Specialistų teigimu, kibernetinės atakos prieš NVSC greičiausiai kartosis

Metų pabaigoje prieš Nacionalinį visuomenės sveikatos centrą (NVSC) vykdyta kibernetinė ataka buvo vadinama „apmaudžia žmogiška klaida“, tačiau, specialistų manymu, ji gali bet kada pasikartoti, NVSC galimai netinkamai žvelgiant į kompiuterinį saugumą.

„Laiškai su užkrėstais priedais buvo platinami NVSC kompiuteriuose, kažkam atidarius, jie pasklido po visą tinklą. Dar kelios institucijos, savivaldybės įstaigos gavo užkrėstus priedus“, – LRT RADIJUI sakė ministras A. Anušauskas.

NVSC tinklas užkrėstas, atidarius elektroniniu paštu platinamą ZIP priedą.

„Kenksmingą kibernetinį poveikį patyrė Nacionalinis visuomenės sveikatos centras ir dar kelios institucijos – gavo laiškų su Trojan emotet virusu užkrėstais zip priedais. Kurį laiką neveikiantis NVSC paštas gali apsunkinti jo darbą ir informacijos teikimą bei gavimą“, – savo „Facebook“ paskyroje paskelbė A. Anušauskas.

Technologijų apžvalgininkas Džiugas Paršonis aiškina, kad įprastai kompiuteriuose esančios antivirusinės ir apsauginės programos reaguoja į tokio tipo laiškus ir neleidžia vartotojui jų atidaryti ar paskleisti po tinklą. Tačiau jos efektyvios tik tuo atveju, jei yra tinkamai atnaujinamos.

Manau, kad žmogiškoji klaida galėjo įvykti ir dėl to, kad darbuotojai įsitikinę, jog NVSC tinklas – gan saugi infrastruktūra. Šiuo atveju turėjo suveikti antivirusinė programa – ji turėjo atpažinti viduje esantį turinį kaip kenksmingą ir izoliuoti jį ar bent jau perspėti žmogų apie pavojų“, – akcentavo D. Paršonis.

Specialisto teigimu, siekiant maksimalios apsaugos reikėtų pirkti ne antivirusinės programos licencijas, o skelbti paslaugos pirkimą – tokiu atveju atskira įmonė privalėtų nuolat atnaujinti įrangą ir rūpintis NVSC kompiuterinio tinklo saugumu.

„Turėtų būti suvokiama, kad reikia pirkti ne produktą, o paslaugą. Iš tam tikros įmonės perkama apsauga, panašiai kaip samdoma apsaugos įmonė. Tai reiškia, kad kokia bebūtų ataka, jie yra atsakingi ir turi nuo jos apginti visu tuo laikotarpiu, kuriam įsigyta paslauga. Pirkti konkretų produktą nėra tikslinga, nes tam, kad apsauga veiktų nuolat, jie turi būti atnaujinami net po kelis kartus per dieną. Visos priemonės – ne tik kompiuteriai, bet ir mobiliosios ir kt. įrangos yra atnaujinamos automatiškai ir tai visuomet yra naujausia versija“, – aiškino ekspertas.

„Jei daroma kitaip – perkama ne paslauga, o kažkokia programa dėžutėje, tai jau pirkėjo nesuvokimas, kokį jis turi iššūkį šioje vietoje“, – pridūrė D. Paršonis.

NVSC planuojamuose viešuosiuose pirkimuose 2021 m. numatyta skirti 7000 eurų kompiuterinėms licencijoms, įskaitant ir antivirusinę įrangą, pirkti. Vienkartinis pirkimas bus vykdomas neskelbiamos apklausos būdu.

Sprendimas – darbuotojų raštingumo kėlimas

Informacinių technologijų (IT) ekspertas Marius Pareščius laikosi priešingos nuomonės. Jis pabrėžia, kad incidentas įvyko ne dėl kompiuterinės įrangos, o dėl darbuotojų raštingumo trūkumo, kuris galėtų būti sprendžiamas mokymais. Tačiau to dėl kažkokių priežasčių nebuvo daroma.

„Virusas gali pereiti kiaurai, tačiau tik su vartotojo pagalba. Tam, kad užkrėstų virusu, reikėjo net penkių veiksmų, kurie atrodė taip: paskaityk laišką, atsidaryk zip failą su slaptažodžiu, įvesk slaptažodį iš laiško, įvesk į tą failą ir tada dar du kartus paspausk. Juk valdininkai turėtų pagalvoti prieš darydami“, – svarstė IT ekspertas.

Jo nuomone, didžiausia NVSC internetinių technologijų darbuotojų padaryta klaida – nepakankamai vesta mokymų galutiniam vartotojui.

Anot M. Pareščiaus, NVSC galėtų vykdyti tiek kompiuterinės įrangos licencijų, tiek trečiosios šalies teikiamų paslaugų pirkimą – bet kuri šių priemonių tinkamai apsaugotų tinklą, jei būtų pasiektas pakankamas galutinių vartotojų raštingumo lygis.

„Jei būčiau organizacijos IT specialistas, lygiai taip pat pirkčiau tik antivirusinę – kam mėtyti pinigus? Kiti (pirkdami įmonės paslaugas – aut. past.) sako – mes būsime saugesni, tačiau net ir būdami saugesni nepereina su tokiais elementariais vartotojų neapmokymais. Vartotojas gali iš namų atsinešti užkrėstą laikmeną ir dar pats atjungti antivirusinę, nes ši neleidžia jam jos atidaryti“, – pabrėžė ekspertas.

Jo nuomone, dėl susidariusios padėties kaltas ir NVSC vadovas.

„Šiuo atveju yra keli dalykai: neapmokyti darbuotojai ir iš dalies dėl to kaltas vadovo neūkiškumas: tai jis neprivertė IT padalinio užsakyti arba surengti kibernetinio saugumo mokymus. Manau, kad ir šiais metais NVSC planuoja viešąjį antivirusinės programos pirkimą, tačiau vėl nežada skirti pinigų kibernetinio saugumo mokymams pirkti“, – apgailestavo M. Pareščius.

Dėl kibernetinės atakos neveikusi Nacionalinio visuomenės sveikatos centro elektroninio pašto sistema atkurta tik kietos dienos popietę. Dėl to buvo sutrikęs duomenų teikimas apie pasveikusiųjų ir sergančiųjų asmenų statistiką.

NVSC turimais duomenimis, tokius netikrus NVSC siųstus laiškus gavo Lietuvos Respublikos Vyriausybės, ministerijų atstovai, taip pat asmenys, su kuriais NVSC specialistai bendravo vykdydami epidemiologinę diagnostiką.

Nacionalinio kibernetinio saugumo centro (NKSC) direktorius Rytis Rainys informavo, kad pirmieji laiškai užfiksuoti antradienį, apie 10 val. ryto. Kenkėjiška programa buvo šifruota ir apsaugota slaptažodžiais, todėl jos neaptiko ir antivirusinės sistemos, o vartotojams, be kita ko, buvo sudarytas įspūdis, kad laiškai yra susirašinėjimo su kolegomis dalis, t. y. buvo panaudojami ir realių ankstesnių susirašinėjimų fragmentai.

Atsiųstame laiške buvo nurodytas ir slaptažodis, kurį turėjo suvesti pats vartotojas, atsidaręs zip failą.