Kraj przestał wpisywać nieruchomości we wtorek

W nocy 13 lipca systemy rumuńskiej Krajowej Agencji Katastru i Publikacji Nieruchomości przestały odpowiadać, a we wtorek 14 lipca platforma katastralna e-Terra, strony agencji i jej serwery pocztowe były nieosiągalne. ANCPI określiła później to zdarzenie jako najpoważniejszy incydent techniczny w historii instytucji. Rumuński Krajowy Dyrektoriat Cyberbezpieczeństwa, DNSC, potwierdził cyberatak i uznał go za motywowany finansowo, przeprowadzony przy użyciu wyciekłych poświadczeń i znanych podatności, a nie przez aktora państwowego. Tydzień później platforma nadal nie wróciła.

Skutek praktyczny był natychmiastowy i ogólnokrajowy. Notariusze nie mogli poświadczać sprzedaży, wpisywać przeniesień własności ani rejestrować hipotek, ponieważ w Rumunii te czynności przechodzą właśnie przez rejestr, który napastnik wyłączył. Napastnik posługujący się nazwą ByteToBreach przyznał się do ataku, a od 15 lipca materiał przypisywany agencji, w tym wewnętrzne bazy danych i kod źródłowy, oferowano na sprzedaż na forum. Firma bezpieczeństwa KELA powiązała tę nazwę z Zakarią Mahdjoubem, domniemanym cyberprzestępcą mieszkającym w Oranie w Algierii.

Dwie relacje z tego samego tygodnia

Komunikat ANCPI jest ostrożny i wąski. Stwierdza, że techniczne i prawne bazy danych instytucji nie zostały naruszone, i ostrzega, że informacje krążące w przestrzeni publicznej o rzekomych skutkach ataku nie pochodzą ze źródeł oficjalnych. Takie jest stanowisko agencji, opublikowane na jej własnej stronie, i nie zostało wycofane.

Badacze bezpieczeństwa i sam napastnik opowiadają wersję ostrzejszą: wejście z ważnymi poświadczeniami, rozpoznanie systemów wewnętrznych, a następnie zniszczenie systemów i kopii zapasowych po nieudanej próbie wymuszenia, przy odtworzeniu opartym na kopii trzymanej offline. Obie relacje mogą być częściowo prawdziwe, bo rejestr może stracić środowisko produkcyjne i zachować nienaruszony zasób prawny. Dla każdego spoza agencji to rozróżnienie nie zmienia w tym miesiącu niczego istotnego. Transakcje zatrzymała dostępność, a nie integralność.

Przywrócenie jest warunkowe. Data podatkowa nie jest.

Kto czyta plan odtworzenia agencji uważnie, nie znajdzie w nim żadnej daty. ANCPI podaje, że aplikacje są migrowane do chmury rządowej z szacowanym zakończeniem w środę 22 lipca, po czym uprawnione instytucje sprawdzą systemy i sporządzą raport, a następnie usługa wróci etapami według priorytetu operacyjnego. Systemy dotknięte atakiem pozostają odizolowane, dopóki każda wykryta słabość nie zostanie usunięta. To łańcuch warunków, a nie zobowiązanie, i jest to właściwy sposób prowadzenia odtworzenia. Jest zarazem nieograniczony.

Naprzeciw tego nieograniczonego łańcucha stoi łańcuch całkiem ograniczony. Umowy przedwstępne zawarte w rumuńskim obniżonym reżimie 9 procent VAT dla nowych mieszkań wygasają z końcem lipca, a potem do objętych nimi transakcji stosuje się stawkę podstawową 21 procent. Nie ogłoszono żadnego przedłużenia. Dwanaście punktów procentowych ceny zakupu zależy teraz od czynności urzędowej, której nikt w kraju nie jest w stanie wykonać. To samo państwo kontroluje awarię i termin, a jak dotąd przesunęło tylko jedno z nich, czyli żadne.

Rejestr monopolowy nie ma przełączenia awaryjnego

Właściciele firm kupują redundancję dla tych części infrastruktury, którymi sami władają. Trzymają drugi region chmury, drugiego operatora, drugiego dostawcę płatności. Pojedyncze punkty awarii, które naprawdę zatrzymują transakcję, leżą zwykle poza tym obwodem: księga wieczysta, rejestr przedsiębiorców, weryfikator numeru VAT, krajowy punkt e-fakturowania, schemat tożsamości. Żadnego z nich nie da się kupić podwójnie, bo państwo jest jedynym dostawcą, a odporność, na której polegasz, w całości należy do kogoś innego. W Polsce ta sama zależność biegnie przez elektroniczne księgi wieczyste, a polski kupujący ma tam tyle samo zamienników co rumuński, czyli żadnego.

Nie jest to też zdarzenie wyjątkowe. Rejestry nieruchomości w Polsce, na Słowacji, w Grecji, Maroku, Rosji i na Ukrainie były atakowane w ciągu ostatnich trzech lat, co czyni niedostępność rejestru publicznego ryzykiem planowalnym, a nie siłą wyższą. Pod NIS2 operatorzy takich rejestrów mieszczą się w zakresie jako podmioty administracji publicznej, ale dyrektywa zobowiązuje ich do zarządzania ryzykiem, a nie do wynagrodzenia ci tygodnia, w którym ich zabrakło.

Co spisać, zanim przyjdzie twój własny tydzień

Poświęć godzinę i wypisz każdy rejestr publiczny, bez którego któraś z twoich transakcji się nie zamknie. Przy każdym zanotuj, jaka prawna ścieżka awaryjna istnieje przy jego niedostępności, czy jest to złożenie papierowe, depozyt notarialny, wpis tymczasowy, czy zupełnie nic, i wskaż osobę uprawnioną do jej uruchomienia. Potem zadaj prawnikowi pytanie, które teraz zadają rumuńscy kupujący: czy termin ustawowy ulega zawieszeniu, gdy rejestr potrzebny do jego dotrzymania nie działa? W Rumunii odpowiedź przyjdzie po terminie, a to najgorszy możliwy moment, żeby ją poznać.

Po twojej stronie nauka jest węższa i starsza. Drogą wejścia były wyciekłe poświadczenia plus podatności już znane, czyli kombinacja, która od lat nie wymaga ani jednej nowej techniki. Wymuś odporne na phishing uwierzytelnianie wieloskładnikowe na każdym koncie administracyjnym, wygaszaj poświadczenia pojawiające się w zbiorach wycieków bez czekania na dowód użycia i utrzymuj co najmniej jedną ścieżkę odtworzenia żyjącą poza zestawem poświadczeń, na którym działa produkcja. Kopia offline to dokładnie ta, do której napastnik z twoimi hasłami nie dosięgnie.

Czytaj dalej: Poprawka nginx jest, exploit pojawi się w sierpniu  |  ServiceNow naprawił najpierw własną chmurę, klientów self-hosted 103 dni później