Cyberataki na sklepy to nie przypadek. Tak działała Rosja w przeszłości

Na początku listopada cyberprzestępcy zaatakowali systemy chłodnicze francuskich sklepów, doprowadzając do rozmrożenia przechowywanej w nich żywności. W poniedziałek doszło do ataków w supermarketach w Szwecji, Francji, Belgii, Luksemburgu, Holandii, Irlandii, Finlandii, Estonii i we Włoszech. W Polsce CERT informował o nieudanej próbie ataku, natomiast w Danii doszło do próby ataku na magazyny żywności.

W przypadku supermarketów atakujący wykorzystali słabości w zabezpieczeniach systemów chłodniczych. Urządzenia sterujące temperaturą są coraz częściej połączone z internetem, co umożliwia ich zdalną obsługę, monitorowanie i serwisowanie. Okazało się, że wystarczy uzyskać dostęp do panelu zarządzania, aby zmienić parametry pracy urządzenia. Można wyłączyć chłodzenie, uruchomić rozmrażanie albo zmodyfikować ustawienia temperatury.

Duńska telewizja TV 2 poinformowała, że prorosyjskie grupy hakerskie Z-Pentest i NoName057(16) zamieściły na Telegramie komunikat, w którym twierdziły, że zdobyły dane logowania klientów Danfoss, producenta systemów sterowania urządzeniami chłodniczymi i to one odpowiadają za ataki.

Jednak Duńska Agencja ds. Bezpieczeństwa Społecznego i Gotowości poinformowała, że na obecnym etapie nie można potwierdzić, czy obie grupy rzeczywiście uczestniczyły w ataku, choć faktycznie trop może prowadzić do Rosji. Od lat Kreml tworzy grupy hakerów, które mają przeprowadzać podobne akcje.

Cyberwojna

Jedną z najlepiej znanych jednostek jest Sandworm, znana w dokumentach brytyjskich i amerykańskich służb jako APT44. Wedle zachodnich wywiadów ma to być jednostka 74455 wywiadu wojskowego GRU.

Sandworm odpowiada za część najbardziej destrukcyjnych operacji cybernetycznych ostatnich lat. Atakowała głównie w Ukrainie, jednak działała także przeciwko krajom bałtyckim. Jej celem było niszczenie danych, zakłócanie pracy przedsiębiorstw i ingerowanie w działanie infrastruktury.

W grudniu 2015 r. rosyjscy hakerzy doprowadzili do przerw w dostawach energii elektrycznej na Ukrainie. Atak objął trzy przedsiębiorstwa energetyczne, a bez prądu było ok. 230 tys. odbiorców. Nim Rosjanie się włamali, przeprowadzili rozpoznanie sieci, przejęli konta pracowników i w ten sposób uzyskali dostęp do systemów sterowania. Atakujący potrafili nie tylko wyłączyć zasilanie, ale również utrudnić operatorom przywrócenie dostaw prądu.

Rok później wykorzystano złośliwe oprogramowanie Industroyer, przygotowane do komunikowania się z przemysłowymi protokołami stosowanymi w sieciach elektroenergetycznych. W grudniu 2016 r. doprowadziło ono do przerwy w dostawach energii elektrycznej w części Kijowa.

Oprogramowanie pozwalało ingerować bezpośrednio w urządzenia odpowiedzialne za funkcjonowanie sieci. To właśnie ten rodzaj zdolności jest istotny w kontekście ataków na chłodnie.

Rosyjskie zespoły mają doświadczenie w przygotowywaniu operacji, których skutki pojawiają się poza siecią informatyczną.

W 2022 r., tuż przed rozpoczęciem rosyjskiej inwazji na Ukrainę, wykryto kolejną próbę ataku na ukraińską energetykę z wykorzystaniem Industroyera2. Operację powstrzymano, ale sam fakt jej przygotowania pokazał, że rosyjskie służby nie porzuciły prób ingerowania w działanie infrastruktury przemysłowej.

Nie tylko Sandworm

Nie tylko GRU, ale też Federalna Służba Bezpieczeństwa i Służba Wywiadu Zagranicznego dysponują zespołami prowadzącymi rozpoznanie, kradzież danych, operacje i działania przeciwko infrastrukturze. Służby współpracują także z nieformalnymi grupami hakerów, które są zatrudniane do konkretnych zadań.

Współpraca może przyjmować różne formy. Służby mogą tolerować działalność określonych grup, korzystać z ich infrastruktury, przekazywać im informacje albo zlecać konkretne operacje. Z punktu widzenia rosyjskich służb współpraca z grupami przestępczymi ma istotną zaletę. Pozwala bowiem zwiększyć liczbę dostępnych zespołów, rozproszyć odpowiedzialność i utrudnić przypisanie aktu terroru konkretnemu podmiotowi. Dzięki temu trudniej udowodnić, że za atakiem stoją rosyjskie służby.

Cyberwojna z Zachodem

Moskwa od lat wykorzystuje cyberprzestrzeń do prowadzenia rozpoznania, pozyskiwania informacji, zakłócania działalności przedsiębiorstw i wywierania wpływu na państwa, które wspierają Ukrainę. I nie chodzi tu tylko o farmy trolli.

W kwietniu 2015 r. rosyjscy hakerzy włamali się do sieci niemieckiego Bundestagu, komputerów parlamentarzystów, a także na pocztę elektroniczną kanclerz Angeli Merkel. Atak doprowadził do kradzieży znacznej ilości danych i poważnych problemów z funkcjonowaniem parlamentarnych systemów informatycznych.

Niemieckie władze przypisały operację rosyjskiemu wywiadowi wojskowemu GRU, a konkretnie grupie APT28. W 2020 r. Wielka Brytania nałożyła sankcje na dwóch oficerów GRU oraz jednostkę 26165, uznając ich odpowiedzialność za atak.

Rok później Rosjanie włamali się do systemów Partii Demokratycznej w Stanach Zjednoczonych. Hakerzy przejęli dokumenty i korespondencję, a następnie publikowali je w internecie, między innymi za pośrednictwem WikiLeaks.

Amerykańskie służby przypisały działania rosyjskiemu GRU. Operacja obejmowała również próby ingerencji w infrastrukturę wyborczą poszczególnych stanów. Według raportu senackiej komisji wywiadu rosyjskie podmioty próbowały uzyskać dostęp do systemów wyborczych w co najmniej 18 stanach, a w kilku przypadkach skutecznie włamały się do baz danych rejestracji wyborców.

W czerwcu 2017 r. GRU przeprowadziło atak z wykorzystaniem złośliwego oprogramowania NotPetya. Początkowo uderzenie było wymierzone w Ukrainę, ale szybko rozprzestrzeniło się na przedsiębiorstwa w Europie i Stanach Zjednoczonych. Zainfekowane komputery traciły dostęp do danych, a część systemów nie nadawała się do dalszego użytkowania. Wśród poszkodowanych znalazły się między innymi amerykańska firma farmaceutyczna, przedsiębiorstwo logistyczne FedEx/TNT oraz placówki medyczne.

W kolejnych latach Rosjanie prowadzili operację przeciwko sztabowi Emmanuela Macrona podczas wyborów w 2017 r. W 2020 r. ujawniono jedną z największych operacji szpiegowskich w historii amerykańskiej administracji. Rosyjscy hakerzy włamali się do systemów firmy SolarWinds, producenta oprogramowania do zarządzania sieciami komputerowymi.

Rosja już wielokrotnie udowodniła, że potrafi wykorzystywać cyberprzestrzeń do prowadzenia działań przeciwko Zachodowi. Nie ma więc powodu, aby zakładać, że w przypadku infrastruktury handlowej jej możliwości są mniejsze. W sumie od rozpoczęcia działań przeciwko Ukrainie w 2014 r. Rosja przeprowadziła przynajmniej tuzin dużych operacji cybernetycznych wymierzonych w Ukrainę i państwa Zachodu.