137 Lietuvos svetainių DDoS ataka: kai tikrasis taikinys buvo ne duomenys, o valstybės pasiekiamumas ir visuomenės pasitikėjimas

2022 m. birželį Lietuva patyrė vieną didžiausių koordinuotų DDoS kampanijų šalies istorijoje. Pagrindinis atakos taikinys buvo ne duomenys, o valstybės paslaugų prieinamumas ir visuomenės pasitikėjimas skaitmenine valstybe.

Oficialiai nustatyta, kad 2022 m. birželio 20–29 dienomis buvo trikdoma ne mažiau kaip 137 Lietuvos valstybės institucijų ir verslo interneto svetainių veikla. Devyniolika paveiktų svetainių administravo valstybės subjektai. Atsakomybę prisiėmė prorusiška grupuotė „Killnet“, kurią Lietuvos institucijos siejo su Rusijos žvalgyba.

Tai nebuvo klasikinis įsilaužimas, kurio metu pavagiami duomenys ar užšifruojami serveriai. Pagrindinis tikslas buvo prieinamumas — padaryti valstybės ir verslo paslaugas laikinai nepasiekiamas. Tačiau vertinti incidentą vien kaip kelių neveikusių svetainių problemą būtų klaida: sutrikdžius išoriškai paprastą svetainę galima paveikti klientų aptarnavimą, dokumentų išdavimą, mokesčių administravimą ir pasitikėjimą valstybe krizės metu.

Incidento santrauka

• Atakos tipas: paskirstyta paslaugų trikdymo ataka (DDoS).
• Pagrindiniai sektoriai: valstybės valdymas, mokesčiai, transportas, energetika, finansai, telekomunikacijos, žiniasklaida, savivalda, teismai.
• Atsakomybę prisiėmė: prorusiška grupuotė „Killnet“.
• Deklaruotas motyvas: kerštas už sankcionuotų prekių tranzito į Kaliningrado sritį ribojimą.
• Teisinis vertinimas: pradėtas ikiteisminis tyrimas dėl neteisėto poveikio informacinėms sistemoms (BK 197 str.).

Geopolitinis kontekstas: sankcijos, Kaliningradas ir hibridinis spaudimas

2022 m. birželio 18 d. Lietuva pradėjo taikyti ES sankcijas daliai per Lietuvos teritoriją į Kaliningrado sritį gabenamų prekių. Tai nebuvo savarankiška Lietuvos „blokada“ — Lietuva taikė visoms ES valstybėms privalomas sankcijas, o keleivių ir nesankcionuotų prekių tranzitas nenutrūko.

Rusijos informacinėje erdvėje sprendimas buvo pristatytas kaip Kaliningrado „blokada“. „Killnet“ viešai pareiškė, kad DDoS atakos tęsis tol, kol Lietuva panaikins tranzito ribojimus.

Visa incidento eiga

1 etapas. Birželio 20–23 d.: pirmieji sutrikimai ir taikinių žvalgyba

Pirmosiomis dienomis atakos buvo mažesnės, nukreiptos į atskirus valstybės, transporto, energetikos ir finansų sektoriaus išteklius. Birželio 23 d. NKSC viešai įspėjo apie išaugusį DDoS atakų skaičių ir paragino ypatingos svarbos infrastruktūros valdytojus įjungti papildomas apsaugos priemones.

Apie patiriamas atakas pranešė „Lietuvos geležinkeliai“, tarp pirmųjų paveiktų buvo minima „Litgrid“ svetainė. Šį etapą galima vertinti kaip atakos pajėgumų tikrinimą — atakuotojai galėjo stebėti, kurios svetainės greitai tampa nepasiekiamos ir kokia yra paslaugų teikėjų reakcija.

2 etapas. Birželio 27 d.: pagrindinis atakos pikas

DDoS kampanija pasiekė didžiausią intensyvumą. NKSC paskelbė, kad intensyviai atakuojamas Saugusis valstybinis duomenų perdavimo tinklas, Lietuvos valdžios institucijos, valstybės valdomos įmonės ir privatūs verslo subjektai.

Labiausiai matomas poveikis buvo Valstybinei mokesčių inspekcijai. VMI, užfiksavusi neįprastai didelį prisijungimų srautą, saugumo sumetimais sustabdė dalies savo informacinių sistemų veikimą — laikinai neveikė VMI svetainė, „Mano VMI“ sistema ir klientų aptarnavimas telefonu. Klientų duomenys išliko saugūs.

Dėl bendresnių sistemų sutrikimų Migracijos departamente laikinai strigo pasų išdavimas. Laikinai buvo nepasiekiama ir Užsienio reikalų ministerijos svetainė. Iki popietės didžiausias atakas pavyko suvaldyti, visos Saugiojo tinklo paslaugos vėl buvo teikiamos.

3 etapas. Birželio 28 d.: atakos persikelia į privatų sektorių

Sustiprinus valstybės infrastruktūros apsaugą, didesnė atakų dalis buvo nukreipta į privatų sektorių. Tarp viešai minimų taikinių — Klaipėdos valstybinis jūrų uostas, Registrų centras, Vilniaus miesto savivaldybė, Lietuvos teismai, Šiaulių bankas, „Baltneta“, portalas „15min“, „Regitra“ ir „eTAKSI“.

Portalas „15min“ patvirtino, kad DDoS ataka sutrikdė jo pasiekiamumą, tačiau vartotojų duomenims poveikis nebuvo padarytas. Taikinių perkėlimas į privatų sektorių padėjo grupuotei palaikyti informacinį kampanijos tęstinumą — net apsaugojus valstybės sistemas, vis dar buvo galima skelbti apie naujus „nulaužtus“ Lietuvos objektus.

4 etapas. Birželio 29–30 d.: atakos suvaldymas ir ikiteisminis tyrimas

Birželio 30 d. Lietuvos kriminalinės policijos biuras pradėjo ikiteisminį tyrimą dėl neteisėto poveikio informacinėms sistemoms pagal BK 197 str. Už strateginę reikšmę turinčios informacinės sistemos darbo sutrikdymą tuomet buvo numatyta laisvės atėmimo iki šešerių metų bausmė.

Šių kibernetinių atakų politinė atribucija yra aiški, tačiau sieksime ir teisinio nusikalstamos veikos įvertinimo bei dalyvavusių nusikalstamoje veikoje asmenų patraukimo atsakomybėn.

— Margiris Abukevičius, tuometinis KAM viceministras

Viešuose šaltiniuose galutinis šio ikiteisminio tyrimo procesinis rezultatas ar konkrečių asmenų nuteisimas nebuvo paskelbtas.

5 etapas. Liepos pradžia: atakos nuslopo

Liepos 1 d. NKSC pranešė, kad atakų intensyvumas grįžo į lygį, buvusį iki kampanijos pradžios. Liepos 19 d. ES bendru pareiškimu pasmerkė prorusiškų grupuočių DDoS atakas prieš ES valstybes ir įvardijo jas kaip integralią Rusijos karo prieš Ukrainą dalį.

Kaip techniškai veikė ataka

DDoS — tai paskirstyta paslaugos trikdymo ataka, kurios metu iš daugybės skirtingų įrenginių vienu metu siunčiamas didelis kiekis užklausų į pasirinktą sistemą. Atakoms gali būti naudojami užkrėsti kompiuteriai, pažeisti serveriai, nesaugūs maršrutizatoriai, IoT įrenginių botnetai, nuomojama DDoS infrastruktūra ar savanorių valdomos atakos programos.

Didelis srautas gali išnaudoti:

• interneto ryšio kanalo pralaidumą
• ugniasienės arba maršrutizatoriaus pajėgumus
• prisijungimų lenteles
• žiniatinklio serverio resursus
• duomenų bazės jungtis
• aplikacijos skaičiavimo pajėgumus
• DNS infrastruktūrą

Ar buvo pavogti duomenys?

Viešai paskelbti duomenys nerodo, kad šios kampanijos metu būtų buvę pavogti Lietuvos institucijų ar verslo klientų duomenys. 2022 m. Nacionalinėje kibernetinio saugumo būklės ataskaitoje nurodyta, kad atakos nesukėlė valstybės ar tarnybos paslapčių pagrobimo padarinių. VMI ir „15min“ atskirai patvirtino, kad vartotojų duomenys nebuvo paveikti.

Tikroji žala: daugiau nei neveikianti svetainė

1. Tiesioginis paslaugų sutrikdymas

Kai neveikia institucijos svetainė ar elektroninė sistema, gyventojas gali negalėti pateikti deklaracijos, gauti pažymos, prisijungti prie savitarnos, užsisakyti dokumento ar laiku atlikti teisės aktuose numatytos pareigos. VMI ir Migracijos departamento atvejai parodė, kad interneto infrastruktūros sutrikimas gali paveikti ne tik viešą svetainę, bet ir realų aptarnavimo procesą.

2. Finansiniai nuostoliai

• incidento valdymo specialistų darbo sąnaudos
• išlaidos papildomai DDoS apsaugai
• infrastruktūros tiekėjų ir konsultantų išlaidos
• darbuotojų prastovos ir klientų aptarnavimo apkrova
• neįvykusių pardavimų ar sandorių nuostoliai
• sutartinių įsipareigojimų nevykdymo rizika

3. Reputacinė žala

Gyventojas paprastai nežino, kuo skiriasi neveikianti svetainė, pažeistas serveris, pavogti duomenys ar DDoS ataka. Jam matomas vienas rezultatas — „valstybės sistema neveikia“. Net trumpas paslaugos nepasiekiamumas gali sukelti įspūdį, kad organizacija nevaldo savo IT infrastruktūros arba kad galėjo būti pavogti duomenys.

4. Propagandinis poveikis

„Killnet“ atstovas atakos metu skelbė neva „sunaikinęs“ 1 652 interneto išteklius. Šis skaičius nebuvo nepriklausomai patvirtintas ir daugiau kaip dešimt kartų viršijo Lietuvos institucijų oficialiai nustatytą 137 svetainių skaičių. Tai būdingas informacinės operacijos modelis: nesėkmingos atakos nutylimos, sėkmingos pateikiamos kaip visiškas sunaikinimas, skelbiami išpūsti skaičiai.

5. Galimybė paslėpti kitą ataką

DDoS ataka gali būti naudojama kaip triukšmo uždanga. Kol IT specialistai bando atkurti paslaugas, užpuolikai teoriškai gali mėginti išnaudoti pažeidžiamą VPN, perimti administratoriaus paskyrą, pasinaudoti trečiosios šalies prieiga ar įkelti kenkimo programinę įrangą. Nėra viešų įrodymų, kad 2022 m. birželį toks antrinis įsilaužimas būtų pavykęs, tačiau NKSC perspėjo organizacijas dėl galimų išpirkos reikalaujančių programų atakų.

Ką Lietuva padarė gerai

• Ataka buvo gana greitai suvaldyta — dauguma paslaugų atkurtos per ribotą laiką.
• Veikė centralizuotas koordinavimas tarp NKSC, KVTC, interneto tiekėjų ir teisėsaugos.
• Nebuvo patvirtinta duomenų vagystė ar valstybės paslapčių praradimas.
• Pradėtas teisėsaugos tyrimas — siekta pereiti nuo politinio priskyrimo prie konkrečių įrodymų.
• Institucijos operatyviai informavo visuomenę apie sutrikimus ir duomenų saugumą.

Kokias silpnybes atskleidė incidentas

Ne visos organizacijos buvo iš anksto pasirengusios

NKSC apie išaugusį atakų skaičių perspėjo birželio 23 d., tačiau birželio 27 d. dalis svarbių paslaugų vis tiek tapo nepasiekiamos. Perspėjimo gavimas savaime neapsaugo — organizacija turi turėti technines priemones, sutartis su tiekėjais ir aiškų reagavimo planą.

Viešos svetainės ir vidinės paslaugos kai kur buvo pernelyg susijusios

Migracijos departamento pasų išdavimo sutrikimas parodė, kad poveikis ne visuomet apsiriboja vieša svetaine. Incidentas leidžia kelti klausimą, ar viešos paslaugos, vidinės sistemos ir bendroji ryšio infrastruktūra buvo pakankamai atskirtos.

Centralizuota infrastruktūra tampa bendru gedimo tašku

Jei daugelis institucijų priklauso nuo tų pačių ryšio kanalų, DNS paslaugų, autentifikavimo sistemų ar duomenų centrų, viena intensyvi ataka gali sukelti kaskadinį poveikį daugeliui organizacijų.

Pagrindinės pamokos organizacijoms

1. Prieinamumas turi būti valdomas kaip atskira rizika

Kritinėms paslaugoms turi būti nustatyti konkretūs prieinamumo ir atkūrimo rodikliai (RTO/RPO), o ne abstraktus pažadas, kad sistema „turėtų veikti“.

2. DDoS apsauga turi būti parengta iki atakos

• debesijos DDoS srauto valymo paslauga
• CDN ir „Anycast“ infrastruktūra
• aplikacijų ugniasienė (WAF)
• srauto ribojimas, geografinis ar reputacinis filtravimas
• automatizuotas botų atpažinimas
• apsauga interneto paslaugų teikėjo lygmenyje
• rezervinis ryšio arba paslaugos teikėjas

3. Viešos paslaugos turi būti atskirtos nuo vidinių sistemų

Vieša svetainė neturėtų dalytis kritinėmis priklausomybėmis su vidaus administravimo sistemomis, dokumentų išdavimo sistemomis, domeno valdikliais, atsarginių kopijų infrastruktūra ar darbuotojų VPN.

4. Reikia saugoti ne tik pagrindinę svetainę

Atakuotojai gali pasirinkti silpnesnę grandį: DNS, API, prisijungimo sistemą, mokėjimo vartus, savitarną, VPN, elektroninį paštą ar paslaugų teikėjo infrastruktūrą. Apsaugos planas turi apimti visą paslaugos teikimo grandinę.

5. Turi būti numatyti alternatyvūs paslaugų kanalai

Jei neveikia elektroninė sistema, organizacija turi iš anksto žinoti, ar paslaugą galima suteikti telefonu, ar priimami dokumentai el. paštu, ar veikia rezervinis portalas, ar terminai bus pratęsiami. Alternatyvus kanalas neturi būti kuriamas incidento metu.

6. Tiekėjų atsakomybė turi būti sutartyse

Sutartyse turi būti apibrėžta: kas stebi DDoS atakas, kas gali įjungti papildomą filtravimą, kiek trunka reakcija, kas bendrauja su interneto tiekėju ir NKSC, ar apsauga įtraukta į kainą, kokie prieinamumo rodikliai (SLA) taikomi. Formuluotė „serverį prižiūri tiekėjas“ nėra pakankamas atsakomybės paskirstymas.

7. Incidento metu būtina tikrinti, ar nevyksta kita ataka

DDoS neturi užgožti neįprastų prisijungimų, privilegijuotų paskyrų veiksmų, naujai sukurtų vartotojų, pakeistų ugniasienės taisyklių ar duomenų perdavimo į išorę. Srauto trikdymas ir įsilaužimo tyrimas turi vykti lygiagrečiai.

8. Komunikacija turi būti incidento plano dalis

Galutinis incidento vertinimas

Vertinant vien techninį rezultatą, „Killnet“ nepavyko ilgą laiką paralyžiuoti Lietuvos valstybės, perimti kritinių sistemų ar pavogti valstybės duomenų. Tačiau grupuotei pavyko sukelti realių sutrikimų, priversti institucijas mobilizuoti išteklius, pasiekti didelį žiniasklaidos dėmesį ir pristatyti atakas kaip politinį kerštą.

Pagrindinis taikinys buvo ne serveris ir ne duomenų bazė. Pagrindinis taikinys buvo pasitikėjimas skaitmenine valstybe.

2022 m. birželio atakos pamoka paprasta: organizacija gali neprarasti nė vieno įrašo, nepatirti duomenų nutekėjimo ir vis tiek patirti reikšmingą kibernetinį incidentą. Kai neveikia svarbi paslauga, nukenčia ne tik techninė sistema — nukenčia procesai, žmonės, reputacija ir pasitikėjimas organizacijos gebėjimu veikti krizės sąlygomis.