"I-au şters infrastructura" - Hackerii ruşi operau de luni de zile în interiorul gigantului ucrainean Kyivstar [Reuters]

Hackeri ruşi au intrat în sistemul gigantului ucrainean de telecomunicaţii Kyivstar cel puţin din luna mai a anului trecut, într-un atac cibernetic care ar trebui să servească drept "mare avertisment" pentru Occident, a declarat pentru Reuters şeful spionajului cibernetic din Ucraina.

Hackingul, unul dintre cele mai dramatice de la invazia pe scară largă a Rusiei de acum aproape doi ani, a scos din funcţiune serviciile furnizate de cel mai mare operator de telecomunicaţii din Ucraina pentru aproximativ 24 de milioane de utilizatori timp de câteva zile, începând cu 12 decembrie.

Şeful departamentului de securitate cibernetică al Serviciului de Securitate al Ucrainei (SBU), Illia Vitiuk, a dezvăluit într-un interviu detalii exclusive despre atacul cibernetic, precizând că acesta a provocat distrugeri "dezastruoase" şi a avut ca scop să dea o lovitură psihologică şi să adune informaţii.

"Acest atac este un mare mesaj, un mare avertisment, nu doar pentru Ucraina, ci pentru întreaga lume occidentală, pentru a înţelege că nimeni nu este de fapt de neatins", a spus el.

Potrivit acestuia, Kyivstar este o companie privată bogată, care a investit mult în securitatea cibernetică.

Atacul a şters "aproape totul", inclusiv mii de servere virtuale şi PC-uri, a spus el, descriindu-l ca fiind probabil primul exemplu de atac cibernetic devastator care "a distrus complet nucleul unui operator de telecomunicaţii".

În timpul investigaţiei sale, SBU a constatat că hackerii au încercat probabil să pătrundă în Kyivstar în martie sau mai devreme, a declarat el într-un interviu acordat Zoom pe 27 decembrie.

"Deocamdată, putem spune cu siguranţă că au fost în sistem cel puţin din mai 2023. Nu pot spune acum din ce moment au avut [...] acces complet: probabil cel puţin din noiembrie", a spus el.

SBU a evaluat că hackerii ar fi fost capabili să fure informaţii personale, să înţeleagă locaţia telefoanelor, să intercepteze mesaje SMS şi poate să fure conturi Telegram cu nivelul de acces pe care l-au obţinut, a spus el.

Un purtător de cuvânt al Kyivstar a declarat că firma lucrează îndeaproape cu SBU pentru a investiga atacul şi va lua toate măsurile necesare pentru a elimina riscurile viitoare.

"Nu au fost dezvăluite fapte de scurgere a datelor personale şi ale abonaţilor", a adăugat acesta.

Vitiuk a declarat că SBU a ajutat Kyivstar să-şi restabilească sistemele în câteva zile şi să respingă noi atacuri cibernetice.

"După pauza majoră au existat o serie de noi încercări menite să aducă mai multe daune operatorului", a spus el.

Kyivstar este cel mai mare dintre cei trei operatori principali de telecomunicaţii din Ucraina şi există aproximativ 1,1 milioane de ucraineni care locuiesc în oraşe mici şi sate în care nu există alţi furnizori, a declarat Vitiuk.

Oamenii s-au grăbit să cumpere alte cartele SIM din cauza atacului, creând cozi mari. Bancomatele care folosesc cartele SIM Kyivstar pentru internet au încetat să mai funcţioneze, iar sirena de raid aerian - folosită în timpul atacurilor cu rachete şi drone - nu a funcţionat corespunzător în unele regiuni, a spus el.

El a spus că atacul nu a avut un impact mare asupra armatei ucrainene, care nu se bazează pe operatorii de telecomunicaţii şi care utilizează ceea ce el a descris ca fiind "algoritmi şi protocoale diferite".

"Vorbind despre detectarea dronelor, vorbind despre detectarea rachetelor, din fericire, nu, această situaţie nu ne-a afectat puternic", a spus el.

Investigarea atacului este mai dificilă din cauza ştergerii infrastructurii Kyivstar.

Vitiuk a declarat că este "destul de sigur" că a fost efectuat de Sandworm, o unitate de război cibernetic a serviciilor de informaţii militare ruseşti care a fost legată de atacuri cibernetice în Ucraina şi în alte părţi.

În urmă cu un an, Sandworm a pătruns într-un operator de telecomunicaţii ucrainean, dar a fost detectat de Kiev, deoarece SBU-ul însuşi intrase în sistemele ruseşti, a declarat Vitiuk, refuzând să identifice compania. Hackingul anterior nu a fost raportat.

Ministerul rus al Apărării nu a răspuns la o solicitare scrisă de comentarii cu privire la comentariile lui Vitiuk.

Vitiuk a declarat că modelul de comportament sugerează că operatorii de telecomunicaţii ar putea rămâne o ţintă a hackerilor ruşi. SBU a zădărnicit peste 4.500 de atacuri cibernetice majore asupra organismelor guvernamentale ucrainene şi a infrastructurii critice anul trecut, a spus el.

Un grup numit Solnţepiok, considerat de SBU ca fiind afiliat cu Sandworm, a declarat că este responsabil pentru atac.

Vitiuk a declarat că anchetatorii SBU încă lucrează pentru a stabili cum a fost penetrat Kyivstar sau ce fel de malware de tip cal troian ar fi putut fi folosit pentru a pătrunde în sistem, adăugând că ar fi putut fi vorba de phishing, de cineva care a ajutat din interior sau de altceva.

Dacă a fost o treabă din interior, persoana din interior care i-a ajutat pe hackeri nu avea un nivel înalt de autorizare în cadrul companiei, deoarece hackerii au folosit un malware utilizat pentru a fura hash-uri de parole, a spus el.

Au fost recuperate mostre din acel malware şi sunt în curs de analiză, a adăugat el.

Directorul general al Kyivstar, Oleksandr Komarov, a declarat la 20 decembrie că toate serviciile companiei au fost restabilite în totalitate în întreaga ţară. Vitiuk a lăudat efortul SBU de răspuns la incident pentru a restabili sistemele în condiţii de siguranţă.

Este posibil ca atacul asupra Kyivstar să fi fost facilitat din cauza asemănărilor dintre acesta şi operatorul rus de telefonie mobilă Beeline, care a fost construit cu o infrastructură similară, a declarat Vitiuk.

Dimensiunea uriaşă a infrastructurii Kyivstar ar fi fost mai uşor de parcurs cu ajutorul unor experţi, a adăugat el.

Distrugerile de la Kyivstar au început în jurul orei locale 5:00 a.m., în timp ce preşedintele ucrainean Volodimir Zelenski se afla la Washington, făcând presiuni asupra Occidentului pentru a continua să furnizeze ajutor.

Vitiuk a declarat că atacul nu a fost însoţit de un raid major cu rachete şi drone într-un moment în care oamenii aveau dificultăţi de comunicare, ceea ce a limitat impactul său, renunţând totodată la un instrument puternic de colectare de informaţii.

De ce hackerii au ales ziua de 12 decembrie nu este clar, a spus el, adăugând: "Poate că un colonel a vrut să devină general".