W dawnych czasach złoczyńcy zatruwali studnie, dziś mogą zrobić to samo, nie wychodząc nawet z domu. Zatrucie wody jest możliwe przez rosyjskich hakerów.
Działanie co trzeciej polskiej firmy zostało w 2022 r. zakłócone w wyniku cyberataku – alarmuje firma VMware w najnowszym raporcie. Niestety wielu przedsiębiorców ślepo wierzy, że im taki atak nie grozi.
Agencja Unii Europejskiej ds. Cyberbezpieczeństwa szacuje w swoim ostatnim raporcie, że cena, jaką rocznie płacimy za ataki przestępców w sieci na całym świecie, wynosi około 5,5 bln euro. Co więcej, za nie dalej niż 2 lata ta suma może ulec podwojeniu.
– To olbrzymia kwota, jednak są rzeczy, których wycenić się nie da, np. ludzkie życie. Agresja militarna Rosji na Ukrainę na nowo ukształtowała krajobraz zagrożeń w Europie. Konflikt zmobilizował wielu haktywistów, cyberprzestępców i grupy sponsorowane przez państwo, by na celownik obrali sobie obiekty o strategicznym znaczeniu, których awaria może zdestabilizować cały region, a także zagrozić życiu jego obywateli.
ostrzega Krzysztof Wójtowicz z ICsec, dostawcy usług z dziedziny cyberbezpieczeństwa dla przemysłu
Zatrucie wody przez hakerów. Czy jesteśmy gotowi?
“Nadchodzi cybernetyczna zima” – powiedział w 2021 roku szef izraelskich służb cybernetycznych Jigal Unna, nawiązując do słynnego zdania z serialu “Gra o tron”. Wodociągi w jego kraju zostały wówczas zaatakowane przez hakerów. Tamtejszy Krajowy Zarząd ds. Cyberbezpieczeństwa (INCD) przyznał, że gdyby nie właściwe zabezpieczenia, które umożliwiły udaremnienie ataku w czasie rzeczywistym, doszłoby do powstania w wodzie niewłaściwej mieszanki chloru i innych substancji chemicznych, co mogłoby mieć “katastrofalne” skutki.
Czy na podobne zdarzenia przygotowani są polscy operatorzy infrastruktury krytycznej? Raport VMware pokazuje, że niestety – mogą podzielić los drogowców, zaskoczonych corocznie pierwszymi opadami śniegu.
Sprawdź: Ransomware zaatakował 3800 serwerów
Liczba cyberataków na Polskę rośnie z roku na rok. Jak podają autorzy opracowania, w latach 2020-22 liczba skutecznych naruszeń bezpieczeństwa wzrosła o 20,1 proc. – Największa intensyfikacja ataków nastąpiła w drugiej połowie zeszłego roku po wsparciu okazanym przez Polski rząd zaatakowanej Ukrainie – zwraca uwagę Krzysztof Wójtowicz. I dodaje: – Hakerzy w ramach ataków odwetowych i chęci destabilizacji państwa wzięli na celownik branże zapewniające usługi kluczowe dla bezpieczeństwa i integralności naszego regionu.
Do czego zdolni są cyberprzestępcy, mieliśmy okazję przekonać się pod koniec października 2022, gdy ofiarą ich ataku padł Instytut Centrum Zdrowia Matki Polki w Łodzi. Atak ransomware stworzył duże zagrożenie dla infrastruktury szpitalnej. Z powodu niebezpieczeństwa wycieku danych pacjentów oraz pracowników obiekt został czasowo odłączony od sieci. To jednak tylko wierzchołek góry lodowej.
VMware ostrzega: hakerzy mogą zaatakować elektrownie, sieci energetyczne i wodociągi
Raport VMware ukazuje niepokojące wiadomości z elektrowni, sieci energetycznych, wodociągów, rafinerii, rurociągów, systemu finansowego i edukacyjnego, sieci teleinformatycznych czy transportowych. Aż co trzecia z nich (32%) przyznaje, że w ostatnim roku poniosła szkodę w wyniku ataku hakerów. Mimo to zaledwie 39% organizacji uważa cyberbezpieczeństwo za priorytetową kategorię.
– To podejście bardzo dalekie od odpowiedzialności. Mówimy o organizacjach, od których uzależnione jest sprawne funkcjonowanie społeczeństwa i gospodarki. Cyberprzestępcy, działający na zlecenie rządów, czy też nastawieni na wymuszenie okupów za odblokowanie zainfekowanych systemów, nie bez powodu obierają je na cel. Wiedzą, że atakując takie obiekty, grają o wysoką stawkę. Tej świadomości nie może również brakować osobom podejmującym kluczowe decyzje w przedsiębiorstwach – mówi Krzysztof Wójtowicz z ICsec.
Cel hakerów: zatrucie wody. Żrąca ciecz zamiast wody w kranie
Na wyobraźnie polskich firm powinna też zadziałać historia zakładu uzdatniającego wodę dla około 15 tys. osób w pobliżu miasta Tampa na Florydzie. W 2021 roku zdigitalizowana aparatura obiektu została przejęta przez hakerów, którym udało się zyskać sterowność nad lokalnym systemem informatycznym. Niewiele brakowało, by doszło do tragedii.
Przestępcy zwiększyli ilość wodorotlenku sodu w wodzie dostarczanej do gospodarstw domowych. Ta substancja chemiczna, nazywana sodą żrącą, zwykle stosowana jest w niewielkich dawkach w celu kontrolowania kwasowości wody, ale spożyta przez człowieka w większej ilości może dosłownie rozpuścić jelita i doprowadzić do śmierci w męczarniach. Szybka reakcja pracowników zakładu zapobiegła jednak przedostaniu się do wodociągów dużych ilości związku. Zatrucie wody przez hakerów było jednak możliwe – i prawie im się to udało.
Dwa oblicza cyfryzacji
Badanie VMware zastaje polskie firmy w momencie intensywnych przemian technologicznych. 77% zbadanych podmiotów chce zwiększyć inwestycje w cyfryzację, z czego 33% zamierza przeznaczyć na ten cel “znacząco więcej” nakładów. Zmienia się również tryb organizacji pracy. 85% zbadanych firm już teraz stosuje zdalny (31%) albo hybrydowy (54%) model pracy.
– To newralgiczny moment. Digitalizacja przynosi wiele korzyści na polu optymalizacji kosztów, zwiększenia efektywności procesów oraz pozwala dostosować przedsiębiorstwo do oczekiwań klientów. W pakiecie z nowymi możliwościami dostajemy jednak nowe zagrożenia. Miliony urządzeń podłączonych do sieci oznaczają miliony możliwości dla cyberprzestępców. Przejęcie przez nich kontroli nad urządzeniami zarządzającymi procesami w gazoporcie, elektrowni czy wodociągach, może uruchomić czarny scenariusz dla gospodarki i społeczeństwa – ostrzega Krzysztof Wójtowicz z ICsec.
Operatorzy infrastruktury krytycznej, którzy dotychczas zwlekali z modernizacją swojej architektury bezpieczeństwa, będą musieli wziąć się do pracy. 16 stycznia 2023 r. weszła w życie dyrektywa NIS 2, tworząca nowe ramy europejskiego porządku infrastruktury krytycznej i cyfrowej. Rozszerza ona definicje sektorów i rodzajów podmiotów krytycznych objętych regulacjami na polu cyberbezpieczeństwa.
Zobacz: Rodzaje cyberzagrożeń
Przepisy wzmocnią odporność infrastruktury krytycznej na szereg zagrożeń, w tym na zagrożenia naturalne, ataki terrorystyczne, zagrożenia wewnętrzne lub sabotaż. Obejmą one 11 sektorów: energia, transport, bankowość, infrastruktura rynku finansowego, zdrowie, woda pitna, ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna i żywność. Państwa członkowskie będą musiały przyjąć krajową strategię i przeprowadzać regularne oceny ryzyka w celu zidentyfikowania podmiotów uznawanych za kluczowe lub niezbędne dla społeczeństwa i gospodarki.
O badaniu: 39% zbadanych podmiotów zbadanych przez VMware to firmy zatrudniające od 1 do 3 tys. osób, 27% liczy sobie od 500-1000 pracowników. Pozostałe 35% to duże podmioty, utrzymujące ponad 3000 etatów.