskih uprava Beograd i Zaječar. Posebno je značajno što srbijanski MUP među metama skupine sada službeno navodi i dvije hrvatske državne cjeline – Ministarstvo rada Republike Hrvatske i hrvatski pravosudni sustav.

Uhićeni su N. M. S., rođen 2004. godine iz Beograda, L. D., rođen 2003. godine iz Zaječara, te sedamnaestogodišnjak iz Beograda. Sva trojica sumnjiče se za neovlašteni pristup zaštićenim računalima, računalnim mrežama i elektroničkoj obradi podataka. L. D. dodatno se tereti za računalnu sabotažu, dok policija sedamnaestogodišnjaka sumnjiči i za iznudu.

Prema informacijama MUP-a Srbije, INF Grupa povezuje se s velikim brojem ransomware i drugih kibernetičkih napada te kompromitacijom informacijskih sustava državnih institucija, velikih kompanija i drugih organizacija. Napadači su, kako se sumnja, provaljivali u sustave, šifrirali podatke ili iz njih preuzimali velike količine informacija, uključujući osobne i druge osjetljive podatke građana.

Policija sumnja i da nije izostao financijski motiv. Od dijela žrtava navodno je zahtijevana isplata otkupnine u kriptovalutama kako ukradeni podaci ne bi bili objavljeni. Takav model odgovara takozvanoj dvostrukoj iznudi, kod koje napadači više ne prijete samo zaključavanjem sustava nego i objavljivanjem prethodno iznesenih podataka.

Popis meta koji je sada objavio srbijanski MUP pokazuje širinu djelovanja skupine. Uz hrvatsko Ministarstvo rada i hrvatski pravosudni sustav, među najznačajnijim metama navode se Republički fond za zdravstveno osiguranje Srbije, baza javnih ovršitelja, evidencije Uprave za strance MUP-a Srbije, Nogometni savez Srbije te sustavi javnog prijevoza u Beogradu. Policija navodi i informacijske sustave i baze više velikih kompanija i organizacija u regiji.

Tijekom akcije spriječena je i prodaja kompromitiranih podataka jedne državne institucije na darknetu, a policija tvrdi da su zaustavljeni i već pripremljeni napadi na još nekoliko državnih i privatnih subjekata u Srbiji. Pretresom stanova i drugih prostorija kojima su se osumnjičeni koristili pronađeni su predmeti za koje istražitelji sumnjaju da su služili pri počinjenju kaznenih djela. Istraga se nastavlja kako bi se identificirale druge povezane osobe i osigurali digitalni dokazi.

Srbijanski MUP INF Grupu, prema dosad utvrđenom broju napada i kompromitiranih sustava, opisuje kao najaktivniju identificiranu hakersku skupinu koja je djelovala na području regije. Operaciju pritom označava kao jednu od značajnijih istraga protiv ransomware kriminala provedenih u Europi posljednjih godina. Takve ocjene zasad dolaze od samih istražnih tijela, a stvarni opseg djelovanja skupine trebao bi biti jasniji nakon završetka digitalne forenzike i daljnjeg kaznenog postupka.

Za Hrvatsku su uhićenja posebno važna zbog serije incidenata i objava koji su se posljednjih mjeseci povezivali s INF Grupom. Skupina se tijekom svibnja povezivala s napadom na mrežne stranice Ministarstva rada, mirovinskoga sustava, obitelji i socijalne politike. Ministarstvo je nakon sanacije tada navelo da je incident bio ograničen na mrežnu stranicu te da baze podataka nisu bile ugrožene.

INF Grupa poslije je tvrdila i da raspolaže podacima približno 86.000 osoba iz hrvatskog pravosudnog sustava. Hrvatsko Ministarstvo pravosuđa, uprave i digitalne transformacije tada nije potvrdilo kompromitaciju u opsegu koji su navodili napadači, nego je pokrenuta provjera sustava i objavljenih zapisa. Priopćenje srbijanskog MUP-a predstavlja važan pomak jer hrvatski pravosudni sustav sada izrijekom navodi kao jednu od meta skupine.

Najviše pozornosti posljednjih dana ipak je privukao slučaj Hrvatskog zavoda za mirovinsko osiguranje. INF Grupa objavila je da raspolaže s približno 105.000 zapisa hrvatskih građana koji navodno potječu iz HZMO-a, uključujući imena i prezimena, OIB-e, telefonske brojeve i adrese elektroničke pošte. HZMO je potom potvrdio da je 19. kolovoza zabilježen kibernetički napad na aplikaciju HZMO Live – Kontakt centar.

Nacionalni centar za kibernetičku sigurnost, NCSC-HR, potvrdio je za ICTbusiness Media – ICTbusiness.info da je HZMO incident prijavio kao značajan i u zakonskom roku putem platforme PiXi te da je pokrenuta opsežna analiza. HZMO je dan poslije objavio da je incident saniran i da temeljni informacijski sustav, isplata mirovina i ostvarivanje prava nisu bili ugroženi. AZOP je paralelno pokrenuo nadzor zbog moguće povrede osobnih podataka.

Uhićenja, međutim, još ne rješavaju ključno pitanje tog slučaja. MUP Srbije u službenom popisu najznačajnijih meta INF Grupe ne navodi HZMO niti incident na aplikaciji HZMO Live. Zbog toga se na temelju objavljenog priopćenja ne može zaključiti da je srbijanska policija već forenzički povezala uhićene osobe s napadom na HZMO ili s bazom od približno 105.000 zapisa koju je skupina pripisala Zavodu.

Važan je i zaseban slučaj iz Hrvatske. Hrvatska policija objavila je 30. srpnja da je dovršila kriminalističko istraživanje nad punoljetnim državljaninom Srbije zbog sumnje u teška kaznena djela protiv računalnih sustava i nedozvoljenu uporabu osobnih podataka. Policija je tada navela da je osumnjičeni neovlašteno pristupao sustavima više pravnih osoba i tijela javne vlasti, ali nije otkrila njihov identitet niti službeno povezala taj slučaj s INF Grupom. Zbog toga zasad nije poznato postoji li veza između tog postupka i operacije provedene u Srbiji.

Uhićenje trojice osumnjičenih zato predstavlja važnu novu fazu istrage regionalne hakerske skupine, ali ne i završetak slučaja. Srbijanska policija sada prvi put vrlo konkretno povezuje INF Grupu s napadima na niz institucija, uključujući hrvatsko Ministarstvo rada i pravosudni sustav, dok se istraga širi na druge povezane osobe. Za hrvatski dio slučaja ključno ostaje pitanje mogu li se digitalni dokazi zaplijenjeni u Srbiji povezati i s drugim incidentima koji su posljednjih mjeseci pripisivani istoj skupini, uključujući napad na HZMO Live i moguće iznošenje osobnih podataka hrvatskih građana.