Prawdopodobnie największy cyberatak w historii na operatora telekomunikacyjnego. Uderzony trzon sieci telekomunikacyjnej największego operatora GSM na Ukrainie – Kyivstar.

Zacznijmy… od początku. Kyivstar to największy operator GSM na Ukrainie posiadający około 24 milionów klientów. W połowie grudnia 2023 użytkownicy nagle stracili możliwość wykonywania rozmów telefonicznych, pojawiły się również gigantyczne problemy z dostępem do mobilnego Internetu. Powód? Cyberatak:

Tak wyglądała dostępność internetu oferowanego przez Kyivstar:

Co się dzieje w takiej sytuacji? Ludzie próbują przerzucić się na innych operatorów. Co to za problem żeby podejść do kiosku i kupić prepaidową kartę SIM? Żaden, tylko każdy na to wpadnie, a to oznacza możliwe kolejki, małą dostępność kart SIM, a potencjalnie również przeciążenie innych operatorów.

Co więcej, jak donos Kyiv Post:

sklepy w całym kraju nie mogły obsługiwać płatności kredytowych, nie działało wiele bankomatów, przestało działać automatyczne sterowanie ruchem ulicznym we Lwowie, były problemy z ostrzeganiem o rosyjskich nalotach.

Co o tym wszystkim mówi sam zaatakowany operator GSM? Kyiv Post cytuje Aleksandra Komarowa (CEO Kyivstar):

Atak był profesjonalny i dobrze przygotowany – nie tylko z perspektywy stricte cyber, ale także telekomunikacyjnej. (…) To ogromny cios dla [naszej] infrastruktury.

Cała akcja trwała na szczęście tylko parę dni:

Można się zastanawiać – czy był to „zwykły DDoS” czy może bardziej poważny atak. Więcej detali przynoszą świeże doniesienia Reutersa. Tak relacjonuje całą „cyber-operację” Illia Vitiuk – szef departamentu cyber ukraińskiej służby bezpieczeństwa (SBU):

Atak zniszczył „prawie wszystko”, w tym tysiące wirtualnych serwerów i komputerów stacjonarnych – stwierdził, opisując go jako prawdopodobnie pierwszy przykład niszczycielskiego cyberataku, który „całkowicie zniszczył rdzeń operatora telekomunikacyjnego”.

I dalej:

Na razie możemy śmiało powiedzieć, że atakujący byli systemie IT Kyivstar co najmniej od maja 2023 roku” (…) mieli pełny dostęp: prawdopodobnie przynajmniej od listopada 2023

Rzeczywiście CEO Kyivstar potwierdzał wcześniej ataki na rdzeń sieci telekomunikacyjnej:

Aleksander Komarow: we wtorek około godziny 5 rano hakerzy przeprowadzili atak na sieć szkieletową [ang.: core network] Kyivstar i zdołali zniszczyć część jej funkcji. Rdzeń operatora telekomunikacyjnego jest centralną częścią jego infrastruktury odpowiedzialną za zarządzanie i kierowanie usługami komunikacyjnymi.

W najnowszych doniesieniach pojawia się również informacja o możliwej wcześniejszej infiltracji sieci telekomunikacyjnej przez hackerów. Samo zniszczenie sieci miałoby być więc tylko ostatnim krokiem w całym łańcuchu ataku.

SBU [służba bezpieczeństwa Ukrainy] oceniła, że hakerzy, będąc w sieci, byliby w stanie ukraść dane osobowe, poznać lokalizację telefonów, przechwycić wiadomości SMS i być może ukraść konta Telegram przy takim poziomie dostępu, jaki uzyskali – dodał cytowany wyżej Illia Vitiuk .

W nieco mało formalnym oświadczeniu do całej sprawy odniosła się niedawno rzeczniczka prasowa Kyivstar:

Ponieważ obecnie krążą różne pogłoski i interpretacje dotyczące cyberataku na sieć Kyivstar, jako rzecznik firmy muszę wyjaśnić obecną sytuację. Kyivstar nie potwierdza informacji o rzekomo trwającym od miesięcy dostępie hakerów „wewnątrz” firmy do danych osobowych abonentów i ich wycieku. Oficjalne śledztwo w sprawie cyberataku na sieć Kyivstar, do którego doszło 12 grudnia 2023 r., wciąż trwa, dlatego rozważane są różne wersje, ale żadnej z nich nie można uznać za ostateczną do czasu oficjalnego zakończenia śledztwa.

Przez cały nasz wpis nie pojawia się informacja o pochodzeniu hackerów zamieszanych w atak na Kyivstar. Jak można się domyślać wskazania są na Rosję. A dokładniej grupę APT – SANDWORM.

~ms