5-8 minut

Gminy na celowniku hakerów

Obrona przed zagrożeniami ze strony hakerów wymaga od samorządów kompleksowego podejścia i zaangażowania w różnorodne obszary bezpieczeństwa. Podmioty sektora publicznego powinny nie tylko wzmacniać swoją odporność, ale także przygotować plan awaryjny, pozwalający zachować ciągłość działania.

Wyobraź sobie taki scenariusz: najważniejsze elementy systemy informatycznego urzędu przestają działać, dane obywateli zostają zaszyfrowane, a cyberprzestępcy żądają okupu za odblokowanie dostępu do nich. Na domiar złego część tych danych wycieka – trafiają na czarny rynek, po czym inni przestępcy wykorzystują je do zakładania fikcyjnych kont lub kradzieży pieniędzy z banków. Reputacja urzędu legła w gruzach, sypią się kary finansowe.

To nie jest fikcja, lecz rzeczywiste zagrożenie. Cyberataki stają się coraz bardziej powszechne i mogą dotknąć każdego. Te działania przestępców nie służą tylko wyłudzaniu pieniędzy, ale także paraliżowaniu działalności operacyjnej przez generowanie sztucznego ruchu w ramach ataków typu DDoS (Distributed Denial of Service) czy szyfrowaniu danych i domaganiu się okupu (ransomware).

Skutki mogą być szczególnie dotkliwe w przypadku wycieku danych obywateli, co stwarza bezpośrednie zagrożenie dla ich bezpieczeństwa i pociąga za sobą wysokie kary finansowe wynikające z naruszeń danych osobowych. Przewidywane przepisami kary nakładane przez UODO mogą sięgać nawet 20 mln euro. A w praktyce? Pierwsza kara za taki incydent wyniosła milion złotych[i], obecnie nakładane kary za wycieki danych mogą przekraczać nawet 3 mln zł[ii].

Nikt nie jest bezpieczny

Przykłady? Atak ransomware miał miejsce w Kościerzynie, gdzie złośliwe oprogramowanie z rodziny Mapo zaszyfrowało dane urzędu, powodując paraliż systemów IT. Dzięki analizie przeprowadzonej przez ekspertów udało się opracować narzędzie deszyfrujące, co pozwoliło na odzyskanie danych[iii]. Ten przypadek pokazuje, jak ważne jest posiadanie planu awaryjnego i współpraca z ekspertami w zakresie cyberbezpieczeństwa.

Inne udane ataki podważające zaufanie do administracji lokalnej? W Otwocku hakerom udało się uzyskać dostęp do serwerów Urzędu Miasta. Zaszyfrowali znajdujące się na nich dane, co sprawiło, że sparaliżowana została obsługa kart metropolitalnych, kart dużej rodziny, a także załatwianie spraw związanych z podatkami i gospodarką odpadami[iv].

Atakami ransomware dotknięte zostały również inne organy samorządowe. Hakerzy zaszyfrowali i żądali okupu za dane m.in. Urzędu Gminy Tuczna (dane podatkowe, księgowe, dane osobowe, a nawet numery kont bankowych)[v], dane na serwerach Urzędu Marszałkowskiego Województwa Małopolskiego w Krakowie[vi], czy wreszcie niektóre informacje zawarte w podsystemach Starostwa Powiatowego w Oświęcimiu[vii].

Reputacja ważniejsza od pieniędzy

Poza narażeniem na straty finansowe, na szwank może zostać wystawiona również reputacja organizacji, a co za tym idzie zaufanie obywateli do państwa i instytucji publicznych. W najlepszym razie instytucje – lub osoby pełniące w nich istotne funkcje – mogą zostać ośmieszone przez przestępców.

Tak stało się m.in. z kontem na Facebooku miasta Piekary Śląskie. Pojawił się na nim krótki film pornograficzny będący reklamą jednego z serwisów internetowych prezentujących tego typu treści[viii]. Podobna (choć mniej pikantna) przygoda nie ominęła nawet byłego ministra cyfryzacji – na jego koncie w serwisie X (Twitter) opublikowane zostały zdjęcia roznegliżowanej modelki. Polityk tłumaczył się, że konto zostało przejęte przez hakerów, co mogło być możliwe, jeśli powiódł się atak phishingowy na niego lub sam zainstalował sobie malware[ix].

Ten ostatni przykład – dotyczący osoby publicznej, do tego związanej z cyfryzacją – szczególnie boleśnie ilustruje konieczność wykorzystywania wieloskładnikowego uwierzytelnienia oraz zachowania ostrożności – lub wprowadzenia mechanizmów nadzoru – podczas instalowania wszelkich dodatków do przeglądarek i „aplikacji” mających dostęp do kont w serwisach społecznościowych.

Wniosek jest bardzo prosty – aby skutecznie budować zaufanie obywateli do narzędzi i usług cyfrowych, niezbędne jest wdrażanie zabezpieczeń technologicznych, popularyzacja wiedzy na temat zagrożeń wśród pracowników oraz wypracowanie metod postępowania na wypadek incydentu.

Czy Twoja gmina jest gotowa?

Temu celowi ma służyć program Cyberbezpieczny Samorząd. Ma on podnieść bezpieczeństwo informatyczne jednostek samorządu terytorialnego – w ramach programu wiele instytucji uzyskało granty, które pozwalają na zbudowanie skutecznie zabezpieczonego i nowoczesnego środowiska IT.

Samorządy stają jednak przed trudnym wyborem konkretnych rozwiązań – nie tylko w formie sprzętu i oprogramowania, ale kompleksowych usług z dziedziny cyberbezpieczeństwa. Często jednostki samorządowe mają trudności z ustaleniem priorytetów i postawieniem pierwszego kroku na drodze ku cyberbezpieczeństwu – jest to przecież obszar, który dotąd zwykle pozostawał poza ich zainteresowaniami.

Na co zatem zwrócić uwagę? Najprostszym i najważniejszym krokiem jest skorzystanie z konsultacji eksperta ds. cyberbezpieczeństwa. Taki specjalista przeanalizuje aktualny poziom cyberodporności jednostki oraz doradzi, jak krok po kroku zadbać o bezpieczeństwo. Pomoże też dobrać i wdrożyć odpowiednie rozwiązania.

Najczęściej konieczne jest podjęcie działań w pięciu kluczowych dla cyberbezpieczeństwa obszarach:

1. Szkolenia dla pracowników urzędów

Wdrożenie programu szkoleniowego (Security Awareness) dla wszystkich pracowników może zredukować liczbę incydentów cyberbezpieczeństwa nawet o ponad 50 proc. Taka inwestycja, w połączeniu ze środkami technicznymi i procedurami, znacznie podnosi poziom bezpieczeństwa całej organizacji[x]. Dodatkowo tematyka szkoleń pokrywa się z wymogami dyrektywy NIS2, która realnie obowiązywać będzie w Polsce prawdopodobnie już w połowie przyszłego roku. Pracownicy, będąc pierwszą linią obrony, muszą być świadomi potencjalnych zagrożeń i umieć na nie reagować.

2. Monitoring i analiza zdarzeń IT

Wdrożenie mechanizmu stałego monitorowania i analizy zdarzeń bezpieczeństwa IT umożliwia wykrywanie i zapobieganie incydentom niosącym negatywne skutki dla działania instytucji. Usługa Security Operations Center (SOC) zapewnia monitoring w trybie 24/7/365 i pozwala na natychmiastowe rozpoznawanie incydentów oraz ich obsługę przez wykwalifikowanych specjalistów IT.

3. Kontrola ruchu sieciowego oraz ochrona użytkowników przed zagrożeniami internetowymi

Kluczowe dla bezpieczeństwa samorządu są inteligentne systemy firewall, które oferują zaawansowane mechanizmy zarządzania i ochrony. Dzięki odpowiedniej konfiguracji i zarządzaniu zaporą można skutecznie chronić sieć przed nieautoryzowanym dostępem i zagrożeniami. Niewłaściwa kontrola ruchu sieciowego może zaś umożliwić infiltrację systemów przez złośliwe oprogramowanie, co w przypadku gmin i innych jednostek publicznych może prowadzić do poważnych zakłóceń w świadczeniu usług.

4. Ochrona przed atakami typu DDoS

Ataki typu Distributed Denial of Service są narzędziem doskonale znanym i nie wymagają szczególnego wysiłku ani umiejętności ze strony hakerów. Mogą jednak poważnie zakłócić działanie samorządowych systemów informatycznych – zwłaszcza tych służących obsłudze obywateli. Skuteczna ochrona przed tego typu atakami wymaga zastosowania mechanizmów detekcji, wielopoziomowych zabezpieczeń oraz wydajnych systemów filtracji. Dzięki temu możliwe jest odróżnienie ruchu sztucznego od prawidłowego oraz ochrona sieci i aplikacji przed przeciążeniem.

5. Zarządzanie podatnościami

Wykorzystanie „niezałatanych dziur” w oprogramowaniu i nieaktualnych definicji złośliwego oprogramowania to jedne z najczęściej wykorzystywanych przez hakerów luk pozwalających im dostać się do systemów informatycznych organizacji. Regularne skanowanie i zarządzanie podatnościami w środowisku IT jest kluczowe dla zapobiegania potencjalnym atakom. Świadomość stanu aktywów i identyfikacja podatności umożliwiają podjęcie działań naprawczych i minimalizację ryzyka.

Od czego zacząć

Czy istnieją dobre praktyki, do których można się odwołać, aby efektywnie podjąć inicjatywy w zakresie programu Cyberbezpieczny Samorząd? Oto lista kilku najważniejszych działań, które pozwolą przygotować organizację i będą stanowiły wstęp do budowy realnej odporności i zapewnienia ciągłości działania na wypadek ataków wymierzonych w bezpieczeństwo informacji:

Ocena stanu bezpieczeństwa: przeprowadzenie kompleksowego audytu bezpieczeństwa IT w jednostce pozwala na zidentyfikowanie słabych punktów i obszarów wymagających poprawy.
Planowanie i wdrożenie: opracowanie strategii i planu działania na podstawie wyników audytu umożliwia skuteczne zarządzanie ryzykiem.
Szkolenia i edukacja: regularne szkolenia dla pracowników i aktualizacja wiedzy o nowych zagrożeniach są kluczowe dla utrzymania wysokiego poziomu bezpieczeństwa.
Monitoring i analiza: ciągłe monitorowanie systemów i analiza zdarzeń w czasie rzeczywistym pozwalają na szybką reakcję na zagrożenia.
Aktualizacja i adaptacja: regularna aktualizacja systemów zabezpieczeń i dostosowanie do nowych wyzwań jest niezbędne w dynamicznie zmieniającym się krajobrazie zagrożeń.

Współczesne zagrożenia cybernetyczne wymagają proaktywnego i wieloaspektowego podejścia do ochrony danych i systemów. Dziś próba ataku na systemy IT i dane urzędów to już nie kwestia „czy”, ale raczej „kiedy”. Dzięki odpowiednim narzędziom oraz wiedzy możemy jednak zapewnić bezpieczne i stabilne funkcjonowanie lokalnych władz, a tym samym bezpieczeństwo wszystkich obywateli.

Marta Galińska

Senior Business Development Manager Security Products

T-Mobile Polska Business Solutions

Marta.Galinska@t-mobile.pl

[i] https://niebezpiecznik.pl/post/pierwsza-polska-i-milionowa-kara-za-rodo-byla-zasadna-wyrok-nsa/

[ii] https://www.rp.pl/konsumenci/art39802071-olbrzymia-kara-za-wyciek-danych-uodo-nie-odpuszcza-morele-net

[iii] https://sekurak.pl/gmina-koscierzyna-skutecznie-odszyfrowala-swoje-dane-po-ataku-ransomware/

[iv] https://samorzad.pap.pl/kategoria/e-urzad/urzad-miejski-w-otwocku-padl-ofiara-cyberataku

[v] https://radiobiper.info/2021/12/13/atak-hakerski-na-urzad-gminy-tuczna-gmina-apeluje-o-zachowanie-ostroznosci/

[vi] https://cyberdefence24.pl/polityka-i-prawo/zhakowano-urzad-marszalkowski-w-krakowie

[vii] https://infooswiecim.pl/info-z-miasta/atak-hakerow-w-starostwie-powiatowym-w-oswiecimiu/

[viii] https://niebezpiecznik.pl/post/ktos-wrzucil-film-pr0nograficzny-na-facebooka-piekar-slaskich/