Masivní hackerský útok se dotýká i Česka. Zákazníci firmy jsou největší světové značky

Počátkem týdne začalo komunitou programátorů a vývojářů rezonovat oznámení o hackerském útoku na společnost SolarWinds a její software Orion. Ačkoliv firma není mezi veřejností příliš známá, má více než 3000 zaměstnanců po celém světě a více než desetina z nich sídlí v Brně.

Útok je označován za jeden z nejvážnějších za poslední roky, neboť se může týkat jak velkého množství slavných a úspěšných firem, tak i vládních úřadů a institucí. Skrytě navíc probíhal několik měsíců. "Závažné na celé věci je, že se měl dít od března tohoto roku, přičemž útok byl odhalen až začátkem tohoto týdne," řekl pro EuroZprávy.cz etický hacker Martin Haller.

Podle něj závažnost útoku podtrhuje i fakt, že jde o napadení dodavatelského řetězce, úspěšným útokem na jednu firmu se tak útočníkům mohlo podařit získat přístup k jejím odběratelům, tedy zákazníkům.

"SolarWinds je nadnárodní firma, která má přes 300.000 zákazníků. Přičemž mezi její zákazníky patří největší firmy světa, včetně různých ministerstvech a vládních agentur z celého světa. Ještě, než SolarWinds stáhl seznam zákazníků ze svých stránek, byly tam uvedeny jména jako AT&T, Cisco, Lockheed Martin, MasterCard, Microsoft, Siemens, Symantec, Pentagon, NSA, NASA, ministerstvo spravedlnosti USA," vyjmenovává Haller.

Mezi další zákazníky SolarWinds patří například nadnárodní korporace jako Ford, Ericsson, Kodak, Nestle, mateřská pobočka banky ING nebo řada médií. Své zákazníky má navíc firma i v Česku, a ne zrovna malé.

"Rychlým nahlédnutím do registru smluv vidíme, že podporu, či licence mohli využívat i některé české instituce: Generální ředitelství Hasičského sboru, Generální ředitelství cel nebo Energetický regulační úřad," popisuje pro EuroZprávy.cz Haller. Mezi další tuzemské uživatele softwaru společnosti pak patří například i Česká zpráva sociálního zabezpečení.

Podle Hallera to ale neznamená, že i u všech jmenovaných firem a u statisíců dalších vyskytla daná verze napadeného softwaru. "Třeba již aplikace nevyužívají, nebo neměli nainstalovánu „kompromitovanou“ verzi," podotýká s tím, že aktuální číslo postižených firem je necelých 18 tisíc.

"To je počet firem, do kterých dostali útočníci „zadní vrátka“ a mohli tak operovat v jejich sítích. Důležité je však poznamenat, že i když měli útočníci k oběti „zadní vrátka“ ještě to neznamená, že je využili," vysvětluje pro EuroZprávy.cz.

Varování dostaly i české úřady

Na rizika spojená se softwarem americké společnosti upozornil krátce po zveřejnění informací o útoku i Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Ten vyhodnotil rizika spojená s tímto softwarem jako natolik závažná, že jedinou cestou bylo vydání zákonného opatření o neprodlené bezpečnostní aktualizaci, kontrole případné kompromitace systému a bezpečnostním auditu.

"Naše opatření se týká třech kategorií systémů, což jsou kritická informační infrastruktura, dále významné informační systémy a systémy poskytovatelů základní služby. Tyto tři kategorie vycházejí z našeho zákona o kybernetické bezpečnosti a mohou být i v soukromých rukách. Jde o systémy, pro které vytváříme právní úpravu, která reguluje jejich používání. Co se týče soukromého sektoru, tam naše pravomoc nespadá. Tam je to čistě na těch lidech, kteří se o ty systémy starají, aby si zajistili ty správné aktualizace," uvedl pro EuroZprávy.cz tiskový mluvčí NÚKIB Jiří Táborský.

Jestli došlo k napadení českých firem či úřadů zatím není jasné. "Když se podíváte na zprávy i ze světa, tak na řadě míst k úniku dat došlo, takže stejné riziko hrozí i u nás. To riziko se týká kohokoliv, kdo tyto systémy používá," dodal Táborský. Federální úřad pro vyšetřování (FBI), agentura pro kybernetickou bezpečnost (CISA) a úřad ředitele amerických tajných služeb (ODNI) se v tuto chvíli snaží zjistit rozsah útoku.

Případem se nadále zabývá i NÚKIB. "My teď vyhodnocujeme dopady našeho včerejšího opatření. Samozřejmě všichni správci těch systémů, kteří podléhají zákonné regulaci, o tom byli informováni okamžitě ve chvíli, kdy to reaktivní opatření nabylo účinnosti," vysvětlil pro EuroZprávy.cz Táborský.

Podle Hallera ale útok nebyl cílen plošně a hackerům šlo o konkrétní cíle. Dle výběru a provedení se domnívá, že útok proběhl nejspíše za účelem špionáže, což považuje za určité štěstí pro zbytek obětí, které útočníci mohli vyhodnotit jako pro ně nezajímavé a ponechat je bez povšimnutí. Přesto už je nyní známo, že se terčem útoku staly některé vládní úřady. "Mezi potvrzené oběti patří ministerstva obchodu, financí, zahraničí, zdravotnictví a vnitřní bezpečnosti USA," upozorňuje.

Jakým způsobem se útočníkům podařilo kompromitovat část sítě SolarWinds a propašovat do jejich produktu Orion ona „zadní vrátka“ zatím není jasné. "Všechny firmy, které si pak tento produkt nainstalovali, si zároveň nainstalovali i „zadní vrátka“ těchto útočníků. Útočníci tak mohli ovládat servery ve všech postižených firmách," dodává pro EuroZprávy.cz.

Kdo za útokem stojí?

Zahraniční experti a média hovoří o pravděpodobné ruské špionáži. "Na internetu kolují informace a spekulace, že by mohlo jít o skupinu hackerů sledovanou pod označením APT-29 („Cozy bear“), která bývá spojována s ruskou „službou vnější rozvědky“," dodává Haller.

Rusko ale jakoukoliv spojitost oficiálně popírá a i etický hacker upozorňuje, že je třeba dodržovat při označení viníka útoku určitou opatrnost. "Je to totiž technicky složité a případ je teprve v počátku vyšetřování," míní. Zároveň ale nepochybuje o tom, že jde o připravovaný a důmyslně provedený útok, který by kupříkladu skupina studentů nezvládla.   

"Dle informací, které jsou zatím dostupné, ať už z oficiálních zdrojů nebo odborné komunity, to vypadá na práci hackerů světové úrovně. Svědčit o tom může i kompromitace společnosti FireEye, která se specializuje na kybernetickou bezpečnost. Na svých stránkách o sobě píše, že „o kybernetické bezpečnosti toho ví jako nikdo jiný“. Útočníkům se přesto podařilo dostat do její sítě a ukrást ji vlastní nástroje," vysvětlil pro EuroZprávy.cz s tím, že dosavadní informace naznačují, že útok proběhl právě skrze zavirované nástroje firmy SolarWinds.