В Латвии произошла крупнейшая кибератака на государственное предприятие Latvijas valsts meži (LVM), которое произошло 22-23 июня. Злоумышленник проник в систему еще 11 июня, изучал её почти две недели, а затем одновременно украл данные, зашифровал серверы и уничтожил резервные копии.
Как сообщает эксперт по кибербезопасности Элвис Страздиньш, хакер использовал уязвимость в программном обеспечении GEO, известную уже несколько лет, но не устранённую в одном из серверов, который стал входной точкой для атаки. После получения доступа злоумышленник воспользовался устаревшими компонентами системы, некоторые из которых не обновлялись около семи лет.
Премьер-министр Латвии Андрис Кулбергс отметил, что первые признаки подозрительной активности были зафиксированы 11 июня, однако активная фаза атаки началась только в ночь с 22 на 23 июня. В течение этого времени хакер находился внутри корпоративной сети, изучая её структуру и собирая данные. Отсутствие эффективных механизмов для обнаружения такой активности стало одной из причин масштабного ущерба.
За время пребывания в системе злоумышленник получил доступ к примерно 7000 паролей сотрудников. В ходе основной атаки были похищены десятки гигабайт внутренних данных, зашифрованы серверы, удалены резервные копии и оставлено вредоносное программное обеспечение для сохранения доступа. По данным CERT.lv, уже в открытый доступ попало 44 гигабайта информации, но предполагается, что фактический объём украденных данных может быть значительно больше.
Одним из самых серьёзных последствий атаки стало уничтожение резервных копий, что затруднило восстановление работы системы. По предварительным оценкам, удалось вернуть около 85% данных, однако окончательный масштаб ущерба еще предстоит определить. Официально Министерство земледелия не получало требований о выкупе, хотя Страздиньш утверждает, что хакер оставил инструкции для связи и предложил обратиться за ключом расшифровки, что указывает на возможные схемы вирусов-вымогателей.
Инцидент с Latvijas valsts meži демонстрирует, что современные кибератаки часто происходят не мгновенно. Их авторы могут долго оставаться внутри сети, изучая инфраструктуру и подготавливая действия. После атаки премьер-министр потребовал провести проверку кибербезопасности в государственных учреждениях, ускорить внедрение требований Закона о кибербезопасности и создать единый центр координации действий в подобных инцидентах. Также власти намерены активнее привлекать «белых хакеров» для поиска уязвимостей до того, как ими воспользуются преступники.
