Ataki DDoS na norweską infrastrukturę cyfrową

Norwegia doznała w ostatnim czasie serii silnych ataków typu odmowa usługi, które uderzyły w sektor publiczny oraz krajową infrastrukturę cyfrową. Wśród dotkniętych incydentem usług znajdują się systemy identyfikacji, platformy zdrowia oraz usługi administracyjne. Władze zapewniają, że sprawcy nie uzyskali dostępu do wewnętrznych systemów, a żadne wrażliwe dane nie zostały skradzione. Eksperci potwierdzają, że miały to być czyste ataki przeciążeniowe, a nie włamania mające na celu kradzież informacji.

Mechanizm działania ataku typu odmowa usługi polega na zalaniu usługi fałszywym ruchem sieciowym z tysięcy maszyn, co prowadzi do jej zawieszenia. W większości przypadków taki incydent jest stosunkowo prosty i nie niesie ze sobą bezpośredniego zagrożenia dla danych. Usługa staje się niedostępna przez ograniczony czas, zwykle od kilku godzin do kilku dni. Właśnie dlatego łatwo jest zbagatelizować takie zdarzenie, traktując je jako zwykłą usterkę techniczną.

W niniejszej sytuacji chodzi jednak o kluczowe systemy państwowe. Platforma służąca do obsługi informacji zdrowotnych oraz system stanowiący bramę wejściową do norweskiego sektora cyfrowego zostały tymczasowo wyłączone. Gdy taka infrastruktura przestaje działać, problem przestaje być wyłącznie techniczny. Atak na system identyfikacji spowodował okresowe zakłócenia w systemie opłat drogowych, co doprowadziło do powstania kolejek ciężarówek na granicy. Cyfrowe zakłócenie miało w tym przypadku namacalne konsekwencje fizyczne.

Celem takich ataków jest rzadko trwałe zniszczenie infrastruktury. Głównym zamierzeniem jest wywołanie chaosu, niepewności oraz utraty zaufania do usług publicznych. Zaskakującym aspektem jest to, że atakujący często wykorzystują do swoich działań urządzenia należące do zwykłych obywateli. Słabo zabezpieczone urządzenia inteligentnego domu, takie jak telewizory, routery, lodówki czy kamery, są przejmowane i używane do atakowania serwerów. W ten sposób w naszych domach powstają kolejne ogniwa botnetów, które mogą zostać wykorzystane w przyszłych atakach na kraj.

Rozwiązanie tego problemu nie leży wyłącznie w kompetencjach działów informatycznych. Odpowiedzialność za bezpieczeństwo spoczywa na najwyższym kierownictwie organizacji. Obserwuje się jednak tendencję do marginalizowania kwestii bezpieczeństwa podczas spotkań zarządów. Ekspertyzy techniczne bywają niedoceniane, a niepokojące fakty nie są przedstawiane decydentom. W wielu firmach działy bezpieczeństwa są likwidowane, a osoby odpowiedzialne za ten obszar nie mają realnych uprawnień do podejmowania decyzji.

Bezpieczeństwo cybernetyczne jest obecnie ryzykiem biznesowym porównywalnym z ryzykiem finansowym czy operacyjnym. Wymaga to nadania odpowiednich uprawnień ekspertom technicznym i zapewnienia im miejsca przy stole decyzyjnym. Ataki z ostatnich tygodni były przypomnieniem, że kolejne incydenty są nieuniknione. Kluczowym pytaniem pozostaje, czy zarządy i rady nadzorcze potraktowały swoją odpowiedzialność poważnie, zanim nastąpi kolejny atak.