Az ENSZ szándékosan elrejtett egy hatalmas hackertámadást, amely sok embert veszélybe sodorta

Napi rendszerességgel jelennek meg minden formájú és méretű szervezetekkel szembeni cyberatámadások hírei, és gyakran sok kritika kíséri az áldozatot. Általában a probléma az incidens kezelésének módjában rejlik, de vannak olyan esetek is, amikor a kibertámadások áldozatait elítélik, mert nem tesznek elegendő óvintézkedést a jogsértés elsődleges megakadályozása érdekében. Tegnap az Egyesült Nemzetek Szervezete, amely többek között a drága bolygónk törékeny békéjének fenntartásáért felel, beismerte, hogy a hackerek megcélozták. Nyugodtan mondhatjuk, hogy az emberek nem csak a jogsértés megakadályozása, hanem a jelentés bejelentése útján is kritizálhatják.

Az ENSZ „jól finanszírozott” kibertámadást szenvedett 2019 nyarán

Mielőtt az ENSZ hibáira kerülnénk, először meg kell vizsgálnunk, mi történt. Végül is egy hatalmas szervezetről beszélünk, amely hatalmas mennyiségű adatért felelős. Néhány része annyira érzékeny, hogy ha rossz kezekbe kerül, az emberi élet elvesztéséhez vezethet. Szerencsére, ha az ENSZ-nek kell hinni, a hackerek nem jutottak el a legérzékenyebb információs részhez.

A hivatalos bejelentés szerint a támadás az „alapvető infrastrukturális komponenseket” érte az ENSZ bécsi és genfi irodájában. Az ENSZ egyik genfében levő fegyvere az Emberi Jogok Főbiztosának (OHCHR) Hivatala, és megerősítést nyert, hogy szerverei megcélozottak. Szerencsére a támadóknak csak a fejlesztési környezetbe sikerült eljutniuk, ami ugyanúgy azért is fontos, mert az OHCHR valószínűleg érzékeny adatokat kezel, amelyek bizonyos rendszerek által aktivisták üldözéséhez vezethetnek. Miközben nem tudták megnézni ezeket az információkat, a hackereknek sikerült megsérteni néhány Active Directory felhasználói azonosítót, bár az ENSZ gyorsan rámutatott, hogy nem loptak jelszavakat.

Az ENSZ tisztviselői inkább nem mélyebb részletekbe mélyedtek be azzal kapcsolatban, amit még veszélyeztettek. Ugyanakkor rámutattak arra, hogy az esemény "súlyos" volt, és azt sugallták, hogy az ENSZ-t egy hatalmas hackerek kifinomult csoportja támadta meg, akik rengeteg forrással rendelkeznek. Bár valószínűleg ez a helyzet, a támadás sikere nem tulajdonítható teljes mértékben a hackerek képességeinek. Az ENSZ hanyag javításának kezelése szintén kulcsszerepet játszott.

A támadás sikeres volt a késleltetett frissítés miatt

Sokan aggódnak, mert a tegnapi bejelentés ismét bizonyítja, hogy még a globális jelentőségű hatalmas szervezeteket is sikerrel támadhatják meg. A valóban félelmetes tény azonban, hogy ezek a szervezetek kiszolgáltatottak magukat a kibertámadásokkal szemben.

Ahhoz, hogy megértsük, mi történt valójában, vissza kell fordítanunk az órát 2019 februárjára, amikor a biztonsági kutatók távoli kódvégrehajtási hibát találtak a Microsoft SharePoint-ben, egy együttműködési dokumentum- és fájlkezelő rendszerben, amelyet a világ szerte több ezer szervezet használ. A hiba lehetővé teheti a hackerek számára, hogy megkerüljék a SharePoint hitelesítését, és futtassák a kódot a cél szerverén. Egy ilyen támadás potenciális következményei óriási voltak, ezért a sebezhetőséget kritikusnak minősítették, egy CVE-számot kaptak (CVE-2019-0604), és a javítás kidolgozása azonnal megkezdődött. Márciusban a Microsoft frissítést adott ki a CVE-2019-0604 címre a legtöbb érintett SharePoint verziónál, és 2019. április 25-én kiadott egy új javítást a sebezhető platformok többi részére.

Az ENSZ informatikai politikái nyilvánvalóan előírják, hogy a biztonsági frissítéseket a kiadástól számított egy hónapon belül telepíteni kell, de sajnos a szabályokat nem tartják be nagyon szigorúan. 2019 júliusában a hackerek kihasználták a CVE-2019-0604-et az ENSZ SharePoint platformon, és hozzáférést szereztek a szervezet szervereihez.

A kiberbiztonsági szakemberek nagyon sok időt és energiát fordítanak arra, hogy meggyőzzék a felhasználókat és a vállalkozásokat arról, hogy a szoftver-alkalmazások és az operációs rendszerek naprakészen tartása rendkívül fontos. Mindannyian hajlamosak vagyunk azt feltételezni, hogy a globális jelentőségű szervezeteknél dolgozó informatikai szakemberekre ezt nem kell emlékeztetni, de nyilvánvalóan nem ez a helyzet.

Legfőbb ideje mindannyian megtanulni, hogy egyáltalán nincs mentség a biztonsági frissítések figyelmen kívül hagyására. Azt is látnunk kell, hogy az ENSZ hogyan kezeli az esetet, és tanulni kell a hibáiból.

Az ENSZ szándékosan körültekintően tartotta a támadást

Nehéz megmondani, vajon az ENSZ tegnap szándékában áll-e a jogsértést nyilvánosságra hozni, ám a helyzet az, hogy néhány órával azelőtt, hogy a szervezet tisztviselői a kamerák előtt álltak, The New Humanitarian (TNH) nevű ügynökség van.) feltörte a hírt. A jelentés egy meglehetősen hosszú vizsgálat eredményeként jött létre, amelyet 2019 novemberében kezdtek el, amikor Ben Parker, a TNH főszerkesztője az ENSZ belső jelentésére botlott a tavaly augusztus végétől.

Kiderült, hogy akkoriban az ENSZ informatikai csapata közepén volt, hogy bedugja az összes lyukat és kivizsgálja mi történt. Abban az időben a szakértők egymással kommunikáltak, és megpróbálták felmérni a károkat. Egy anonim IT-tisztviselő azt mondta a TNH-nak, hogy az egész "jelentős összeomlás" volt, és Ben Parker vizsgálata valóban azt mutatja, hogy a támadás során legalább 40 szervert veszélyeztettek. A szerverek valószínűleg az emberi erőforrásokhoz és az egészségbiztosítási rendszerekhez voltak kötve, ami azt jelenti, hogy bár nem tudták megnézni az emberi jogi aktivisták listáját, a hackereknek sikerült hozzáférniük az ENSZ genfi és bécsi személyzetének személyes adataihoz.

A TNH vizsgálata azt is kimutatja, hogy az ENSZ sürgette alkalmazottait, hogy cseréljék jelszavaikat, de egyáltalán nem állt szándékában mondani nekik, hogy adataik kibernetikus célpont voltak. Az egyetlen ember, aki tudott az eseményről, az IT szakemberek, akik felelősek a rendetlenség megtisztításáért, és az emberek a hierarchiában.

Ha ez egy normális szervezet lenne, mindenféle bajban lehetett volna. Az EU GDPR-je szerinti bírság hatalmas lett volna, és az a tény, hogy az érintett munkavállalókat nem tájékoztatták időben, szilárd alapot jelentett volna a pert. Az ENSZ azonban nem normális szervezet. Diplomáciai mentelmi joggal rendelkezik, ami azt jelenti, hogy a szabályozóknak nincs törvényes joguk az elszámoltathatóságot kimutatni, és az érintett személyekre vonatkozó lehetőségek sem éppen elég bőségesek.

Az egyetlen dolog, amit ezen a ponton megtehetünk, az, hogy reméljük, hogy más szervezetek, akár nagyok, akár kicsi, megtanulnak néhány leckét.