Egymásnak ellentmondó képet ad a Magyar Államkincstár és a támadást magára vállaló hacker a napokban történt informatikai incidensről. A Kincstár szerint a behatolás egy elkülönített, mezőgazdasági és vidékfejlesztési területet érintett, ügyféladatok pedig nem kerültek veszélybe. A támadó ezzel szemben azt állítja, hogy mélyen bejutott a belső hálózatba, több szerverhez és nagy mennyiségű tárhelyhez is hozzáfért.
A támadás nem a lakossági állampapírszámlákat, a WebKincstárt vagy a MobilKincstárt kiszolgáló rendszert érte. A Magyar Államkincstár tájékoztatása szerint a mezőgazdasági és vidékfejlesztési feladatokat ellátó Nemzeti Kifizető Ügynökség informatikai hálózatában történt incidens.
Ez a szervezeti egység kezeli többek között az agrártámogatásokhoz, pályázatokhoz és vidékfejlesztési kifizetésekhez kapcsolódó elektronikus ügyintézést. A támadás miatt ezen a területen egyes szolgáltatások lassabban vagy korlátozottan működhetnek a helyreállítás idején.
A Kincstár elismerte, hogy több munkaállomáson hozzáférhetetlenné váltak egyes fájlok. Ez arra utal, hogy a támadók zsarolóvírust vagy ahhoz hasonló titkosító programot juttattak be a rendszerbe.
Az érintett szervereket és számítógépeket leválasztották a hálózatról, hogy megakadályozzák a kár továbbterjedését. A vizsgálatba bevonták a Nemzeti Kiberbiztonsági Intézetet, az adatvédelmi hatóságot pedig értesítették az incidensről.
A Kincstár eddigi közlése szerint nem találtak bizonyítékot arra, hogy az ügyfelek személyes adatait lemásolták vagy nyilvánosságra hozták volna. Azt is hangsúlyozták, hogy az állampapír-nyilvántartás és a lakossági kincstári számlák működése elkülönül az érintett hálózattól.
A ByteToBreach néven megjelenő hacker később magára vállalta a támadást. Állítása szerint nem politikai megbízásból dolgozott, és nem állami szereplő irányította: pénzt akart szerezni a behatolással. A saját beszámolója alapján egy nyilvánosan elérhető szerver sérülékenységén keresztül jutott be. Innen állítása szerint tovább tudott lépni a belső hálózatba, magasabb jogosultságokat szerzett, és több rendszerhez is hozzáfért.
A támadó képernyőképeket, rendszerinformációkat és technikai adatokat tett közzé. Ezek azt a benyomást kelthetik, hogy nem csupán néhány alkalmazotti számítógépet ért el, hanem központi felügyeleti rendszerekhez is közel került. A közzétett anyagok azonban önmagukban még nem bizonyítják valamennyi állítását.
Több száz rendszer és nagy tárhelykapacitás is szóba került
A nyilvánosságra hozott technikai adatok alapján egyes szakértők azt feltételezik, hogy a hacker több mint száz virtuális gépet és több száz terabájtnyi tárhelyet is elérhetett. Szóba került a szervereket felügyelő központi rendszer, a felhasználói jogosultságokat kezelő címtár, valamint egyes biztonsági mentések elérése is.
Ha ez valóban megtörtént, a támadó nem egyszerűen fájlokat titkosított, hanem széles körű rendszergazdai hozzáférést szerezhetett. Ezt azonban a Magyar Államkincstár és a hatóságok eddig nem erősítették meg.
Jelenleg tehát két eltérő állítás áll egymással szemben. A Kincstár szerint az incidens korlátozott maradt, és nem érintett ügyféladatokat. A hacker viszont kiterjedt hozzáférésről, belső rendszerekről és adatok megszerzéséről beszél, az ügy valódi súlyát az dönti el, hogy a támadók másoltak-e ki adatokat a rendszerből.
A hacker azt állította, hogy nemcsak hozzáfért a belső hálózathoz, hanem adatokat is megszerzett. A Kincstár ezzel szemben azt közölte, hogy ügyféladatok kiszivárgására nincs bizonyíték.
Egyelőre nem került elő olyan ellenőrizhető adatcsomag, amely bizonyítaná, hogy agrártámogatási, személyes vagy pénzügyi információkat tettek közzé. A vizsgálatnak ezért arra is ki kell terjednie, hogy a támadó meddig tartózkodott a hálózatban, milyen szervereket ért el, és történt-e kifelé irányuló adatforgalom.
Egy ilyen támadás után nem elegendő csakúgy újra bekapcsolni a leállított gépeket. Végig kell ellenőrizni a felhasználói fiókokat, a rendszergazdai jogosultságokat, a biztonsági mentéseket és az összes olyan szervert, amelyhez a támadó eljuthatott, többek között a jelszavakat és hozzáférési kulcsokat le kell cserélni, a sérülékeny rendszereket frissíteni kell, és azt is ki kell zárni, hogy a támadó rejtett hozzáférést hagyott maga után. Ha valóban egy évekkel korábban ismert biztonsági hibán keresztül jutott be, az külön kérdéseket vet fel a rendszerek karbantartásával és frissítésével kapcsolatban.
A Kincstár hivatalos tájékoztatása és a hacker állításai között jelentős különbség van, az még nem derült ki, hogyan tudott a támadó bejutni egy állami intézmény hálózatába.
Forrás: a Magyar Államkincstár tájékoztatója l a ByteToBreach nyilvános közlései l a közzétett technikai anyagokról készült szakértői elemzések l Telex
