FEJEZET 04 / KIBERTÁMADÁSOKISMERETTERJESZTÉS / HU

Fordulópontok 1988–2025

Támadások, amelyek után már máshogy néztünk a hálózatokra.

A lista nem a technikai bravúrt ünnepli. Azt mutatja meg, hogyan lett egy kísérletből globális féreg, egy frissítésből kémkedési csatorna, egy jelszóból ellátási zavar.

01 / Olvasási kulcs

Esemény, hatás, tanulság – nem támadási recept.

A „legjelentősebb” nem mindig a legtöbb ellopott rekordot vagy legnagyobb becsült kárt jelenti. Azok az esetek kerültek ide, amelyek új támadási mintát tettek láthatóvá, szabályozást vagy védekezést változtattak meg, illetve társadalmi vagy fizikai működésre hatottak.

Az állami attribúció gyakran hírszerzési adatokon és több ország közös értékelésén alapul. Ahol a bizonyosság korlátozott vagy a műveletet nem ismerték el, ezt külön jelezzük. A részletes forrás minden eseménynél közvetlenül elérhető.

02 / Kronológia

Tizenhét fordulópont – hosszabb történettel és továbbolvasással.

1988

Morris-féreg

Robert Tappan Morris egy önterjedő programmal azt próbálta felmérni, mekkora lehet az akkori internet. A féreg több terjedési módot kombinált, és úgy volt megírva, hogy már fertőzött gépekre is újra felkerülhessen. Ez a védekezésnek szánt döntés hibásan elszabadult: egyes UNIX-rendszereken annyi példány indult, hogy a gépek használhatatlanná váltak.

A néhány tízezer gépből álló internet jelentős része érintett lehetett, az elhárítás pedig egyetemi és kutatói közösségeket mozgósított. Az eset nyomán jött létre a CERT/CC, Morris pedig az első, amerikai szövetségi számítógépes visszaélési törvény alapján elítélt személyek egyike lett.

Egy éles hálózaton futtatott „kísérlet” következménye nem marad a készítő ellenőrzése alatt.

Computer History Museum – teljes történet

2000

ILOVEYOU

A „LOVE-LETTER-FOR-YOU” tárgyú levél egy Visual Basic Script mellékletet rejtett. A fájlnév a Windows akkori beállításai mellett ártalmatlan szövegfájlnak tűnhetett, megnyitás után azonban felülírt fájlokat, jelszólopó komponenst töltött le, és a címjegyzék minden szereplőjének továbbküldte magát.

A féreg órák alatt országokon és vállalati levelezőrendszereken söpört végig. Szervezetek teljes levelezést állítottak le, hogy megfékezzék; az eset látványosan bizonyította, hogy az emberi kíváncsiság, a fájltípusok elrejtése és az automatikus címjegyzék-hozzáférés együtt globális kockázat.

A biztonsági architektúrának arra is fel kell készülnie, hogy egy hitelesnek tűnő üzenetet valaki megnyit.

Magyar összefoglaló

2007

Észtország elleni DDoS-hullám

Egy tallinni szovjet emlékmű áthelyezése körüli politikai válság idején észt kormányzati, banki, média- és névfeloldási szolgáltatásokat több hullámban túlterheléses támadások értek. A kampány egyszerűbb forgalmi árasztást és szervezettebb botnetes műveleteket egyaránt használt.

A nagymértékben digitalizált ország ideiglenesen külföldi forgalom korlátozására és gyors szolgáltatói együttműködésre kényszerült. A közvetlen állami irányítás nem bizonyított egyértelműen, de az esemény a NATO és az EU napirendjére emelte a kollektív kibervédelem, a nemzetközi segítség és a digitális állam ellenálló képességének kérdését.

A közigazgatás digitális függősége mellé kapacitás, tartalék és nemzetközi incidenskezelési kapcsolat kell.

NATO CCDCOE – részletes elemzés

2010

Stuxnet

A Stuxnet több, addig ismeretlen Windows-hibát és ellopott digitális tanúsítványt használt. Nem egyszerűen számítógépeket keresett: a Siemens Step7 környezetében nagyon meghatározott ipari vezérlőket azonosított, majd úgy módosította a centrifugák működését, hogy közben a kezelők felé normálisnak látszó jeleket küldött vissza.

A kártevő fizikai berendezésekben okozott kárral új korszakot jelzett az ipari kiberbiztonságban. Széles körben amerikai–izraeli műveletként írják le, de nincs teljes hivatalos elismerés. A történet megmutatta, hogy az „elszigetelt” hálózat sem feltétlenül elszigetelt, ha cserélhető adathordozó, beszállító vagy mérnöki munkaállomás köti a külvilághoz.

A kód képes fizikai folyamatot megváltoztatni, miközben a felügyeleti kép hamis nyugalmat mutat.

Magyar összefoglaló

2013

Target-adatszivárgás

A támadók egy külső, fűtési és hűtési szolgáltató ellopott hozzáférésével jutottak a Target környezetébe. Innen a belső hálózaton továbbhaladva az értékesítési pontokra telepített kártevővel fizetési kártyaadatokat gyűjtöttek, majd az adatokat köztes rendszereken keresztül vitték ki.

Az incidens mintegy 40 millió fizetési kártyát és további több tízmillió ügyféladatot érintett. A történet nem pusztán egy technikai hiba krónikája: azt mutatta meg, hogyan válik a beszállítói identitás, a hálózati szegmentáció hiánya és a figyelmen kívül hagyott riasztás együtt tömeges adatvesztéssé.

A beszállító hozzáférése a saját támadási felület része, ezért minimális jogosultság és elkülönítés kell.

U.S. Senate – Target-jelentés

2014

Sony Pictures

A Guardians of Peace néven fellépő támadók nagy mennyiségű belső adatot, e-mailt, személyes információt és még be nem mutatott filmeket szivárogtattak ki. A művelet adatlopással nem ért véget: romboló kártevő bénította meg a vállalat informatikai környezetének jelentős részét.

Az esemény összekapcsolta a kiberkémkedést, a nyilvános megszégyenítést, a kényszerítést és a működésrombolást. Az FBI Észak-Koreát nevezte meg felelősként, és a The Interview című film körüli konfliktust is a háttérhez sorolta; az attribúció technikai és politikai vitákat is kiváltott.

Egy támadás célja nemcsak pénz vagy titok lehet, hanem döntések befolyásolása és a szervezet hitelességének rombolása is.

FBI – vizsgálati összefoglaló

2015–16

Ukrán villamosenergia-hálózat

2015 decemberében támadók több ukrán áramszolgáltató hálózatába jutottak be, kezelői munkaállomásokat vettek át és alállomásokat kapcsoltak le. Telefonos túlterheléssel nehezítették az ügyfelek bejelentéseit, egyes eszközöket pedig törlőprogrammal tettek használhatatlanná. 2016-ban az Industroyer már ipari kommunikációs protokollokat közvetlenül kezelő képességet mutatott.

A kimaradások korlátozott ideig tartottak, de történelmi jelentőségük nagy: ritka, jól dokumentált példái annak, hogy kiberművelet közvetlen villamosenergia-kiesést okozott. A helyreállításban a kézi üzemeltetés és az üzemeltetők gyakorlata kulcsszerepet kapott.

Az IT- és üzemi technológia védelmét össze kell hangolni, a kézi helyreállítási képességet pedig rendszeresen gyakorolni kell.

CISA – ukrán villamosenergia-incidens

2017

WannaCry

A WannaCry zsarolóvírus az SMB protokoll EternalBlue néven ismert hibáján keresztül önállóan terjedt Windows-gépek között. A javítás már rendelkezésre állt, de sok régi vagy nehezen leállítható rendszer nem kapta meg időben. Egy kutató egy kódban talált domain regisztrálásával fékezte meg a fő hullámot.

Több mint 150 ország szervezetei érintettek voltak; a brit NHS kórházai vizsgálatokat mondtak le és betegeket irányítottak át. Az Egyesült Államok és az Egyesült Királyság Észak-Koreához kötötte a műveletet.

A javításkezelés, az eszközleltár és a hálózati szegmentáció hiánya egyetlen hibát globális működéskieséssé nagyíthat.

CISA – WannaCry és attribúció

2017

NotPetya

A NotPetya egy ukrán könyvelőszoftver, a M.E.Doc kompromittált frissítéséből indult. Több terjedési módot használt, majd a lemezek indítási és fájlrendszeradatait roncsolta. Bár váltságdíjat kért, a technikai felépítés alapján a visszaállítás nem volt valós üzleti modell: a kártevő rombolásra készült.

A regionális művelet globális vállalatokat – köztük logisztikai, gyógyszeripari és élelmiszeripari cégeket – bénított meg, a kárt több milliárd dollárra becsülték. Több kormány az orosz GRU-hoz kötötte.

Egy helyi beszállítói kompromittálás percek alatt globális ellátásilánc-kárrá válhat.

CISA – NotPetya és attribúció

2020

SolarWinds

A támadók a SolarWinds Orion szoftver kiadási folyamatába építettek hátsó ajtót. A SUNBURST kód szabályosan aláírt frissítéssel jutott el ügyfelek ezreihez, majd csak a gondosan kiválasztott célpontoknál aktiváltak további hozzáférést. A hosszú, csendes jelenlét a hagyományos riasztások elkerülésére épült.

Amerikai kormányzati intézmények és nagyvállalatok kerültek célkeresztbe. Az Egyesült Államok az orosz Külföldi Hírszerző Szolgálatnak tulajdonította a kampányt. Az eset a buildrendszerek, kódaláírás, szolgáltatói bizalom és identitásnaplózás védelmét emelte stratégiai szintre.

A megbízható frissítés is lehet támadási csatorna; a beszállítói bizalmat folyamatosan ellenőrizni kell.

CISA – SolarWinds technikai összefoglaló

2021

Colonial Pipeline

A DarkSide zsarolóprogram-csoport egy már nem használt, de még aktív távoli hozzáférési fiókon keresztül jutott be; a fiókot nem védte többtényezős hitelesítés. Az érintett üzleti informatikai rendszerek miatt az üzemeltető elővigyázatosságból leállította a vezetékrendszert.

Az Egyesült Államok keleti partjának fontos üzemanyag-ellátási útvonala napokra kiesett, ami pánikvásárlást és átmeneti hiányt okozott. Az eset jól példázta, hogy egy üzleti IT-incidens közvetetten fizikai ellátási zavart válthat ki.

A távoli hozzáférések életciklus-kezelése és a többtényezős hitelesítés alapvető üzemfolytonossági kontroll.

U.S. GAO – Colonial Pipeline áttekintés

2021

Log4Shell

A Log4j Java naplózókönyvtár JNDI-funkciójához kapcsolódó hiba távoli kódfuttatást tett lehetővé olyan esetekben, amikor támadói adat került a naplóba. A sérülékeny komponens gyakran mélyen, más termékek és szolgáltatások függőségeként rejtőzött, ezért sok szervezet nem tudta gyorsan eldönteni, érintett-e.

A nyilvánosságra kerülés után állami és bűnözői csoportok is tömegesen keresték és használták ki a javítatlan rendszereket. A javítás nem egyszeri frissítés volt: eszköz- és szoftverleltár, gyártói egyeztetés, konfiguráció és megfigyelés kellett hozzá.

Szoftver-összetevőjegyzék és függőségleltár nélkül azt sem tudjuk biztosan, hol kell javítani.

CISA – Log4Shell kihasználási hullám

2023

MOVEit

A CL0P csoport a MOVEit Transfer fájlátviteli termék korábban ismeretlen SQL-injekciós hibáját használta ki. Webshell segítségével adatokat keresett és töltött le, majd a megszerzett információval zsarolta a szervezeteket; sok áldozat közvetve, szolgáltatón vagy beszállítón keresztül érintődött.

Iskolák, egészségügyi intézmények, nyugdíjalapok, vállalatok és kormányzati szervek adatai kerültek veszélybe. A kampány megmutatta, hogy egy központi adatmozgató rendszer különösen vonzó célpont, mert eleve nagy mennyiségű érzékeny fájlhoz fér hozzá.

A koncentrált adatátviteli szolgáltatásokat kiemelt eszközként kell leltározni, naplózni és gyorsan javítani.

CISA – MOVEit és CL0P

2024

XZ Utils hátsó kapu

Egy Jia Tan néven ismert közreműködő hosszú bizalomépítés után karbantartói jogosultságot szerzett az XZ Utils projektben. A rosszindulatú módosítás a kiadási csomagok összetett buildfolyamatában rejtőzött, és bizonyos Linux-környezetekben az SSH-hitelesítési láncot célozta.

Andres Freund fejlesztő apró teljesítményeltéréseket és hibakeresési jeleket vett észre, így a hátsó ajtót még a stabil disztribúciók széles körű érintettsége előtt leleplezték. Az eset nemcsak kódbiztonsági, hanem emberi fenntarthatósági történet: egy túlterhelt nyílt forrású projekt bizalmi folyamata vált támadási felületté.

A szoftver-ellátási lánc védelméhez a karbantartók támogatása, reprodukálható build és több szereplős ellenőrzés is kell.

NKI – magyar riasztás

2024

Change Healthcare

Az ALPHV/BlackCat zsarolóprogram-csoport ellopott hitelesítő adatokkal jutott egy olyan távoli szolgáltatásba, amelyet nem védett többtényezős hitelesítés. A támadás leállította az amerikai egészségügyi tranzakciók egyik központi elszámoló szereplőjének rendszereit.

Gyógyszertárak, kórházak és rendelők hetekig küzdöttek receptek, kifizetések és biztosítói elszámolások zavarával. A későbbi hivatalos adatok szerint az adatvédelmi érintettség körülbelül 192,7 millió emberre nőtt, ami példátlan egészségügyi adatincidenssé tette.

Egy központi egészségügyi közvetítő biztonsága közvetlen betegellátási és pénzügyi stabilitási kérdés.

HHS – hivatalos kérdések és válaszok

2024–25

Salt Typhoon

A kínai állami hátterűként azonosított szereplő távközlési és internetszolgáltatói hálózatok perem- és központi eszközeiben épített ki tartós hozzáférést. A cél nem gyors rombolás volt, hanem kommunikációs metaadatok, kiválasztott személyek forgalma és egyes hatósági lehallgatási környezetek hírszerzési értékű elérése.

A kampány több ország szolgáltatóit érintette, és rámutatott a régi hálózati eszközök, a gyenge menedzsment-hozzáférések és a nehezen megfigyelhető gerinchálózati forgalom kockázatára. A helyreállítás nem pusztán jelszócserét, hanem architekturális és eszközszintű átvilágítást igényelt.

A telekommunikáció stratégiai hírszerzési célpont; a hálózati infrastruktúra identitását és konfigurációját is folyamatosan ellenőrizni kell.

CISA és szövetségesek – Salt Typhoon

2025

Bybit

Az FBI szerint Észak-Koreához kötődő TraderTraitor szereplők a Bybit kriptotőzsde egyik hidegtárcás átvezetési folyamatát manipulálták. A jóváhagyók legitimnek tűnő felületet láttak, miközben a háttérben más tranzakciós logika került aláírásra.

Körülbelül 1,5 milliárd dollárnyi virtuális eszköz került támadói ellenőrzés alá. A zsákmányt több láncon, átváltásokon és szolgáltatásokon keresztül kezdték mozgatni; a lépték az egyik legnagyobb ismert kriptoeszköz-lopássá tette az incidenst.

Nagy értékű tranzakciónál a felületbe vetett bizalom kevés: a jóváhagyóknak magát az aláírandó műveletet, az eszközöket és a teljes láncot kell ellenőrizniük.

FBI – Bybit attribúció

03 / Mintázatok

Öt visszatérő ok a nagyon különböző incidensek mögött.

Bizalom

Beszállító, szoftverfrissítés, e-mail vagy szakmai kapcsolat válik belépési ponttá.

Láthatatlanság

A szervezet nem ismeri minden eszközét, függőségét, fiókját vagy hálózati kapcsolatát.

Késleltetés

A hiba ismert, de a javítás szervezeti, kompatibilitási vagy leállási okokból elmarad.

Koncentráció

Egy központi szolgáltató vagy könyvtár kompromittálása egyszerre sok szervezetet érint.

IT–fizikai kapcsolat

A digitális működés leállása energiát, egészségügyet, logisztikát vagy pénzügyi ellátást zavar.

ELLENŐRIZHETŐ FORRÁSOK

CISA – kiberbiztonsági riasztások NKI – magyar kiberbiztonsági hírek Európai Számvevőszék – kibertörténeti áttekintés

KÖVETKEZŐ FEJEZET / 05Kik működnek az államok árnyékában?→