Μια μεγάλη κυβερνοεπίθεση έθεσε εκτός λειτουργίας το κτηματολόγιο της Ρουμανίας, αφήνοντας συμβολαιογράφους και πολίτες χωρίς πρόσβαση σε βασικά στοιχεία ιδιοκτησίας.
Ο εισβολέας φέρεται να απέκτησε πρόσβαση στα συστήματα της Εθνικής Υπηρεσίας Κτηματολογίου και Δημοσιότητας Ακινήτων, γνωστής ως ANCPI, χρησιμοποιώντας έγκυρα διαπιστευτήρια.
Μετά από αποτυχημένη προσπάθεια εκβιασμού, προχώρησε στη διαγραφή των κτηματολογικών δεδομένων, μαζί με εσωτερικά έγγραφα και στοιχεία πρόσβασης εργαζομένων.
Πρόσβαση σε πηγαίο κώδικα και εσωτερικά συστήματα
Ο δράστης ισχυρίστηκε σε forum χάκερ ότι είχε αποκτήσει αντίγραφα των GitLab servers της ANCPI, τα οποία περιείχαν τον πηγαίο κώδικα κρίσιμων συστημάτων της υπηρεσίας.
Ανάμεσά τους φέρεται να βρίσκονταν το Eterra και το RENNS, ενώ ο χάκερ υποστήριξε ότι είχε αναπτύξει και δική του έκδοση ransomware.
Οι ισχυρισμοί αυτοί δεν έχουν επιβεβαιωθεί πλήρως από τις ρουμανικές αρχές, όμως η ANCPI παραδέχθηκε τελικά ότι βρισκόταν αντιμέτωπη με κυβερνοεπίθεση.
Αρχικά, η κυβερνητική ιστοσελίδα είχε αποδώσει τη διακοπή λειτουργίας σε «τεχνικά προβλήματα», χωρίς να αποκαλύψει την πραγματική έκταση του περιστατικού.
Πάγωσε η αγορά ακινήτων
Η απώλεια πρόσβασης στα συστήματα της ANCPI προκάλεσε άμεσο πρόβλημα στις αγοραπωλησίες ακινήτων.
Οι συμβολαιογράφοι δεν μπορούν να εκδώσουν κτηματολογικά αποσπάσματα, να ολοκληρώσουν πωλήσεις ή να καταχωρήσουν νέες υποθήκες. Οι πολίτες δεν έχουν επίσης τη δυνατότητα να αποκτήσουν επίσημες αποδείξεις κυριότητας ή αναλυτικά στοιχεία για ακίνητα.
Η συμβολαιογράφος Ana Stan περιέγραψε την κατάσταση λέγοντας ότι από την Τρίτη δεν μπορούσε να εκδώσει κτηματολογικό απόσπασμα, να επικυρώσει πώληση ή να καταχωρήσει υποθήκη.
Το πρόβλημα επηρεάζει μια αγορά στην οποία πραγματοποιούνται κατά μέσο όρο από 150.000 έως 170.000 πωλήσεις κατοικιών κάθε χρόνο.
Τα offline backups απέτρεψαν τη μόνιμη απώλεια
Παρά τις αρχικές αναφορές για πλήρη διαγραφή των δεδομένων, η ANCPI ανακοίνωσε ότι διατηρούσε αντίγραφα ασφαλείας σε διαφορετικές τοποθεσίες.
Οι αρχές κατάφεραν να επαναφέρουν την ιστοσελίδα της υπηρεσίας και ξεκίνησαν την πλήρη ανακατασκευή του εσωτερικού της δικτύου.
Η ύπαρξη offline αντιγράφων σημαίνει ότι τα κτηματολογικά δεδομένα δεν φαίνεται να έχουν χαθεί οριστικά, ακόμη κι αν τα ενεργά συστήματα διαγράφηκαν ή παραβιάστηκαν.
Η ANCPI υποστήριξε ότι οι πολλαπλές τοποθεσίες αποθήκευσης επιτρέπουν την αποκατάσταση των πληροφοριών μετά από ένα κυβερνοπεριστατικό.
Δεν έχει γίνει ακόμη γνωστό πότε θα αποκατασταθεί πλήρως η πρόσβαση για τους συμβολαιογράφους και το κοινό.
Η υπηρεσία είχε προειδοποιηθεί
Η Εθνική Διεύθυνση Κυβερνοασφάλειας της Ρουμανίας ανέφερε ότι είχε προειδοποιήσει πρόσφατα την ANCPI για προβλήματα στην ασφάλεια των συστημάτων της.
Ο διευθυντής της, Dan Cîmpean, υποστήριξε ότι η επίθεση δεν ήταν ιδιαίτερα σύνθετη και ότι θα μπορούσε να είχε αποτραπεί.
Σύμφωνα με τον ίδιο, ο χάκερ εκμεταλλεύτηκε ευπάθειες για τις οποίες η υπηρεσία είχε ήδη ενημερωθεί.
Η ANCPI φέρεται να έχει δαπανήσει περίπου 135 εκατ. ευρώ για την ψηφιοποίηση των υπηρεσιών της μέσα σε δύο δεκαετίες. Από αυτό το ποσό, μόλις περίπου 305.000 ευρώ, ή το 0,2%, διατέθηκαν για την κυβερνοασφάλεια.
Η εφημερίδα Ziarul Financiar χαρακτήρισε το περιστατικό αποτέλεσμα μιας προσέγγισης στην οποία η κυβερνοάμυνα αντιμετωπιζόταν ως δευτερεύον ζήτημα.
Η επίθεση ήρθε λίγο πριν από την αύξηση του ΦΠΑ
Η χρονική στιγμή της επίθεσης προκαλεί ακόμη μεγαλύτερη πίεση στην αγορά.
Οι αγοραστές έχουν περιορισμένο χρόνο για να ολοκληρώσουν συναλλαγές με ΦΠΑ 9%, πριν ο φόρος στις νέες κατοικίες αυξηθεί στο 21% από την 1η Αυγούστου.
Με το κτηματολόγιο εκτός λειτουργίας, αρκετές αγοραπωλησίες κινδυνεύουν να μην ολοκληρωθούν πριν από την αλλαγή του φορολογικού συντελεστή.
Ποιος βρίσκεται πίσω από την επίθεση
Ο δράστης χρησιμοποιεί στο dark web το όνομα ByteToBreach και έχει συνδεθεί και με προηγούμενη παραβίαση της ηλεκτρονικής κυβερνητικής πύλης της Σουηδίας.
Η εταιρεία κυβερνοασφάλειας KELA εκτιμά ότι πίσω από τον λογαριασμό βρίσκεται πιθανότατα ο Zakaria Mahdjoub, με έδρα το Oran της Αλγερίας.
Οι ερευνητές τον συνδέουν με την πώληση ευαίσθητων δεδομένων από αεροπορικές εταιρείες, τράπεζες και κυβερνητικές υπηρεσίες, καθώς και με παραβιάσεις μητρώων στη Σλοβακία, την Ουκρανία, την Πολωνία και τη Λιθουανία.
Η ταυτότητά του και η συμμετοχή του στις συγκεκριμένες επιθέσεις δεν έχουν επιβεβαιωθεί επίσημα από τις αρμόδιες αρχές.