Dok Bruxelles uvodi digitalni identitet, haker provaljuje u mađarski državni IT sustav.
Ein Hacker ist tief in die IT der ungarischen Staatskasse eingedrungen und soll sich dort weitreichende Administratorrechte verschafft haben. Sein Einfallstor war offenbar eine Sicherheitslücke in Oracle WebLogic, für die bereits seit Oktober 2017 ein Patch bereitstand. Während unzählige europäische Behörden mit solchen Altlasten kämpfen, sollen Ausweise, Führerscheine, Behördenzugänge und immer mehr Identitätsnachweise künftig über die europäische Digitale ID laufen.
Der Angriff traf die ungarische Staatskasse Magyar Államkincstár, genauer den für Landwirtschaft und ländliche Entwicklung zuständigen Bereich. Anfang August bestätigte die Behörde, dass Teile ihres IT-Netzes kompromittiert worden waren. Mehrere Server wurden nach Entdeckung des Angriffs vom Netz genommen, Dateien auf Rechnern von Mitarbeitern verschlüsselt und einzelne Dienste eingeschränkt. Nach Darstellung der Staatskasse seien Kundendaten nicht betroffen gewesen und auch keine Daten verloren gegangen. Die vom Angreifer veröffentlichten Bildschirmaufnahmen lassen allerdings erkennen, wie weit er zu diesem Zeitpunkt bereits gekommen war.
Der Einstieg gelang offenbar über einen öffentlich erreichbaren Oracle-WebLogic-Server. Die dafür ausgenutzte Schwachstelle war alles andere als neu. Oracle hatte bereits im Oktober 2017 einen entsprechenden Sicherheitspatch veröffentlicht. Fast neun Jahre später war die Lücke in der ungarischen Behörden-IT offenbar immer noch offen. Von Telex befragte IT-Sicherheitsexperten bewerteten das Ausmaß des Zugriffs mit zehn von zehn Punkten. ByteToBreach soll sich Administratorrechte in praktisch allen kritischen Systemen des betroffenen Bereichs verschafft haben. Dazu gehörten der Windows-Domaincontroller, Benutzerkonten, eine Datenbank mit Zugangsdaten sowie die Virtualisierungsumgebung der Behörde. Dort liefen 116 virtuelle Maschinen mit insgesamt rund 229 Terabyte an Daten.
Besonders peinlich: Auf einem der Systeme soll ein Administratorpasswort unverschlüsselt in einer Datei gelegen haben. Mit diesem Zugang konnte der Hacker offenbar auch auf Speichersysteme und Backups zugreifen. Eine jahrelang bekannte Sicherheitslücke, Klartextpasswort, weitreichende Administratorrechte – viel mehr Einladung braucht ein Angreifer kaum. ByteToBreach verschlüsselte diesmal nach bisherigem Stand lediglich Rechner einiger Mitarbeiter und bot erbeutete Daten später in einem Hackerforum zum Verkauf an. Eine umfassende Löschaktion wie wenige Wochen zuvor in Rumänien blieb Ungarn damit offenbar erspart. Der Angreifer hätte angesichts seiner Rechte jedoch deutlich größeren Schaden anrichten können.
Ne obavještajac, nego iznuđivač
Prema dosadašnjim saznanjima, ByteToBreach prvenstveno je financijski motiviran. Tvrtka za kibernetičku sigurnost KELA prati njegove aktivnosti od 2025. godine i povezuje ga s napadima na državne institucije, banke, zrakoplovne kompanije, sveučilišta i druge organizacije. Tragovi vode do Orana u Alžiru, pri čemu konačna identifikacija počinitelja dosad nije javno potvrđena. Za svoje napade, među ostalim, koristi vlastiti ransomware pod nazivom ByteToCrypt. Tvrtka TLPBLACK, specijalizirana za kibernetičke prijetnje, analizu zlonamjernog softvera i digitalnu forenziku, njegovu enkripciju opisuje kao tehnički prilično nesigurnu.
Za napad na mađarsku državnu riznicu očito uopće nije bio potreban visokorazvijen arsenal kibernetičkog oružja. Poznate ranjivosti i nemarno upravljani pristupni podaci odradili su znatan dio posla. S mađarske se strane u početku govorilo o ruskim poslužiteljima preko kojih je napad izveden. To, dakako, još nije dokaz ruskog počinitelja. ByteToBreach kasnije je sam preuzeo odgovornost za napad i objasnio da je djelovao iz financijskih razloga. Spektakularni „kibernetički napad iz Rusije” tako se zasad svodi na običnog kriminalca.
Već je napao rumunjski digitalni katastar
Ime ByteToBreach europskim je državnim institucijama već odavno bilo poznato. Rumunjska Agencija za katastar i zemljišne knjige ANCPI 14. srpnja postala je metom teškog kibernetičkog napada. Nacionalni sustav e-Terra prestao je raditi, javni bilježnici nisu mogli dohvaćati izvatke iz zemljišnih knjiga, promet nekretninama bio je usporen, a nove hipoteke neko vrijeme nisu se mogle upisivati. Institucija se otprilike tjedan dana borila s posljedicama. O točnom opsegu uništenih podataka postoje različiti navodi. ByteToBreach tvrdio je da je izbrisao baze podataka i sigurnosne kopije nakon što je pokušaj iznude propao.
Rumunjska institucija kasnije je to demantirala i objasnila da ključne tehničke i pravne baze podataka nisu bile uništene. Međutim, nema dvojbe da su središnji sustavi prestali raditi i da važne aplikacije nisu bile dostupne. Zanimljive su bile i informacije o internoj informatičkoj infrastrukturi institucije koje je analizirala KELA. U njima su se pojavili Windows XP, Windows 7 i Windows Server 2003. U objavljenim podacima pronađene su i grupne politike s nazivima poput „DISABLE WINDOWS FIREWALL”. Windows XP u državnoj instituciji za zemljišne knjige 2026. godine – ni u tom se slučaju ne treba čuditi uspješnim hakerskim napadima.
Prekid rada imao je neposredne posljedice koje su sezale daleko izvan same institucije. Rumunjsko tržište nekretnina naime ovisi o tim registrima. Ako oni prestanu raditi, javni bilježnici ne mogu provjeravati vlasničke odnose, a banke ne mogu uredno provoditi nove hipotekarne postupke. Nekoliko kompromitiranih poslužitelja tako je moglo zaustaviti kupnju i prodaju nekretnina u cijeloj zemlji.
Francuska: ukradeni podaci o 1,2 milijuna bankovnih računa
I Francuska je ove godine ponudila prikladan primjer. U veljači je objavljeno da su napadači dobili pristup sustavu FICOBA, nacionalnom registru francuskih bankovnih računa. Iskorišteni su pristupni podaci službenika državne institucije koji je bio ovlašten za odgovarajuće upite. Pogođene su informacije o približno 1,2 milijuna bankovnih računa. Među njima su se, između ostalog, nalazili brojevi računa, odnosno IBAN-i, imena, adrese te djelomično i porezni identifikacijski brojevi. Stanja na računima i transakcije, prema navodima nadležnih tijela, nisu bili dostupni. Za takve napade nitko ne mora pojedinačno hakirati milijune građana. Dovoljan može biti jedan jedini privilegirani pristup državnoj instituciji.
Tek je 4. kolovoza švicarska savezna uprava također izvijestila o napadu na SharePointove sustave Saveznog ureda za informatiku i telekomunikacije. Kompromitirano je oko 200 korisničkih i tehničkih računa. Ondje je situacija bila drukčija nego u Mađarskoj: iskorištene ranjivosti bile su otkrivene tek kratko prije toga, a nadležna je institucija već radila na instaliranju ažuriranja. Upravo zbog toga mađarska gotovo devet godina stara otvorena ranjivost u WebLogicu još više upada u oči.
Bruxelles u međuvremenu traži digitalni identitet
Paralelno s tim nastavlja se izgradnja European Digital Identity Walleta. Do kraja 2026. države članice EU-a trebale bi staviti na raspolaganje najmanje jedan certificirani digitalni novčanik. Građani bi se njime trebali moći identificirati pred državnim tijelima i poduzećima, pohranjivati dokumente, dokazivati osobne karakteristike i obavljati pravno obvezujuće elektroničke potpise. Osobna iskaznica, vozačka dozvola, obrazovne potvrde, potvrde o dobi i drugi digitalni dokumenti trebali bi se moći koristiti putem njega. Što je više usluga povezano, to postaju važniji državni registri, izdavatelji, certifikati i sustavi za autentifikaciju koji se nalaze u pozadini.
Već smo više puta, između ostalog i ovdje, izvještavali o EUDI-Walletu i mogućim posljedicama. U veljači se u Njemačkoj čak raspravljalo o tome da se provjera dobi za društvene mreže provodi putem digitalnog identiteta roditelja. Područje primjene time raste daleko izvan okvira digitalne osobne iskaznice. Europska agencija za kibernetičku sigurnost ENISA ove je godine još radila na okviru za certificiranje novčanika. Krajem ožujka objavljen je nacrt, a u travnju je trajalo javno savjetovanje. Istodobno postoji politički rok: do kraja 2026. države članice trebale bi staviti svoje novčanike na raspolaganje. Ako ovo ne bude jedna brzopotezna i površno odrađena akcija…
Što je država digitalnija, njezin je neuspjeh skuplji
Proteklih nekoliko tjedana prilično zorno pokazuju što se može dogoditi pri uspješnom napadu na državne sustave. U Rumunjskoj je promet nekretninama zastao jer je digitalni katastar prestao raditi. U Francuskoj je napadač preko privilegiranog pristupa državnoj instituciji došao do podataka o 1,2 milijuna bankovnih računa. U Mađarskoj je bila dovoljna ranjivost poznata još od 2017. godine da se napadač probije sve do kontrolera domene, korisničkih računa, virtualnih strojeva, sustava za pohranu podataka i sigurnosnih kopija.
Upravo te državne uprave sada grade sve veće digitalne ekosustave. Sve više registara međusobno se povezuje, sve više postupaka odvija se isključivo elektroničkim putem, a sve više ovlasti vezano je uz digitalne identitete. To funkcionira izvrsno – sve dok se ne pojavi netko s administratorskim pravima ili neki poslužitelj devet godina čeka na svoju zakrpu. Kriptografija, certifikati i sigurnosni standardi mogu učiniti mnogo. Međutim, protiv institucija koje poznata kritična sigurnosna ažuriranja ostavljaju gotovo cijelo desetljeće neinstaliranima ili administratorske lozinke pohranjuju u otvorenom obliku još nitko nije izumio odgovarajući algoritam. Za Oracleovu zakrpu devet godina očito nije bilo dovoljno. Za digitalni identitet Europa bi, međutim, trebala biti spremna do kraja 2026.
