Ukraiński system energetyczny jako jeden z pierwszych doświadczył kilka lat temu ataków cybernetycznych na znaczną skalę. Od tego momentu zostały wdrożone działania mające na celu poprawę bezpieczeństwa, jednak nie oznacza to, że wszystkie problemy zostały już rozwiązane – dr Dariusz Materniak, współpracownik BiznesAlert.pl.
Ataki i śledztwo międzynarodowe
Do pierwszego poważnego ataku wymierzonego w infrastrukturę zapewniającą dostawy energii elektrycznej doszło 23 grudnia 2015 roku w zachodniej części Ukrainy. W jego wyniku przez kilka godzin dostaw energii elektrycznej była pozbawiona blisko połowa z 1,5 miliona mieszkańców obwodu iwanofrankiwskiego. Powodem problemów było złośliwe oprogramowanie pod nazwą „BlackEnergy”, które znalazło się w systemie informatycznym za pośrednictwem wiadomości poczty elektronicznej, otwartą przez nieświadomego zagrożenia pracownika producenta i dostawcy energii, firmy Prykarpattyaoblenergo. Efektem zainstalowania oprogramowania było wykasowanie danych z części twardych dysków i tym samym uniemożliwienie pracy systemów dostarczających energię elektryczną. Niecały rok później, 18 grudnia 2016 roku podobne zdarzenie zarejestrowano w Kijowie. Wówczas celem ataku stał się system przesyłający energię do miasta, wobec czego na kilka godzin ograniczenia w dostawach objęły północną część ukraińskiej stolicy.
Oprogramowanie zidentyfikowane jako odpowiedzialne za ataki na Ukrainie zostało zarejestrowane także w innych krajach (w tym również w Polsce), ale także w USA (gdzie również wykorzystano je do ataków na sieć energetyczną, choć miało to miejsce ponad rok wcześniej), wobec czego w śledztwo po wspomnianych atakach zostały włączone także amerykańskie służby odpowiedzialne za bezpieczeństwo cybernetyczne. Odpowiedzialnością za atak obarczono Federację Rosyjską, wskazując przy tym na grupę hakerską powiązaną z rosyjskimi władzami. W 2018 roku szef CyberPolicji, Serhij Demediuk w wywiadzie dla Agencji Reuters podkreślił, że 99% przypadków ataków na ukraińskie systemu informatyczne ma swoje źródła właśnie w Rosji.
Zmiany na rzecz bezpieczeństwa
Ataki przeprowadzone przeciwko ukraińskim sieciom energetycznym były dobrze zaplanowane, a działania odpowiednio zakamuflowane, wobec czego zapobieżenie im okazało się być praktycznie niemożliwe. Ich skutki okazały się być ograniczone jako że objęły w pierwszym przypadku tereny o stosunkowo niskim poziomie zurbanizowania (w obwodzie iwanofrankiwskim jedynym większym miastem jest jego stolica, Iwanofrankiwsk, liczący ok. 200 tys. mieszkańców), w drugim zaś skala była znacznie ograniczona. Naiwnością byłoby jednak sądzić, że aktywność wymierzona w ukraińskie sieci energetyczne zakończy się na dwóch wskazanych przypadkach. Według ocen ukraińskich ośrodków zajmujących się cyberbezpieczeństwem, należy oczekiwać, że kolejne ataki o podobnym charakterze będą miały znacznie większą skalę i poważniejsze konsekwencje. Ponadto, istnieją uzasadnione obawy, że oprogramowanie służące do prowadzenia podobnych działań albo już zostało ukryte w systemach informatycznych ukraińskich elektrowni albo może się tam znaleźć przy wykorzystaniu istniejących i znanych luk w systemach bezpieczeństwa.
Reakcję strony ukraińskiej na zagrożenia cybernetyczne należy ocenić jako właściwą: problemem może być jednak czas. Przyjęta przez Ukrenergo strategia rozwoju na lata 2017-2026 wskazuje kwestie bezpieczeństwa jako istotne, a system ochrony cybernetycznej jako przestarzały. Zgodnie z przyjętymi założeniami, do 2020 roku miały zostać przyjęte certyfikaty bezpieczeństwa ISO, a do 2026 miał powstać „rozwinięty system bezpieczeństwa”. Dodatkowo powstała także „Koncepcja rozwoju cyberbezpieczeństwa sieci i infrastruktury na lata 2019-2023”, zakładająca rozwój systemów bezpieczeństwa i ograniczenie skutków ewentualnych ataków. Nacisk ma być położony na ochronę podstawowej infrastruktury i centrów przetwarzania danych, jak również na stworzenie centrum odpowiedzialnego za bezpieczeństwo i reagowanie.
Przyjęte założenia zakładają również m.in. ujednolicenie metod pracy i standardów bezpieczeństwa w całym systemie odpowiedzialnym za produkcję i przesył energii, budowę systemu ochrony infrastruktury krytycznej, rozwój współpracy z sektorem prywatnym oraz w sferze międzynarodowej (w tym z odpowiednimi organami NATO i UE). O ile część z tych założeń udało się już wdrożyć, a działania mające na celu zwiększenie świadomości zagrożeń związanych z bezpieczeństwem cybernetycznym są realizowane przez podmioty państwowe, prywatne i organizacje pozarządowe, to ich skala jest nadal zbyt mało w stosunku do realnych potrzeb i skali zagrożeń.
Poza zmianami systemowymi konieczne jest także wdrożenie i kontynuowanie programu szkoleń z zakresu cyberbezpieczeństwa: jak pokazują dotychczasowe przypadki (nie tylko dotyczące Ukrainy) jednym z najsłabszych, jeśli nadal nie najsłabszym ogniwem każdego z systemów bezpieczeństwa pozostaje człowiek.
Stachura: Cyberprzestrzeń Ukrainy stała się poligonem Rosjan (FELIETON)
