Hvorfor skete der cyberangreb i Baltimore County skoler?
Lige før Thanksgiving 2020 blev Baltimore County Public Schools-systemet ramt af et ødelæggende ransomware-angreb. Angrebet kom lige midt i de igangværende lockdown-foranstaltninger mod spredningen af Covid-19 og ramte 115 tusind studerende, der var blevet skiftet til online klasser.
Hvordan skete ulykken nøjagtigt, og hvorfor? Fortællingsskiltene om en lignende situation har været der i nogen tid, ser det ud til.
Skolesystemet i Baltimore modtog en målrettet advarsel om sit netværk tilbage i 2019, kort efter at byen Baltimore blev ramt af en RobinHood-ransomware-variant. Advarslen ser ud til at være gået uhørt, da der var en anden rapport, der skitserede skolens netværksproblemer udstedt af Maryland Office of Legislative Audits. Sidstnævnte rapport kom på den nøjagtige dag, hvor angrebet tog skolens netværk ned.
Det ser ud til, at rapporten fungerede som en tilskyndelse til de dårlige skuespillere givet tidspunktet, men revisorerne meddelte formelt skolerne, inden de udgav dokumentet og gav dem tid til at løse problemer.
Nogle af de sikkerhedsmangler, der er skitseret i den seneste rapport, kan ses næsten ord for ord i en rapport, der går tilbage til 2015. Det ser foruroligende ud til, at ingen af dem blev adresseret.
Der ser ud til at være meget lidt Baltimore skolenetværk faktisk ikke var sårbart over for. Fra RDP-sårbarheder til simpel gætning af adgangskoder og brugeradgangskoder, der flyder på det mørke web, udbudt til salg, var der et utal af muligheder for dårlige skuespillere.
De største problemer med skolens netværk var, hvordan serverne var organiseret og oprettet, manglen på kritiske opdateringer og den generelle manglende evne hos de ansvarlige til at handle rettidigt på trods af flere advarsler.
Myndighederne, der efterforsker angrebet på skolens netværk, har næsten ikke afsløret noget og kun oplyst, at en undersøgelse er i gang. Sikkerhedseksperter har bemærket, at hvis skolerne ikke har investeret i en anstændig plan for sikkerhedskopiering af data, kan de blive tvunget til at betale løsepenge.
