Kibertámadás érte a Magyar Államkincstár mezőgazdasági és vidékfejlesztési szakterületének informatikai hálózatát. Az intézmény tájékoztatása szerint az incidens következtében egyes belső számítógépeken titkosítottá váltak a fájlok, ezért a nemzeti kifizető ügynökséghez kapcsolódó elektronikus szolgáltatások egy része átmenetileg korlátozottan működhet – írja az Economx.
A Kincstár eddigi vizsgálatai alapján az ügyfelek személyes és támogatási adatai nem kerültek veszélybe, és adatvesztést sem azonosítottak. Az informatikai szakemberek a támadás észlelése után leválasztották az érintett szervereket, hogy megakadályozzák a fertőzés további terjedését.
Az eset kivizsgálásába bevonták a Nemzeti Kiberbiztonsági Intézetet, és a Magyar Államkincstár értesítette a Nemzeti Adatvédelmi és Információszabadság Hatóságot is. A helyreállítás már megkezdődött, de egyelőre nem közölték, hogy valamennyi érintett szolgáltatás mikor válik ismét teljes körűen elérhetővé.
Fontos kiemelni, hogy a támadás a jelenlegi tájékoztatás szerint a Kincstár mezőgazdasági és vidékfejlesztési szakterületét érintette. Nincs arra utaló hivatalos információ, hogy a WebKincstárban vezetett lakossági értékpapírszámlák, a nyugdíjak, a családtámogatások vagy a teljes államkincstári rendszer veszélybe került volna.
A mezőgazdasági és vidékfejlesztési informatikai hálózatot támadták meg
A kibertámadás a Magyar Államkincstár nemzeti kifizető ügynökségi feladatokat ellátó szakterületét érintette. Ez a szervezeti terület kezeli és támogatja többek között a mezőgazdasági, agrárpiaci és vidékfejlesztési támogatásokhoz kapcsolódó elektronikus ügyintézést.
A Kincstár szervezeti szabályzata külön Mezőgazdasági és Vidékfejlesztési Támogatások Informatikai Főosztályt nevesít. Ennek feladatai közé tartozik a kifizető ügynökségi folyamatokat kiszolgáló informatikai rendszerek folyamatos és zavartalan működésének biztosítása.
Ezeket a felületeket gazdálkodók, vállalkozások, tanácsadók és meghatalmazottak használhatják támogatási kérelmek benyújtására, dokumentumok feltöltésére, hiánypótlásra vagy az ügyek állapotának ellenőrzésére.
A támadás ezért elsősorban az agrár- és vidékfejlesztési ügyintézésben okozhat fennakadást. Az érintettség pontos köre azonban csak a Kincstár további tájékoztatásából derülhet ki.
Titkosítottá váltak fájlok egyes belső gépeken
A közlemény szerint egyes belső felhasználók és munkatársak számítógépein tárolt fájlok titkosítottá váltak.
Ez a jelenség gyakran zsarolóvírusos, angolul ransomware-támadásra utal. Ilyenkor a kártékony program hozzáférhetetlenné teszi a számítógépen vagy a hálózati meghajtón található állományokat, majd a támadók váltságdíjat követelhetnek a visszaállításukért.
A Magyar Államkincstár nyilvánosságra hozott tájékoztatásában ugyanakkor a támadás pontos technikai típusát, az esetleges váltságdíjkövetelést és az elkövetői csoport nevét nem részletezték.
Ezért egyelőre csak annyi állítható biztosan, hogy bizonyos belső fájlok titkosítva lettek, a fertőzött rendszereket pedig elkülönítették.
A Nemzeti Kiberbiztonsági Intézet korábbi tájékoztatásai szerint a korszerű kibertámadások rendkívül gyorsan terjedhetnek a vállalati hálózatokon. Egy sikeres hozzáférés után akár perceken belül rosszindulatú programokat telepíthetnek és további eszközöket kompromittálhatnak.
Az érintett szervereket azonnal leválasztották
Az incidens észlelése után az informatikai szakemberek leválasztották a fertőzött szervereket a hálózatról.
Ez az egyik legfontosabb első lépés egy kibertámadás kezelésénél. A rendszerek elkülönítésével megakadályozható, hogy a kártékony kód további számítógépekre, szerverekre vagy adatbázisokra terjedjen át.
Az érintett gépeket ezt követően általában digitális kriminalisztikai vizsgálatnak vetik alá. A szakemberek megpróbálják feltárni, hogyan jutottak be a támadók, milyen jogosultságokat szereztek, milyen programokat futtattak, és történt-e adatmásolás vagy más illetéktelen művelet.
A rendszereket nem feltétlenül lehet azonnal visszakapcsolni. Előbb ellenőrizni kell, hogy a támadók nem hagytak-e hátra újabb hozzáférési pontokat, kártékony programokat vagy rejtett felhasználói fiókokat.
A gyors visszaállítás fontos, de egy állami informatikai rendszernél a biztonság elsőbbséget élvez. Egy túl korán újraindított, nem megfelelően megtisztított rendszer újabb fertőzést okozhatna.
A Kincstár szerint az ügyféladatok nem kerültek veszélybe
A Magyar Államkincstár közlése alapján az eddig elvégzett vizsgálatok nem mutatták ki, hogy az ügyféladatokat érintette volna a támadás.
Az intézmény azt is közölte, hogy jelenlegi információi szerint adatvesztés nem történt.
Ez fontos megnyugtató körülmény, ugyanakkor egy ilyen incidens teljes körű kivizsgálása hosszabb ideig tarthat. Az informatikai szakembereknek a hálózati naplókat, a hozzáférési adatokat, az érintett eszközöket és az esetleges külső adatforgalmat is elemezniük kell.
Az „ügyféladatokat nem érintette” megállapítás azt jelenti, hogy a Kincstár jelenlegi vizsgálati eredményei nem mutatnak adatlopásra vagy illetéktelen hozzáférésre utaló jelet. Ez azonban nem jelenti azt, hogy a vizsgálatot lezárták.
Ha később olyan új információ merülne fel, amely személyes adatok kiszivárgását igazolja, az intézménynek további adatvédelmi és ügyféltájékoztatási kötelezettségei keletkezhetnének.
Mit jelenthet ez a gazdálkodóknak?
A támadás miatt egyes mezőgazdasági és vidékfejlesztési elektronikus szolgáltatások átmenetileg lassabban, korlátozottan vagy egyáltalán nem működhetnek.
Az érintettek például nehezebben érhetnek el egyes elektronikus kérelmi, iratkezelési vagy ügykövetési felületeket. Az is előfordulhat, hogy egy dokumentum feltöltése, egy elektronikus nyilatkozat beadása vagy egy ügy állapotának lekérdezése csak később válik lehetővé.
A Kincstár több agrárszakterületi munkakörének hivatalos leírása is jelzi, hogy az informatikai rendszerek támogatják a kérelmek benyújtását, az intézkedések végrehajtását és a kapcsolódó iratok kezelését.
Ezért a kiesés nem feltétlenül jelenti a támogatási ügyek elvesztését, de átmenetileg megnehezítheti az ügyintézést.
A gazdálkodóknak különösen akkor érdemes figyelniük a hivatalos tájékoztatásokat, ha közeli beadási, hiánypótlási vagy jogorvoslati határidő érinti őket.
A már beadott kérelmek nem feltétlenül vesztek el
A belső számítógépeken található fájlok titkosítása nem jelenti automatikusan azt, hogy a központi adatbázisokban tárolt kérelmek és mellékletek elvesztek.
A központi ügyfél- és támogatási adatokat rendszerint elkülönített adatbázisokban, mentési és hozzáférés-védelmi megoldások mellett tárolják. A Kincstár közlése szerint adatvesztést nem tapasztaltak.
Ennek alapján nincs ok azt feltételezni, hogy minden korábban beadott támogatási kérelem vagy dokumentum megsemmisült volna.
Az ügyfeleknek azonban érdemes megőrizniük:
- a beadásról kapott elektronikus visszaigazolást;
- az ügyfélkapus vagy más rendszerüzeneteket;
- a beküldött dokumentumok saját példányát;
- a képernyőképeket vagy hibaüzeneteket;
- a pontos dátumot és időpontot, amikor egy sikertelen beadási kísérlet történt.
Ezek később fontosak lehetnek, ha egy határidő teljesítését vagy egy informatikai hiba fennállását igazolni kell.
Mi történhet a határidőkkel?
A Kincstár közleményéből egyelőre nem derül ki, hogy meghosszabbítják-e az incidens idejére eső támogatási vagy ügyintézési határidőket.
Az ilyen döntések nem automatikusak. Az adott támogatási program szabályaitól, az üzemzavar időtartamától és attól is függhetnek, hogy az ügyfelek számára elérhető maradt-e más beadási lehetőség.
Ha a Kincstár valamely határidőt módosít, arról külön hivatalos közleményt kell kiadnia. Az érintetteknek ezért nem szabad kizárólag abból kiindulniuk, hogy a rendszerhiba miatt minden határidő automatikusan kitolódik.
Aki közeli beadási határidővel rendelkezik, annak érdemes rendszeresen ellenőriznie a Kincstár honlapját és az agrárügyi tájékoztatási felületeket.
Ha a szolgáltatás nem működik, a hiba dokumentálása mellett az illetékes ügyfélszolgálattal vagy falugazdásszal is célszerű kapcsolatba lépni.
Nem közölték, pontosan mely szolgáltatások érintettek
A nyilvánosságra került tájékoztatás szerint „egyes elektronikus szolgáltatások” korlátozottan működnek, de nem sorolták fel részletesen valamennyi érintett felületet.
Ezért nem lehet általánosan kijelenteni, hogy a teljes agrártámogatási ügyintézés leállt.
Elképzelhető, hogy bizonyos szolgáltatások változatlanul elérhetők, más funkciók pedig biztonsági okból ideiglenesen szünetelnek. A rendszer egyes elemeit a helyreállítás során fokozatosan kapcsolhatják vissza.
Az ügyfeleknek a hivatalos felületeken közzétett üzemszüneti értesítéseket és rendszerüzeneteket kell figyelniük.
A közösségi médiában terjedő, forrás nélküli képernyőképekből vagy más ügyfelek tapasztalataiból nem lehet az egész rendszer állapotára biztos következtetést levonni.
Nem érkezett jelzés a nyugdíjak és a családtámogatások veszélyéről
A Magyar Államkincstár számos különböző feladatot lát el. Az intézmény kezeli többek között a nyugdíjak, családtámogatások, állampapírok és önkormányzati pénzügyek bizonyos folyamatait is.
A mostani incidensről szóló közlés azonban kifejezetten a mezőgazdasági és vidékfejlesztési szakterület informatikai hálózatát nevezi meg.
A jelenleg elérhető információk alapján ezért nem indokolt azt állítani, hogy:
- veszélybe kerültek volna a nyugdíjkifizetések;
- leállt volna a családi pótlék vagy más családtámogatás folyósítása;
- hozzáfértek volna a WebKincstár értékpapírszámláihoz;
- eltűntek volna az ügyfelek állampapír-megtakarításai;
- a Kincstár valamennyi informatikai rendszere működésképtelenné vált volna.
Az incidens súlyos, de a tényleges érintettséget nem szabad a hivatalos közlésen túl kiterjeszteni.
Oroszországi szerverekről indulhatott a támadás
A szakértők előzetes információi szerint a támadás oroszországi szerverekről érkezhetett.
Ez azonban önmagában nem bizonyítja, hogy az akciót az orosz állam, orosz állami szerv vagy akár orosz állampolgárok hajtották végre.
A kibertámadók gyakran használnak feltört, bérelt vagy névtelenül elérhető szervereket más országokban. Virtuális magánhálózattal, proxykkal és több közbeiktatott rendszerrel elrejthetik a valódi kiindulási pontot.
Egy oroszországi IP-cím vagy szerverhely tehát technikai nyom lehet, de az elkövető személyének és hátterének meghatározásához nem elegendő.
A pontos attribúcióhoz hosszabb technikai és hírszerzési vizsgálatra lehet szükség. Elemzik többek között a kártékony program kódját, a támadók módszereit, kommunikációs infrastruktúráját és az esetleges korábbi támadásokkal való hasonlóságokat.
Ezért egyelőre helyesebb úgy fogalmazni, hogy a támadás oroszországi szerverek felől érkezhetett, nem pedig úgy, hogy bizonyítottan „Oroszország támadta meg” a Magyar Államkincstárt.
A Nemzeti Kiberbiztonsági Intézet is részt vesz a vizsgálatban
A Magyar Államkincstár a Nemzeti Kiberbiztonsági Intézet szakembereit is bevonta az incidens kezelésébe.
Az NKI feladatai közé tartozik a magyar állami és más kiemelt informatikai rendszereket érintő kiberbiztonsági események vizsgálata, az incidenskezelés támogatása és a további támadások megelőzését szolgáló szakmai intézkedések kidolgozása.
A vizsgálat során fel kell tárni:
- a támadás belépési pontját;
- a fertőzés pontos időpontját;
- az érintett számítógépek és szerverek körét;
- az alkalmazott kártékony programot;
- az esetleges adatmásolást;
- a támadók hálózaton belüli mozgását;
- a még meglévő biztonsági kockázatokat.
A helyreállítás csak akkor tekinthető befejezettnek, ha a rendszerek működése mellett azok biztonsága is megfelelően ellenőrzött.
A NAIH-t is értesítették
A Kincstár az incidensről értesítette a Nemzeti Adatvédelmi és Információszabadság Hatóságot.
Ez nem jelenti automatikusan azt, hogy bizonyított személyesadat-szivárgás történt. Adatvédelmi incidens gyanúja vagy kockázata esetén az adatkezelőknek szigorú bejelentési és dokumentációs kötelezettségeik lehetnek.
A hatósági értesítés célja, hogy a NAIH megvizsgálhassa, megfelelően kezelték-e az esetet, és szükség van-e további adatvédelmi intézkedésekre.
Amennyiben a vizsgálat később azt állapítaná meg, hogy az érintettek személyes adataihoz illetéktelenek hozzáfértek, az ügyfeleket is külön értesíteni kellhet.
A mostani tájékoztatás szerint azonban erre utaló bizonyítékot nem találtak.
Nem szabad összekeverni a támadást a korábbi adathalász levelekkel
A Magyar Államkincstár nevével korábban is visszaéltek csalók. Hamis e-mailekben például azt állították, hogy az ügyfél számlakivonata elkészült, majd egy rosszindulatú programot tartalmazó letöltési linkre próbálták rávenni a címzettet.
A fogyasztóvédelmi hatóság februárban arra figyelmeztetett, hogy a Kincstár számlakivonatot nem e-mailben küldött letöltési linken keresztül továbbít, és telefonon, SMS-ben vagy e-mailben sem kér bizalmas belépési adatokat.
A mostani esemény azonban a rendelkezésre álló közlés szerint nem egy egyszerű ügyfél-adathalász kampány, hanem a Kincstár egyik belső informatikai hálózatát érintő támadás.
A két ügy ettől függetlenül növelheti annak veszélyét, hogy csalók kihasználják a bizonytalanságot, és hamis „helyreállítási”, „adatellenőrzési” vagy „új belépési” üzeneteket küldenek az ügyfeleknek.
Csalók is visszaélhetnek a kibertámadás hírével
Kibertámadások után gyakran jelennek meg olyan adathalász levelek és SMS-ek, amelyek az incidensre hivatkozva próbálják megszerezni az ügyfelek jelszavait vagy banki adatait.
A csalók például azt állíthatják, hogy:
- a támadás miatt újra kell regisztrálni;
- az ügyfél fiókját zárolták;
- a beadott támogatási kérelmet újra fel kell tölteni;
- egy linken keresztül kell ellenőrizni az adatokat;
- a kifizetés csak bankkártyaadatok megadásával indítható újra.
Az ilyen üzeneteket rendkívüli óvatossággal kell kezelni.
A Magyar Államkincstár és más pénzügyi intézmények nem kérnek jelszót, teljes belépési azonosítót vagy bankkártyaadatot e-mailben, SMS-ben vagy telefonon. Az MNB júliusi figyelmeztetése szintén hangsúlyozza, hogy a Kincstár és a pénzügyi intézmények ilyen csatornákon nem kérik el az ügyfelek bizalmas azonosítóit.
Mire figyeljenek most az ügyfelek?
A kibertámadás idején különösen fontos, hogy az ügyfelek csak hivatalos webcímeken keresztül lépjenek be a kincstári és agrárügyi rendszerekbe.
Nem szabad e-mailben vagy SMS-ben kapott ismeretlen linkre kattintani, még akkor sem, ha az üzenet sürgős határidőre, adatvesztésre vagy rendszerhelyreállításra hivatkozik.
Érdemes ellenőrizni:
- a feladó pontos e-mail-címét;
- a weboldal címét a böngészőben;
- a helyesírási és nyelvi hibákat;
- a sürgető vagy fenyegető megfogalmazást;
- a jelszó, banki adat vagy programtelepítés iránti kérést.
Ismeretlen fájlt, különösen végrehajtható programot nem szabad letölteni és elindítani.
Ha valaki már megadta a belépési adatait egy gyanús oldalon, mielőbb meg kell változtatnia a jelszavát, és értesítenie kell az illetékes ügyfélszolgálatot.
A jelszóváltás jelenleg nem kötelező minden ügyfél számára
Mivel a Kincstár szerint az ügyféladatokat nem érintette a támadás, jelenleg nincs nyilvános, általános felszólítás arra, hogy minden államkincstári ügyfél azonnal változtassa meg a jelszavát.
Ennek ellenére jelszóváltás indokolt lehet annál, aki:
- ugyanazt a jelszót több szolgáltatásban is használja;
- gyanús levélben kapott linkre kattintott;
- nem hivatalos oldalon adta meg az adatait;
- ismeretlen belépési értesítést kapott;
- hosszú ideje nem változtatott jelszót.
A különböző online szolgáltatásokhoz mindig eltérő, erős jelszót érdemes használni. Ahol lehetséges, a kétlépcsős azonosítást is célszerű bekapcsolni.
Mit tegyen, aki most nem tud ügyet intézni?
Aki a kibertámadás miatt nem tudja elérni valamelyik agrárügyi szolgáltatást, elsőként ellenőrizze a Kincstár hivatalos tájékoztatásait és az adott felületen megjelenő üzemszüneti üzenetet.
A sikertelen kísérletet érdemes dokumentálni. Készíthető képernyőkép a hibaüzenetről úgy, hogy azon látszódjon a dátum és az időpont.
Fontos elmenteni az ügyhöz kapcsolódó iratokat és a korábbi elektronikus visszaigazolásokat is.
Közeli határidő esetén célszerű az ügyfélszolgálattal, a falugazdásszal, az agrárkamara illetékes munkatársával vagy a támogatási ügyben eljáró tanácsadóval egyeztetni.
Nem ajánlott ugyanazt a kérelmet sokszor egymás után elküldeni, mert a rendszer helyreállítása után többszörös beadás vagy feldolgozási zavar keletkezhet.
Mennyi ideig tarthat a helyreállítás?
A Magyar Államkincstár egyelőre nem közölt pontos időpontot a szolgáltatások teljes körű helyreállítására.
Egy ilyen esemény után az informatikai rendszerek visszaállítása néhány órától akár több napig is tarthat. Ez függ az érintett eszközök számától, a titkosítás mértékétől, a mentések állapotától és attól, hogy a támadók milyen mélyen jutottak be a hálózatba.
A helyreállítás során a szakemberek biztonsági mentésekből tölthetik vissza az adatokat, újratelepíthetik az érintett számítógépeket, frissíthetik a rendszereket, megváltoztathatják a hozzáférési kulcsokat és szigoríthatják a hálózati védelmet.
Az egyes szolgáltatásokat fokozatosan kapcsolhatják vissza. Emiatt előfordulhat, hogy egy felület már elérhető, de bizonyos funkciói még lassan vagy korlátozottan működnek.
Nem érdemes pánikba esni, de a hivatalos közleményeket figyelni kell
A támadás jelentős informatikai biztonsági esemény, amely komoly vizsgálatot és helyreállítási munkát igényel.
A jelenlegi tájékoztatás alapján azonban nincs bizonyíték arra, hogy az ügyféladatokat ellopták volna, vagy hogy a Magyar Államkincstár teljes működése leállt volna.
A problémát nem szabad elbagatellizálni, de nem indokolt olyan állításokat terjeszteni, amelyek szerint eltűntek a támogatási pénzek, veszélybe kerültek az állampapírok vagy leálltak a nyugdíjkifizetések.
A legfontosabb most az, hogy az agrárügyi ügyfelek:
- figyeljék a Kincstár hivatalos közleményeit;
- őrizzék meg a beadást igazoló dokumentumaikat;
- dokumentálják az esetleges rendszerhibákat;
- ne kattintsanak ismeretlen linkekre;
- közeli határidő esetén kérjenek hivatalos tájékoztatást.
A támadás eredete még nem tekinthető bizonyítottnak
A hírek szerint a támadáshoz használt szerverek Oroszországban lehettek, de ez egyelőre nem jelent bizonyított állami vagy politikai hátteret.
A kibertérben a technikai eredet és a valódi elkövető személye gyakran eltér. A támadók tudatosan más országok infrastruktúráját használhatják fel, hogy félrevezessék a vizsgálókat.
A pontos felelősség megállapításáig ezért kerülni kell a megalapozatlan vádakat.
Az NKI és a Kincstár közös vizsgálata várhatóan arra is választ keres, hogy egyszerű pénzügyi célú zsarolóvírusos támadásról, célzott adatgyűjtésről vagy más típusú műveletről volt-e szó.
A legfontosabb tudnivalók röviden
A Magyar Államkincstár mezőgazdasági és vidékfejlesztési szakterületének informatikai hálózatát kibertámadás érte.
Egyes belső számítógépeken fájlok titkosítottá váltak, ezért több agrárügyi elektronikus szolgáltatás átmenetileg korlátozottan működhet.
A fertőzött szervereket leválasztották, a helyreállítás és a vizsgálat pedig a Nemzeti Kiberbiztonsági Intézet bevonásával zajlik.
A Kincstár jelenlegi tájékoztatása szerint adatvesztés nem történt, és az ügyfelek adatai sem kerültek veszélybe. A NAIH-t értesítették az incidensről.
A támadás oroszországi szerverek felől érkezhetett, de ez önmagában nem bizonyítja az elkövetők személyét vagy állami hátterét.
A mezőgazdasági ügyfeleknek a hivatalos tájékoztatásokat kell követniük, különösen akkor, ha közeli beadási vagy hiánypótlási határidő érinti őket.
