Reakcja a’la państwo: zhakowano fiskusa, 700 tys. obywateli poszkodowanych, rząd niemal beztroski
Jak wiadomo, pod koniec tygodnia poinformowano o włamaniu do systemów francuskiego fiskusa. Włamaniu ogromnym w skali – w jego wyniku wykradzione miały być dane 678 tys. podatników. Rzecz jednak w tym, co w obliczu tej sytuacji robi rząd. Otóż w reakcji na ów atak hakerski premier Sébastien Lecornu obiecał… zwołanie posiedzenia sztabu kryzysowego. Już w poniedziałek – włamanie włamaniem, ale przecież trwał weekend… Pozostaje także oczywiste pytanie, w jaki sposób posiedzenie biurokratycznego organu ma powetować masową kompromitację prywatnych informacji?
Dyrekcja Generalna Finansów Publicznych (Direction Générale des Finances Publiques, DGFiP) padła ofiarą ataku cybernetycznego przeprowadzonego jeszcze pod koniec czerwca. Sprawca działający pod pseudonimem ZeroBytes posłużył się skradzionymi informacjami dot. poświadczenia tożsamości. Wykorzystując je, zdołał uzyskać dostęp do wewnętrznej sieci VPN urzędu, a następnie do narzędzia wyszukiwania w systemach DGFiP. Haker był przy tym cierpliwy. Przez około 6 tygodni prowadził metodyczny atak, fragmentami pobierając niewielkie partie danych w wielu iteracjach. Taki styl „pracy” umożliwił mu uniknięcie mechanizmów detekcji anomalii cybernetycznych przez tak długi okres.
W efekcie ZeroBytes zdołał wyeksfiltrować informacje dotyczące 393 tysięcy osób fizycznych oraz 286 tysięcy podmiotów gospodarczych. Dane obejmują imiona i nazwiska, daty urodzenia, adresy zamieszkania, numery telefonów, adresy e-mail, dochód referencyjny podlegający opodatkowaniu, stawki podatku zryczałtowanego, sytuację rodzinną, liczbę osób na utrzymaniu, wewnętrzne identyfikatory podatkowe oraz historię kontaktów z administracją. Wśród poszkodowanych – to tak à propos teoretycznej zasady równości wobec prawa – znajduje się blisko 27 tys. osób z rocznymi dochodami powyżej 100 tys. euro, 386 deklarujących ponad milion euro i osiem osób z dochodami powyżej dziesięciu milionów euro.
Baza danych została wystawiona na sprzedaż w Darknecie, za marne kilka tysięcy euro.
Rząd „dynamicznie” reaguje na atak
Cały atak doczekał się publicznego ujawnienia dopiero 12 sierpnia, gdy ZeroBytes zamieścił ogłoszenie na forum cyberprzestępczym. DGFiP, która wykryła nieautoryzowany dostęp pod koniec czerwca, blokując go wówczas w toku rutynowej kontroli bezpieczeństwa, dotąd milczała w tej sprawie jak zaklęta, ani słowem nie informując tysięcy podatników, że powierzone jej dane ich dotyczące zostały wykradzione. Za to premier Sébastien Lecornu zareagował wedle najlepszych wzorców państwa tworzonego przez biurokrację, i dla biurokracji. Otóż zwołał posiedzenie sztabu kryzysowego na poniedziałek, 16 sierpnia – cztery dni po opublikowaniu ogłoszenia przez hakera i niemal siedem tygodni po faktycznym włamaniu.
Dodatkowo posiedzenie sztabu ma się odbyć z wykorzystaniem łącza wideokonferencyjnego, bo pan premier przebywa właśnie w departamencie Gironde, który wizytował. Oczywiście pytaniem pozostaje, po co w ogóle to całe posiedzenie, wyjąwszy być może spektakl medialny, by pokazać, że rząd „coś robi” w odpowiedzi na atak. Ideą sztabu kryzysowego jest bowiem przecież poprawa koordynacji w reakcji na dynamicznie się zmieniającą sytuację. Na co jednak francuski rząd chciałby dynamicznie reagować po siedmiu tygodniach od włamania? Szczególnie w sytuacji, w której informacje o ataku były w dyspozycji organów państwa (DGFiP), które jednak najwyraźniej nie podzieliły się tą wiedzą z rządem (!) – inaczej sztab zwołano by już dawno…
Sprawę wyjaśnia zresztą paryska prokuratura oraz tamtejszy Urząd do walki z Cyberprzestępczością. Po co w takim razie premier i jego sztab…?
Francja wywiesza białą flagę wobec hakerów?
Wedle oficjalnego komunikatu, poniedziałkowe posiedzenie sztabu ma się natomiast zająć przygotowaniami do powiadamiania poszkodowanych (zupełnie jakby wymagało to jakiś głębokich filozoficznych deliberacji) oraz omówić „nowy model zarządzania cyfrowego”, cokolwiek miałoby to oznaczać. Sztab ma także przedyskutować przeznaczenie dodatkowych 200 mln euro na wzmocnienie cyberbezpieczeństwa – co byłoby może godne uwagi, gdyby nie fakt, że decyzję w tej sprawie podjęto już dawno temu. Konkretnie w kwietniu b.r., po tym, jak inny atak cybernetyczny doprowadził do skompromitowania 11,7 mln rekordów z zasobów Agencji Bezpiecznych Dokumentów (ANTS). Co w takim razie sztab ma przedyskutować, już podjętą decyzję?
Tytułem wyjaśnienia, od początku tego roku Francja odnotowuje średnio trzy włamania hakerskie lub kradzieże danych dziennie. Naturalnie nie przeszkodziło to DGFiP w beztroskim stosowaniu systemów komputerowych, które pozwalają pojedynczemu użytkownikowi dysponującemu skompromitowanymi poświadczeniami tożsamości na nieograniczone przeglądanie setek tysięcy rekordów podatkowych. Po co jednak fiskus miałby cokolwiek zmieniać? W końcu nie jest instytucją rynkowa i nie musi obawiać się konkurencji lub braku funduszy. A jeśli (tj. kiedy) znów nastąpi atak hakerski, to też przecież żaden problem, przynajmniej dla zainteresowanych urzędników. Zawsze można zwołać kolejne posiedzenie sztabu kryzysowego.
Śpijcie spokojnie, francuscy podatnicy.
