Co zrobić, aby zabezpieczyć urząd przed atakiem hakerów

Pod koniec kwietnia br. pracownica Urzędu Miejskiego w Urzędowie, przeglądając służbowe e-maile, natrafiła na wiadomość, wysłaną rzekomo przez Pocztę Polską. Nadawca informował, że kurier nie mógł dostarczyć przesyłki, ponieważ nikogo nie zastał pod wskazanym adresem. – Otrzymujemy wiele przesyłek i mogło się zdarzyć, że kurier dotarł do nas, gdy akurat nikogo nie było w urzędzie. Pod wiadomością był link do strony, gdzie można sprawdzić, co się dzieje z niedostarczoną przesyłką, oraz informacja o naliczaniu opłaty za przechowywanie przesyłki przez pocztę. Pracownica kliknęła w odnośnik. Tyle tylko, że została przekierowana nie na stronę Poczty Polskiej, niemającej ze zdarzeniem nic wspólnego, lecz na witrynę, która automatycznie zainstalowała w komputerze urzędu niebezpieczny wirus – mówi Radosław Wilczyński, informatyk z UM w Urzędowie.

Polecamy produkt: Gazeta Samorządu i Administracji

Zainfekowany został nie tylko komputer, lecz także dyski sieciowe. Wirus sprawił, że część plików została zaszyfrowana. W rezultacie stały się one zupełnie nieczytelne dla pracowników, co sparaliżowało funkcjonowanie urzędu. Informatycy przez kilkanaście godzin usuwali zagrożenie. Celem hakerów nie było zrobienie urzędnikom „żartu”, ale pieniądze. Wysłali wiadomość, że odszyfrują dane, jeśli magistrat zapłaci haracz. Nie podali jednak kwoty. Później już się nie odezwali. Urząd Miejski powiadomił o zdarzeniu policję, która prowadzi w tej sprawie śledztwo.

W styczniu 2015 r. przykrą niespodziankę przeżyli pracownicy Urzędu Miejskiego w Jaworznie. W trakcie wykonywania elektronicznego przelewu bankowego z konta magistratu zniknęło 965 tys. zł. Podejrzewano działanie cyberprzestępców i poinformowano policję.

Okazało się, że do ataku hakerskiego na urzędy wykorzystany został serwer instytucji nadrzędnej, zajmującej się kontrolą jednostek samorządowych. Cyberprzestępcy zamieścili na nim zmodyfikowane oprogramowanie, które następnie zostało pobrane, w postaci aktualizacji, przez aplikację sprawozdawczą, wykorzystywaną przez wszystkie urzędy. W ten sposób hakerzy uzyskali loginy i hasła, wykorzystywane przez pracowników urzędów, które zostały potem zaatakowane, do logowania się na serwisach bankowych. W zakresie przejętych uprawnień uzyskali ponadto możliwość podglądu i modyfikacji operacji wykonywanych przez instytucje, które wzięli na swój celownik.

Na początku 2016 roku policja zatrzymała podejrzanych w tej sprawie. Pięciu z nich odpowie przed sądem za włamania komputerowe i kradzieże pieniędzy z kont urzędów.

Nie ma ochrony doskonałej

– Wprawdzie to nie „słabość” systemu informatycznego Urzędu Miejskiego, lecz włamanie do komputera innej instytucji okazało się przyczyną kradzieży pieniędzy, to jednak atak cyberprzestępców był dla nas oczywistym powodem, by dokładnej przyjrzeć się wdrożonym w naszym urzędzie procedurom i uzupełnić je o dodatkowe zapisy. Oprócz tego przeprowadzono audyt systemów wewnętrznych oraz zorganizowano dodatkowe szkolenia dla pracowników, aby w przyszłości jeszcze lepiej zabezpieczyć się przed ewentualnymi atakami informatycznymi – informuje Marcin Miłek z Biura Promocji i Informacji Urzędu Miejskiego w Jaworznie.

Rzecz w tym, że nie istnieje system zabezpieczeń, który byłby w 100 procentach skuteczny i którego nie dałoby się złamać. Przykłady na to można znaleźć na całym świecie, gdzie ofiarami cyberprzestępców padają potężne instytucje. Hakerzy także doskonalą swoje umiejętności, żeby popełniać coraz bardziej wyrafinowane przestępstwa. – Bardzo niebezpieczne są tzw. wirusy zero, czyli takie, których w momencie, kiedy infekują komputery, system jeszcze nie rozpoznaje i w związku z tym bardzo trudno je unieszkodliwić. Niezwykle istotne z punktu widzenia bezpieczeństwa informatycznego jest też właściwe zachowanie pracowników, a szerzej wszystkich użytkowników komputerów. Nie powinni np. otwierać podejrzanych załączników e-mailowych lub wchodzić na nieznane strony, bo często jest to pułapka zastawiona przez cyberprzestępców. Zwracamy na to uwagę naszych pracowników, choć w natłoku codziennych obowiązków mogą się zdarzać nieprzewidziane sytuacje – mówi Radosław Wilczyński.

Polityka bezpieczeństwa plus infrastruktura

Z uwagi na dużą skalę oraz wrażliwość informacji, w jednostkach administracyjnych powinna istnieć polityka bezpieczeństwa wspierana infrastrukturą zabezpieczeń, na którą składają się m.in. takie systemy, jak firewalle nowej generacji, systemy antyspamowe, antywłamaniowe i wiele innych rozwiązań.

WAŻNE

Administracja publiczna przechowuje i przetwarza w swoich systemach informatycznych ogromne ilości danych. Głównie są to dane personalne obywateli: numery PESEL, adresy zamieszkania, numery dowodów osobistych, praw jazdy, paszportów, dane podatkowe i finansowe.