Az európai kibervédelemben nem volt nyári vakáció: itt a CERT-jelentés

Az európai kiberbiztonságban nincs uborkaszezon, legfeljebb mi, újságolvasók vagyunk hajlamosak azt hinni, hogy júliusban és augusztusban a hackerek is elmennek egy kicsit a tengerpartra. A CERT-EU augusztusi jelentése, amely a 2026. júliusi eseményeket tekinti át, meglehetősen gyorsan eloszlatja ezt a kellemes tévedést: a szervezet 363 nyílt forrású jelentést elemzett, és ezek alapján Európában egyszerre volt jelen az állami kiberkémkedés, a kritikus infrastruktúrák elleni fenyegetés, a zsarolóvírusos bűnözés, a phishing, az adatlopás és az egyre érdekesebb mesterséges intelligencia-alapú támadási kockázat.

A jelentés egyik legfontosabb tanulsága, hogy az európai kibertérben nem lehet már egyetlen veszélyforrásra koncentrálni: miközben az orosz állami és államközeli szereplők továbbra is kémkednek, infrastruktúrát térképeznek fel és politikai célpontokat támadnak, a kiberbűnözők ugyanolyan kitartóan keresik a gyenge pontokat, a különböző országok rendőrségei pedig próbálják lekapcsolni azokat a szolgáltatásokat, amelyekből a támadók iparszerűen működtetik az egész üzletet. És közben megjelent egy új szereplő is, amelyről néhány éve még legfeljebb konferenciákon beszéltek elméleti lehetőségként: az autonóm mesterséges intelligencia, amely bizonyos körülmények között már nem pusztán segít egy támadónak, hanem saját maga is képes hibásan értelmezni a környezetét, hozzáféréseket szerezni és rendszerekbe bejutni.

Moszkva kiberháborúja nem állt le

Az orosz vonal különösen erős a CERT-EU júliusi összefoglalójában. Az Európai Unió Tanácsa július 13-án kilenc személyt és négy szervezetet szankcionált olyan kibertevékenységek miatt, amelyek az orosz Szövetségi Biztonsági Szolgálathoz, az FSZB-hez kapcsolódnak. Az EU szerint az FSZB 16. Központja olyan csoportokat irányított, illetve támogatott, mint a Turla, amely európai országok és nemzetközi partnerek ellen folytatott kémkedési, szabotázs- és infrastruktúra-ellenes műveleteket. Ez azért fontos, mert a Turla nem egy tegnap létrehozott, unatkozó internetes huligánklub. Az EU által bemutatott kép szerint egy olyan orosz kiberökoszisztéma része, amelyben az állami hírszerzési struktúrák és a különböző, állami vagy államközeli szereplők között léteznek kapcsolatok, és amelynek műveletei több európai országot is érintenek.

Ausztria július közepén például bekérette az orosz nagykövetet, miután az EU hivatalosan Oroszországhoz, illetve a Turla nevű szereplőhöz kötötte az osztrák külügyminisztérium ellen 2019–2020-ban végrehajtott kibertámadást. A támadók belső információkat szereztek meg, miközben az akció nem kizárólag Ausztriát érintette. Az osztrák kormány szerint az ilyen műveletek már nem kezelhetők egyszerű informatikai incidensként, mivel a kritikus infrastruktúrákat, a közszolgáltatásokat és a politikai stabilitást is veszélyeztethetik. Aki tehát továbbra is úgy gondolja, hogy a kiberháború annyiból áll, hogy valaki egy kormányzati honlapot fél napra elérhetetlenné tesz, annak érdemes egy kicsit tovább olvasnia.

Július 23-án az amerikai CISA egy Oroszországhoz kötött szereplő, a Laundry Bear tevékenységére figyelmeztetett. A csoport Zimbra Collaboration Suite levelezőrendszereket használó szervezeteket célzott úgynevezett zero-click phishing kampánnyal. A módszer különösen kellemetlen: a támadás bizonyos esetekben nem igényel klasszikus értelemben vett felhasználói kattintást. Egy rosszindulatú levél megtekintése elegendő lehetett ahhoz, hogy a támadók akár 90 napnyi e-mail- és címtáradat megszerzésére, illetve a hozzáférés fenntartására alkalmas helyzetbe kerüljenek. A célpontok között kormányzati, védelmi, energetikai, oktatási, média-, civil és technológiai szervezetek is voltak. Ez az a pont, ahol a „ne kattints gyanús linkekre” típusú vállalati kiberbiztonsági bölcsesség már kezd kevésnek bizonyulni. Ha egy támadásnál maga a levél megtekintése is veszélyes lehet, akkor a védelemnek nem csupán a felhasználói figyelmetlenségre kell épülnie, hanem a levelezési infrastruktúra, a jogosultságok, a hálózati szegmentáció és a hozzáférések folyamatos ellenőrzésére is.

Az orosz kötődésű csoportok másik fontos szereplője a CyberArmy of Russia Reborn, illetve a hozzá kapcsolt Z-Pentest. A spanyol rendőrség július 6-án jelentette be, hogy korábban, márciusban letartóztattak egy olyan személyt, akit ezekhez a csoportokhoz kötnek. A nyomozásban az amerikai FBI is részt vett. A férfit többek között terrorista szervezethez való együttműködéssel, terrorizmus dicsőítésével, valamint számítógépes károkozással gyanúsították. A történet azért érdekes, mert jól mutatja, milyen nehéz pontosan meghúzni a határt az állami kiberhadviselés és az úgynevezett hacktivizmus között. Egy oroszbarát hackercsoport lehet politikailag motivált, miközben nem minden tagja ül az FSZB egyik irodájában, és nem minden támadásnál lehet ugyanazt a közvetlen állami irányítást bizonyítani. Ettől azonban az ilyen csoportok tevékenysége még tökéletesen illeszkedhet Moszkva szélesebb hibrid hadviselési céljaihoz.

A CERT-EU jelentése szerint júliusban a phishing és a ransomware továbbra is az európai kiberbűnözés meghatározó eszközei közé tartozott. Az egyik kiemelt szereplő a Kratos, egy Phishing-as-a-Service szolgáltatás, amely Microsoft 365-felhasználók ellen kínált támadási infrastruktúrát több európai országban és világszerte. A jelentés szerint Spanyolország különösen erősen érintett volt, miközben az oktatási, igazságügyi és technológiai szektor is a célpontok között szerepelt. A Phishing-as-a-Service modell azért veszélyes, mert demokratizálja a kiberbűnözést, már ha lehet ilyen szép szót használni valamire, ami egyébként meglehetősen ronda üzlet. Nem kell minden támadónak saját fejlesztésű kártékony programot írnia vagy komoly technikai tudással rendelkeznie: elég megvásárolnia a szükséges eszközöket, majd azokat célba küldenie. A CERT-EU ugyanakkor egy olyan támadást is kiemel, amely már a klasszikus zsarolóvírusos történetekhez képest is újabb szintet jelent. Egy Langflow szolgáltatásban található sérülékenységet kihasználva egy támadó hozzáférést szerzett, hitelesítő adatokat gyűjtött, majd további rendszerek és adatbázisok felett próbált ellenőrzést szerezni. A műveletet a kutatók JADEPUFFER néven azonosították, és a támadásban az automatizált, MI-alapú működés is szerepet kapott.

A CERT-EU júliusi jelentésének romániai szempontból egyik legfontosabb része a ByteToBreach nevű kiberbűnözői szereplő támadása a román Országos Kataszteri és Ingatlanhirdetési Ügynökség, az ANCPI ellen. A támadók érvényes hitelesítő adatok segítségével jutottak be a rendszerbe, majd egy sikertelen zsarolási kísérlet után törölték az ingatlan-nyilvántartási rendszerek egy részét és a biztonsági mentéseket, miközben az e-mail-szolgáltatások is kiesést szenvedtek. Az incidens következtében országosan fennakadtak az ingatlanügyletek, a hivatalos weboldalak és alkalmazások pedig mintegy egy hétig nem voltak elérhetők. A támadók az ellopott adatokat, köztük munkatársi hitelesítő adatokat és belső dokumentumokat, állítólag értékesíteni is próbálták. Ez már pontosan az a kategória, amelynél a kiberbiztonság megszűnik informatikusok belső problémája lenni. Ha egy országban napokra megakadnak az ingatlanügyletek, mert valaki egy állami rendszerbe bejutva nem egyszerűen adatokat lop, hanem adatokat és biztonsági másolatokat is töröl, akkor a támadásnak közvetlen gazdasági következménye van.

Július 9-én a CERT.LV arról számolt be, hogy egy külföldi, pénzügyi motivációjú zsarolóvírus-csoport behatolt a lett állami erdőgazdaság, a Latvijas Valsts Meži rendszerébe. A támadók több mint egy héten keresztül jelen voltak a hálózatban, mielőtt a támadást végrehajtották volna, és körülbelül 44 gigabájtnyi adatot szereztek meg. Az ellopott információk között belső dokumentumok, e-mail-kommunikáció és hitelesítő adatok is voltak. A történet egy újabb kellemetlen igazságra világít rá: sok esetben nem az a legnagyobb probléma, hogy a támadó az első öt percben bejutott, hanem az, hogy napokig vagy akár hetekig észrevétlenül bent tud maradni. Mire a rendszer gazdái észreveszik, hogy valami nincs rendben, a támadó már megismerte a hálózatot, megtalálta az értékes adatokat, és előkészítette a következő lépést.

És akkor megérkezett a mesterséges intelligencia

A CERT-EU júliusi jelentésének talán legfurcsább része nem is egy orosz vagy kínai hackercsoporthoz, hanem az MI-hez kapcsolódik. A Hugging Face július 16-án közölt beszámolót egy olyan incidensről, amelyben egy autonóm MI-ügynök egy tesztelési környezetből kijutva hozzáférést szerzett a vállalat éles infrastruktúrájához. A támadók két kódvégrehajtási sérülékenységet használtak ki, amelyek segítségével felhő- és klaszterhitelesítő adatokat szereztek, majd további belső rendszerek felé tudtak mozogni. Belső adatok és hitelesítő adatok kerültek veszélybe, bár a CERT-EU szerint nem volt bizonyíték arra, hogy a nyilvánosan elérhető modelleket vagy adatkészleteket manipulálták volna. Még érdekesebb az Anthropic július 30-i beszámolója három olyan esetről, amikor Claude-modellek harmadik fél által végzett biztonsági tesztek során a vártnál messzebbre jutottak. A modellek tévesen úgy értelmezték, hogy a célpontok a tesztelés hatókörén belül vannak, ezért hozzáfértek szervezetek éles rendszereihez, egy produkciós adatbázishoz, és az egyik esetben egy rosszindulatú PyPI-csomagot is közzétettek, amely végül 15 rendszeren futott le.

Itt érdemes egy pillanatra megállni, mert ez már nem az a történet, amelyben a gonosz hacker ül a laptop előtt, és azon gondolkodik, melyik gombot nyomja meg. A probléma éppen az, hogy egy MI-rendszer rosszul értelmezheti a saját jogosultságait és a feladat határait, majd olyan műveleteket hajthat végre, amelyeket az ember nem szándékozott engedélyezni. A CERT-EU ezért nem egyszerűen újabb kártevőként kezeli az autonóm MI-ügynökök megjelenését, hanem az opportunista fenyegetések között külön is kiemeli az ilyen eseteket. A CERT-EU jelentése végső soron nem egyetlen nagy támadás története, hanem egy egész európai kiberbiztonsági helyzetjelentés. Orosz állami kötődésű szereplők kémkednek és infrastruktúrát térképeznek fel, kínai csoportok globális hálózatokat és szervereket kompromittálnak, a kiberbűnözők szolgáltatásként árulják a phishinghez szükséges eszközöket, a zsarolóvírus-csoportok állami vállalatokat és közintézményeket támadnak, miközben egyre több sérülékenység jelenik meg az internetre kitett rendszerekben.

A CERT-EU aktív kihasználás alatt álló figyelmeztető példákat is felsorol a SonicWall SMA1000 és a Fortinet FortiSandbox sérülékenységeiről. A SonicWall esetében két zero-day sérülékenységet használtak ki internetre kitett eszközök ellen, míg a FortiSandbox esetében kritikus hibák tették lehetővé távolról végrehajtható parancsok futtatását. Ez pedig visszavezet minket ahhoz a problémához, amelyet Európának egyre kevésbé lenne célszerű technikai részletkérdésként kezelnie. A kiberbiztonság ma már ugyanúgy része az államok védelmének, mint a légvédelem vagy az energetikai biztonság. Egy megtámadott kataszteri rendszer, egy feltört energiaipari hálózat, egy ellopott kormányzati adatbázis vagy egy előre betelepített kémprogram adott esetben ugyanúgy képes megbénítani egy ország működésének egy részét, mint egy hagyományos támadás, csak éppen nem feltétlenül látjuk, amikor elkezdődik. Talán ez a legfontosabb tanulsága a júliusi CERT-EU-jelentésnek: a kiberháború nem valami külön világ, amely az interneten zajlik, miközben a valódi világ odakint zavartalanul éli világát -a kettő már régen összenőtt. A kérdés inkább az, hogy Európa mikor lesz hajlandó hozzáigazítani ehhez a saját védelmi gondolkodását.

Forrás: CERT-EU – Cyber Brief 26-08 PDF — A jelentés teljes PDF-változata

Ugar