Możemy włamać się do każdej instytucji publicznej w maks. 3 dni – ostrzegają specjaliści od cyberbezpieczeństwa

Tylko 15% instytucji z sektora publicznego zamawia testowe włamania do własnych systemów informatycznych. 18% nie przeprowadza żadnych „włamań na zamówienie”. Złamanie zabezpieczeń w polskiej przychodni, szpitalu czy jednostce samorządowej trwa zazwyczaj 3-5 godzin. Specjaliści od cyberbezpieczeństwa apelują o zwiększenie liczby zabezpieczeń.

Według badania polskiej firmy AMP tylko 15% instytucji z sektora publicznego zamawia tzw. testy penetracyjne. To kontrolowane ataki na systemy teleinformatyczne, które mają na celu praktyczną ocenę bieżącego stanu bezpieczeństwa infrastruktury, a w szczególności podatności i odporności na próby przełamania zabezpieczeń. Natomiast 18% nie zamawia żadnych kontrolowanych włamań.

Najdłuższa próba kontrolowanego ataku trwała 3 dni

– Jak pokazuje nasza praktyka, w większości przypadków w ciągu 3-5 godzin jesteśmy w stanie złamać zabezpieczenia wybranego szpitala, przychodni czy jednostki samorządowej. Zasadniczo jestem przekonany, że nasi specjaliści mogą maksymalnie w ciągu 3 dni włamać się do każdej instytucji publicznej w Polsce. Mogę się o to założyć – komentuje Przemysław Wójcik, prezes AMP.

Coraz częściej doniesienia o atakach hakerskich nie kończą się jedynie na stratach finansowych. W szpitalach dochodzi do przerwanych operacji, odwołanych zabiegów i awarii systemów, które mogą kosztować ludzkie życie. W marcu hakerzy zaatakowali jeden z krakowskich szpitali. System informatyczny został sparaliżowany, operacje musiano przenieść, część dokumentacji została zaszyfrowana. Personel ratował sytuację kartkami papieru i telefonami. Takie ataki przestają być wyjątkiem. Jak wynika z raportu „The State of Pentesting 2023”, aż 88% organizacji na świecie doświadczyło naruszenia bezpieczeństwa w ciągu ostatnich 2 lat, mimo że przeciętnie korzystają z 44 różnych narzędzi ochrony.

Przykłady z ostatnich lat mrożą krew w żyłach:

• 2021, Niemcy – Pacjentka zmarła, gdyż szpital w Düsseldorfie nie mógł jej przyjąć z powodu ataku ransomware. To pierwszy udokumentowany przypadek śmierci z powodu cyberataku.
• 2023, USA – W wyniku ataku na system szpitalny CommonSpirit Health wiele placówek musiało odwołać zabiegi, a wyniki badań zniknęły z systemu.
• 2024, Francja – Uniwersytecki Szpital w Rouen został sparaliżowany na tydzień po ataku hakerskim, który unieruchomił systemy rejestracji i zarządzania leczeniem.

Sztuczna inteligencja wsparciem dla przestępców

Dodatkowo eksperci ostrzegają, że tradycyjne oprogramowanie antywirusowe przestało być skuteczną tarczą. Dzisiejsi cyberprzestępcy dysponują narzędziami opartymi na sztucznej inteligencji, które potrafią analizować systemy ofiar, unikać wykrycia i generować unikalny złośliwy kod w czasie rzeczywistym.

– To nie są już skrupulatni hakerzy siedzący tygodniami nad kodem. Dziś wystarczy im kilka godzin i gotowe narzędzie AI, które zrobi to za nich. Cyberprzestępcy zaczęli korzystać z tych samych technologii, które jeszcze niedawno miały chronić nasz świat. Dziś sztuczna inteligencja jest w stanie sama pisać kod ransomware, analizować luki w czasie rzeczywistym, a nawet prowadzić rozmowy z pracownikami ofiary, udając człowieka. Zwykły antywirus tego nie wykryje, bo to nie jest atak oparty na starym wzorcu sygnatury – to dynamiczny, samouczący się mechanizm. Jeśli instytucje nie zaczną stosować równie zaawansowanych metod obrony, jak metody ataku, przegrają tę wojnę – mówi Przemysław Wójcik.

Specjaliści od cyberbezpieczeństwa apelują o zwiększenie liczby zabezpieczeń i przeprowadzanie testów penetracyjnych przynajmniej 2 razy w roku. Takie „legalne włamania” polegają na przeprowadzaniu symulacji ataków, które odwzorowują działania prawdziwych hakerów. Red Team udaje cyberprzestępców i próbuje dostać się do systemów, wykorzystując te same metody: phishing, ataki socjotechniczne, łamanie haseł, skanowanie portów, wykorzystywanie luk w zabezpieczeniach.

Źródło: informacja prasowa

Czytaj także: Michał Dybowski: priorytetem jest dla nas wdrażanie odporności cyfrowej