Súlyos szakemberhiány és egyre több MI-vezérelt támadás fenyegeti az országot

Miközben a kiberbiztonság kérdése Európa-szerte egyre inkább a nemzetbiztonsági stratégiák homlokterébe kerül, a Nemzeti Kiberbiztonsági Igazgatóság (Directoratul Național de Securitate Cibernetică, DNSC) frissen közzétett, 2025-ös évre vonatkozó kockázatértékelő jelentése olyan őszinteséggel tárja fel Románia sebezhetőségeit, amilyenre a térségben ritkán akad példa – és éppen ez az őszinteség az, ami a dokumentumot a maga kellemetlen adataival együtt is figyelemre méltóvá teszi. A jelentés szerint az ország egyfajta „kiberbiztonsági fordulóponton” áll, ahol a hagyományos fenyegetések továbbra is nagy károkat okoznak, ám az új technológiák, mindenekelőtt a mesterséges intelligencia, drámai módon lerövidítik azt az időt, amely a szervezeteknek egy-egy támadásra való reagálásra rendelkezésükre áll.

A DNSC által vizsgált tíz szektor mindegyike – az energiaipartól a közigazgatáson át a vízgazdálkodásig – hivatalosan „közepes” kockázati besorolást kapott, ez az egységesnek tűnő minősítés azonban, ahogy a jelentés is hangsúlyozza, komoly szerkezeti problémákat takar, amelyek bármelyik pillanatban súlyos, akár országos léptékű incidenshez vezethetnek. A legégetőbb gond az intézmény szerint a képzett informatikai és kiberbiztonsági szakemberek drámai hiánya: Romániában a foglalkoztatottak mindössze 2,8 százaléka dolgozik az IKT-szektorban, ami jócskán elmarad az Európai Unió 5 százalékos átlagától, és a 2030-ra kitűzött nemzeti céltól is messze van. A hiány a mindennapokban úgy csapódik le, hogy sok szervezetnél ugyanazok a munkatársak felelnek egyszerre az informatikai infrastruktúráért, a jogszabályi megfelelésért, az üzemeltetési támogatásért és az incidensekre való reagálásért is, ami – nem meglepő módon – jelentősen rontja mind a megelőzés, mind a védekezés hatékonyságát.

Nem a kifinomultság, hanem a hanyagság az igazi ellenség

A jelentés egyik legtanulságosabb megállapítása, hogy a 2025-ben legnagyobb kárt okozó támadások korántsem a legkifinomultabb technikai megoldásokra épültek, hanem éppen ellenkezőleg: olyan, régóta ismert sebezhetőségeket és megoldatlan szervezeti hiányosságokat használtak ki, amelyeket tudatos odafigyeléssel akár teljes egészében el is lehetett volna kerülni. A social engineering, vagyis a megtévesztésen alapuló pszichológiai manipuláció, az adathalászat, a zsarolóvírusok, az online csalások és a fiókok jogosulatlan átvétele maradtak a támadók legkedveltebb eszközei, és a DNSC kifejezetten kiemeli, hogy ezek sikerét sokkal inkább a szervezetek belső gyengeségei, semmint a támadások technikai bonyolultsága magyarázza. Az adatok önmagukért beszélnek: az adathalászat a bejelentett incidensek mintegy 36 százalékáért felelt, míg a csalások és csalási kísérletek további 29 százalékot tettek ki, vagyis a beérkezett jelzések csaknem két harmada mögött végső soron az emberi tényező, azaz egy-egy elkattintott link vagy meggondolatlan pillanat állt.

A jelentés talán legriasztóbb fejezete azzal a fordulattal foglalkozik, amelyet a mesterséges intelligencia rohamos fejlődése hozott a kiberfenyegetések világába: a DNSC szerint 2025 hozta el az első nyilvánosan is dokumentált esetet, amikor egy kémkedési célú kiberkampányt 80–90 százalékban egy autonóm, úgynevezett „ügynöki” mesterséges intelligencia hajtott végre, emberi beavatkozás nélkül, mintegy harminc szervezetet célba véve világszerte. Az intézmény figyelmeztetése szerint az ilyen MI-alapú eszközök radikálisan lejjebb tolták a támadáshoz szükséges belépési küszöböt, így ma már olyan, korlátozott erőforrásokkal rendelkező szereplők is hozzáférhetnek korábban kizárólag állami háttérrel rendelkező csoportokra jellemző képességekhez, akiknek korábban esélyük sem lett volna ilyen komplex műveletek végrehajtására. Mindeközben a deepfake-technológia már ma is aktívan jelen van a román állampolgárokat célzó csalási kampányokban, a mesterséges intelligenciával generált tartalom pedig érzékelhetően javította az adathalász és egyéb social engineering támadások hatékonyságát is. Érdemes megjegyezni, hogy erről a jelenségről, tudniillik arról, hogy a mesterséges intelligencia által jelentett kiberfenyegetések már a legmagasabb szintű hírszerzési körökben is komoly aggodalmat keltenek, az Ugar korábban már beszámolt akkor, amikor a Five Eyes hírszerzési szövetség – amelybe az Egyesült Államok, az Egyesült Királyság, Kanada, Ausztrália és Új-Zéland tartozik – saját jelentéseiben is nevesítette az MI-vezérelt támadások növekvő kockázatát. (Lásd cikkünk alján a Kapcsolódó-ban!)

A szervezeteket ért károk tekintetében a jelentés egyértelműen a zsarolóvírusokat, azaz a ransomware-t nevezi meg a legveszélyesebb fenyegetésként, a DNSC pedig 2025 folyamán olyan incidenseket kezelt, amelyek közintézményeket, energiaipari vállalatokat, vízügyi szolgáltatókat és számtalan kis- és középvállalkozást egyaránt érintettek. Az év egyik legsúlyosabb esete a Román Vizek Országos Igazgatóságát (Administrația Națională „Apele Române”, ANAR) érte, ahol a tizenegy vízgyűjtő-igazgatóság közül tízben összesen mintegy ezer rendszer sérült meg. Egy másik jelentős incidens az Oltenia Energetikai Komplexumot (Complexul Energetic Oltenia, CE Oltenia) sújtotta, ahol a dokumentumkezelésre, az erőforrás-tervezésre és az elektronikus levelezésre használt informatikai rendszerek váltak a támadás áldozatává. A jelentés külön kitér arra a kényelmetlen mintázatra is, hogy a támadók rendszeresen kihasználják azokat az időszakokat – ünnepnapokat, hosszú hétvégéket –, amikor a szervezetek felügyeleti és reagálási kapacitása amúgy is csökkent, és amikor az első behatolás és az adatok titkosítása között olykor mindössze néhány óra telik el.

A 2025-ös év legjelentősebb adatszivárgási incidense az Orange România elleni támadás volt, amelynek során a támadók belső adatokat – köztük e-mail-címeket, bankkártyákra vonatkozó részleges információkat, szerződéseket, számlákat és forráskódot – szereztek meg jogtalanul. A DNSC figyelmeztetése szerint az ilyen jellegű, ellopott adatok később könnyen felhasználhatók célzott adathalász kampányokhoz, pénzügyi csalásokhoz és fiókátvételi kísérletekhez, vagyis a károk hatása jóval túlmutat magán az eredeti incidensen.

A jelentés egyik legfinomabb, ám talán legfontosabb megfigyelése a szervezetek önértékelése és a valós biztonsági szint közötti szakadékra vonatkozik. A megkérdezett szervezetek 68 százaléka saját biztonsági helyzetét jónak vagy nagyon jónak minősítette, ám ugyanezen szervezeteknek mindössze 37 százaléka gondolta úgy, hogy a saját ágazatuk egésze is hasonlóan jól áll. A DNSC szerint ez a feltűnő különbség egyszerre jelezheti a saját képességek túlbecsülését és a rendszerszintű, ágazati sebezhetőségek tudatos felismerését is – a következtetés azonban mindkét esetben ugyanaz: a tényleges védekezési képesség elmarad attól a szinttől, amelyet a kockázatokról való tudatosság önmagában sugallna. Az intézmény éppen ezért állítja, hogy Románia legfőbb kockázatát nem elsősorban a támadók egyre nagyobb technikai felkészültsége jelenti, hanem az a tartósan fennálló szakadék, amely a fenyegetések ismerete és az azokra való tényleges, gyakorlati reagálóképesség között húzódik – és amelynek csökkentését a DNSC a következő időszak legfontosabb stratégiai feladatának nevezi.

És Magyarország?

Ha mindezt a magyarországi helyzettel vetjük össze, önkéntelenül is szembeötlik a különbség: Románia, minden strukturális gondja és szakemberhiánya ellenére, legalább nyíltan beszél a problémáról, éves jelentésben, nevesített incidensekkel, konkrét számokkal dokumentálja, hol és miért omlik össze időről időre a védelmi vonala. Magyarországon ezzel szemben a kiberbiztonság témája körül jellemzően néma csend honol, ami önmagában is beszédes – Orbán Viktor kormányzása alatt ez az ágazat is háttérbe szorult, pontosabban fogalmazva, a bukott kormány nyíltan orosz érdekkörbe engedte át a terepet. Elég csak felidézni, hogy az orosz hackerek annak idején olyan otthonos könnyedséggel jártak ki-be a magyar külügyminisztérium szerverein, mintha csak a saját nyaralójuk kertkapuján közlekedtek volna: mindenki tudta, hogy ott vannak, senki nem kérte számon rajtuk, ők pedig cserébe igyekeztek nem összetörni a bútorokat.

Felhasznált forrás: G4Media