W dawnych czasach złoczyńcy zatruwali studnie, dziś mogą zrobić to samo, nie wychodząc nawet z domu. Działanie co trzeciej polskiej firmy zostało w 2022 roku zakłócone w wyniku cyberataku – alarmuje firma VMware w najnowszym raporcie. Niestety wielu przedsiębiorców ślepo wierzy, że im taki atak nie grozi, biją na alarm twórcy opracowania.
Agencja Unii Europejskiej ds. Cyberbezpieczeństwa szacuje w swoim ostatnim raporcie, że cena, jaką rocznie płacimy za ataki przestępców w sieci na całym świecie wynosi około 5,5 bln Euro. Co więcej, za nie dalej niż 2 lata ta suma może ulec podwojeniu.
To olbrzymia kwota, jednak są rzeczy, których wycenić się nie da, np. ludzkie życie. Agresja militarna Rosji na Ukrainę na nowo ukształtowała krajobraz zagrożeń w Europie. Konflikt zmobilizował wielu haktywistów, cyberprzestępców i grupy sponsorowane przez państwo, by na celownik obrali sobie obiekty o strategicznym znaczeniu, których awaria może zdestabilizować cały region, a także zagrozić życiu jego obywateli. – ostrzega Krzysztof Wójtowicz z ICsec, dostawcy usług z dziedziny cyberbezpieczeństwa dla przemysłu.
Czy jesteśmy gotowi?
„Nadchodzi cybernetyczna zima” – powiedział w 2021 roku szef izraelskich służb cybernetycznych Jigal Unna, nawiązując do słynnego zdania z serialu „Gra o tron”. Wodociągi w jego kraju zostały wówczas zaatakowane przez hakerów. Tamtejszy Krajowy Zarząd ds. Cyberbezpieczeństwa (INCD) przyznał, że gdyby nie właściwe zabezpieczenia, które umożliwiły udaremnienie ataku w czasie rzeczywistym, doszłoby do powstania w wodzie niewłaściwej mieszanki chloru i innych substancji chemicznych, co mogłoby mieć “katastrofalne” skutki.
Czy na podobne zdarzenia przygotowani są polscy operatorzy infrastruktury krytycznej? Raport VMware pokazuje, że niestety – mogą podzielić los drogowców, zaskoczonych corocznie pierwszymi opadami śniegu. Liczba cyberataków na Polskę rośnie z roku na rok. Jak podają autorzy opracowania, w latach 2020-22 liczba skutecznych naruszeń bezpieczeństwa wzrosła o 20,1 proc.
Największa intensyfikacja ataków nastąpiła w drugiej połowie zeszłego roku po wsparciu okazanym przez Polski rząd zaatakowanej Ukrainie. Hakerzy w ramach ataków odwetowych i chęci destabilizacji państwa wzięli na celownik branże zapewniające usługi kluczowe dla bezpieczeństwa i integralności naszego regionu. – zwraca uwagę Krzysztof Wójtowicz.
Do czego zdolni są cyberprzestępcy, mieliśmy okazję przekonać się pod koniec października 2022, gdy ofiarą ich ataku padł Instytut Centrum Zdrowia Matki Polki w Łodzi. Atak ransomware stworzył duże zagrożenie dla infrastruktury szpitalnej. Z powodu niebezpieczeństwa wycieku danych pacjentów oraz pracowników obiekt został czasowo odłączony od sieci. To jednak tylko wierzchołek góry lodowej.
Raport VMware ukazuje niepokojące wiadomości z elektrowni, sieci energetycznych, wodociągów, rafinerii, rurociągów, systemu finansowego i edukacyjnego, sieci teleinformatycznych czy transportowych. Aż co trzecia z nich (32 proc.) przyznaje, że w ostatnim roku poniosła szkodę w wyniku ataku hakerów. Mimo to zaledwie 39 proc. organizacji uważa cyberbezpieczeństwo za priorytetową kategorię. Ponad połowa (56 proc.) firm ujętych w badaniu nie widzi też potrzeby ulepszeń i szkoleń na poziomie zwiększenia bezpieczeństwa cybernetycznego. 50 proc. potrzebuje lepszych narzędzi w dziedzinie cyberbezpieczeństwa, 50 proc. uznaje, że takowe potrzebne nie są.
To podejście bardzo dalekie od odpowiedzialności. Mówimy o organizacjach, od których uzależnione jest sprawne funkcjonowanie społeczeństwa i gospodarki. Cyberprzestępcy, działający na zlecenie rządów, czy też nastawieni na wymuszenie okupów za odblokowanie zainfekowanych systemów, nie bez powodu obierają je na cel. Wiedzą, że atakując takie obiekty, grają o wysoką stawkę. Tej świadomości nie może również brakować osobom podejmującym kluczowe decyzje w przedsiębiorstwach. – mówi Krzysztof Wójtowicz.
Cel hakerów: żrąca ciecz zamiast wody w twoim kranie
Na wyobraźnie polskich firm powinna też zadziałać historia zakładu uzdatniającego wodę dla około 15 tys. osób w pobliżu miasta Tampa na Florydzie. W 2021 roku zdigitalizowana aparatura obiektu została przejęta przez hakerów, którym udało się zyskać sterowność nad lokalnym systemem informatycznym. Niewiele brakowało, by doszło do tragedii. Przestępcy zwiększyli ilość wodorotlenku sodu w wodzie dostarczanej do gospodarstw domowych.
Ta substancja chemiczna, nazywana sodą żrącą, zwykle stosowana jest w niewielkich dawkach w celu kontrolowania kwasowości wody, ale spożyta przez człowieka w większej ilości może dosłownie rozpuścić jelita i doprowadzić do śmierci w męczarniach. Szybka reakcja pracowników zakładu zapobiegła jednak przedostaniu się do wodociągów dużych ilości związku.
Dwa oblicza cyfryzacji
Badanie VMware zastaje polskie firmy w momencie intensywnych przemian technologicznych. 77 proc. zbadanych podmiotów chce zwiększyć inwestycje w cyfryzację, z czego 33 proc. zamierza przeznaczyć na ten cel “znacząco więcej” nakładów. Zmienia się również tryb organizacji pracy. 85 proc. zbadanych firm już teraz stosuje zdalny (31 proc.) albo hybrydowy (54 proc.) model pracy.
To newralgiczny moment. Digitalizacja przynosi wiele korzyści na polu optymalizacji kosztów, zwiększenia efektywności procesów oraz pozwala dostosować przedsiębiorstwo do oczekiwań klientów. W pakiecie z nowymi możliwościami dostajemy jednak nowe zagrożenia. Miliony urządzeń podłączonych do sieci oznaczają miliony możliwości dla cyberprzestępców. Przejęcie przez nich kontroli nad urządzeniami zarządzającymi procesami w gazoporcie, elektrowni czy wodociągach, może uruchomić czarny scenariusz dla gospodarki i społeczeństwa Każdy kontakt użytkownika z niedostatecznie zabezpieczoną siecią, logowanie się do firmowego systemu z prywatnych laptopów czy ściąganie plików z niebezpiecznych źródeł na komputer stosowany do pracy, może zostać wykorzystane przez cyberprzestępców. Dlatego w procesie przechodzenia na pracę zdalną, nie można zapominać o inwestycjach w urządzenia monitorujące sieć w czasie rzeczywistym pod kątem anomalnych zdarzeń. – ostrzega Krzysztof Wójtowicz.
Żarty się skończyły. Dyrektywa wprowadza nowe porządki
Operatorzy infrastruktury krytycznej, którzy dotychczas zwlekali z modernizacją swojej architektury bezpieczeństwa, będą musieli wziąć się do pracy. 16 stycznia weszła w życie dyrektywa NIS 2, tworząca nowe ramy europejskiego porządku infrastruktury krytycznej i cyfrowej. Rozszerza ona definicje sektorów i rodzajów podmiotów krytycznych objętych regulacjami na polu cyberbezpieczeństwa.
Przepisy wzmocnią odporność infrastruktury krytycznej na szereg zagrożeń, w tym na zagrożenia naturalne, ataki terrorystyczne, zagrożenia wewnętrzne lub sabotaż. Obejmą one 11 sektorów: energia, transport, bankowość, infrastruktura rynku finansowego, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna i żywność. Państwa członkowskie będą musiały przyjąć krajową strategię i przeprowadzać regularne oceny ryzyka w celu zidentyfikowania podmiotów uznawanych za kluczowe lub niezbędne dla społeczeństwa i gospodarki.
39 proc. zbadanych podmiotów zbadanych przez VMware to firmy zatrudniające od 1 do 3 tys. osób, 27 proc. liczy sobie od 500-1000 pracowników. Pozostałe 35 proc. to duże podmioty, utrzymujące ponad 3000 etatów.
