Paraliż infrastruktury podczas ceremonii otwarcia
Pamiętamy ten moment z lutego 2018 roku, gdy ceremonia otwarcia Zimowych Igrzysk Olimpijskich w Pjongczangu została dotkliwie zakłócona przez działania cyberprzestępców. Na wielkim ekranie stadionu zamiast planowanych transmisji pojawiły się czarne ekrany, a bezprzewodowy internet przestał działać dla tysięcy widzów. Sytuacja była tak poważna, że padły również systemy kontrolujące drony oraz oficjalna aplikacja mobilna związana z imprezą.
Co gorsza, awaria dotknęła systemu biletowego, przez co część kibiców nie mogła wejść na trybuny. Był to spektakularny pokaz siły, który pokazał, jak wrażliwe są duże wydarzenia sportowe na ataki cyfrowe. Dla nas jako obserwatorów bezpieczeństwa IT było to wyraźne ostrzeżenie przed konsekwencjami słabych zabezpieczeń.
Zniszczenie kontrolerów DNS
Przyczyną tak masowych zakłóceń było całkowite zniszczenie danych w kontrolerach domen. Atakujący wyczyścili konfiguracje do zera, co sprawiło, że serwery te stały się bezużyteczne i wymagały fizycznej wymiany lub pełnej reinstalacji systemu. Taki proceder uniemożliwił prawidłowe rozwiązywanie adresów IP, paraliżując dostęp do kluczowych usług internetowych.
W rezultacie strony internetowe organizatorów stały się niedostępne, a komunikacja wewnętrzna została przerwana. To nie był zwykły atak DDoS, lecz precyzyjne zniszczenie infrastruktury krytycznej. Taka metoda działania wymagała głębokiej wiedzy technicznej oraz dostępu do najwyższych poziomów uprawnień.
Fałszywy ślad prowadzący na Północ
Pierwsze analizy przeprowadzone tuż po incydencie wskazywały na grupę Lazarus, która jest powiązana z Koreą Północną. W kodzie malware’a znaleziono elementy sugerujące właśnie to autorstwo, co szybko stało się tematem medialnym. Jednakże z czasem eksperci zauważyli nieścisłości w tym tropie.
Około dwóch tygodni później okazało się, że wspomniane wskazówki były celowo podrzucone, aby zmylić badaczy i odwrócić uwagę od prawdziwych sprawców. Była to klasyczna taktyka dezinformacji, mająca na celu przypisanie winy politycznemu rywalowi gospodarzy igrzysk.
Rzeczywiste autorstwo: Sandworm czy APT28?
Większość wiarygodnych źródeł i agencji wywiadowczych wskazała ostatecznie na grupę Sandworm, która działa pod auspicjami rosyjskich służb wojskowych. Grupa ta jest znana z przeprowadzania ataków na infrastrukturę krytyczną w różnych krajach. Jednakże niektórzy analitycy nie wykluczają również udziału innej rosyjskiej grupy APT28, która specjalizuje się w operacjach hybrydowych.
Niezależnie od ostatecznej atrybucji, jasne jest, że za atakiem stała państwowa jednostka dysponująca ogromnymi zasobami. Ich celem było nie tylko zakłócenie ceremonii, ale także pokazanie siły i zdolności do paraliżowania kluczowych systemów w czasie rzeczywistym.
Wniknięcie przez firmy zewnętrzne
Kluczem do sukcesu ataku było wcześniejsze przeniknięcie do sieci dwóch firm świadczących usługi wsparcia IT dla organizatorów igrzysk. Atakujący działali z wyprzedzeniem, przygotowując grunt już dwa miesiące przed rozpoczęciem imprezy. Wykorzystali oni fakt, że firmy supportowe muszą posiadać wysokie uprawnienia do zarządzania infrastrukturą klienta.
Dzięki tym uprawnieniom cyberprzestępcy mogli poruszać się po sieciach olimpijskich niemal bez przeszkód. W dniu ceremonii otwarcia wykorzystali zdobyte wcześniej dostęp, by aktywować złośliwe skrypty i zniszczyć kontrolery DNS. Był to przykład ataku typu supply chain, gdzie słabym ogniwem jest dostawca usług zewnętrzny.
Lekcje dla przyszłych wydarzeń
Ten incydent pokazał nam, jak ważne jest segregowanie uprawnień i monitorowanie ruchu sieciowego w firmach partnerskich. Nie można polegać wyłącznie na zaufaniu do dostawców usług IT bez odpowiednich zabezpieczeń technicznych. Organizatorzy dużych imprez muszą traktować bezpieczeństwo cybernetyczne jako priorytet równy bezpieczeństwu fizycznemu.
Jako specjaliści w dziedzinie bezpieczeństwa informacji, uważamy, że należy wdrażać ścisłe procedury kontroli dostępu oraz regularne audyty bezpieczeństwa u wszystkich podmiotów współpracujących. Tylko tak można skutecznie bronić się przed atakami o takim kalibrze, które mogą sparaliżować działanie nawet największych organizacji na świecie.