Vdor v državno upravo: ogrožena gesla lahko odprejo vrata tudi v zasebne račune

Po kibernetskem vdoru v državni informacijski sistem morajo upravljavci nemudoma ponastaviti gesla prizadetih računov. Napadalec je pridobil več kot 15.000 uporabniških zapisov. Posledice bi lahko segle tudi zunaj službenega okolja, če so uporabniki enaka ali podobna gesla uporabljali še drugje.

Opozorilo po vdoru v informacijski sistem državne uprave zadeva tudi zasebne račune prizadetih uporabnikov. Kdor je službeno geslo uporabljal še za druge storitve, ga mora zamenjati tudi tam, priporoča Urad vlade za informacijsko varnost (URSIV). Urad je incident razkril v obvestilu, objavljenem 1. novembra.

Napadalec je do podatkov prišel prek spletnega strežnika enega od državnih organov. Iz sistema Domino je pridobil več kot 15.000 uporabniških zapisov, med katerimi je bilo 7.216 takšnih z zgoščenimi vrednostmi gesel. Prizadeti strežnik so po odkritju napada izločili iz omrežja.

Zakaj so ogrožena tudi matematično obdelana gesla

Zgoščena vrednost ni geslo v neposredno berljivi obliki. Toda kot pojasnjuje URSIV, je iz takšnega zapisa v določenih primerih mogoče ugotoviti izvirno geslo. Zato urad od upravljavcev zahteva takojšnjo ponastavitev gesel vseh prizadetih računov. Uporabniki naj sledijo navodilom svojih pristojnih služb.

Varnostna težava se lahko razširi, kadar isto geslo varuje več računov. Prav zato poziv k menjavi vključuje tudi druge službene in zasebne storitve, v katerih so prizadeti uporabljali enaka ali podobna gesla.

Dodatna potrditev prijave oteži zlorabo

Ob menjavi gesel URSIV priporoča še vključitev večfaktorskega preverjanja povsod, kjer jo storitve omogočajo. Gre za dodatno preverjanje identitete: uporabnik ob geslu potrebuje denimo enkratno kodo iz aplikacije ali potrditev prijave na telefonu. Urad je na pomen takšne zaščite opozarjal že 19. oktobra, v okviru meseca kibernetske varnosti.

Podobno pojasnjuje Agencija za komunikacijska omrežja in storitve na svojem portalu MiPi. Geslo je le eden od dokazov, da v račun vstopa njegov upravičeni imetnik. Dodatni dejavnik, denimo telefon ali varnostni žeton, postavi napadalcu novo oviro in zmanjša možnost zlorabe pridobljenega gesla.

Kateri organ je bil tarča, še ni razkrito

V uradnem obvestilu ni navedeno, pri katerem državnem organu je prišlo do vdora, prav tako ni pojasnjeno, kako je napadalec prevzel nadzor nad spletnim strežnikom. Analizo nadaljuje vladni odzivni center SIGOV-CERT skupaj s pristojnimi tehničnimi službami. Te izvajajo tudi ukrepe za zaščito računov in omejevanje posledic. URSIV bo nove ugotovitve in morebitna dodatna navodila objavljal po uradnih kanalih.