Преса про нас

Рік після кібератаки

27 червня 2017 року, середа. Цифрова атака уразила 64 країни. Сотні компаній зупиняють свою роботу, під удар потрапляють лікарні в США, в порту Роттердама вантажівки та судна не можуть відправити свій вантаж. Але ніде не було нанесено такого великого збитку, як в Україні. Загальний збиток становить мільярди. Що ж відбулося? Хто стояв за цим? Проведемо реконструкцію подій.

Том Крелін і Хейб Моддерколк 27 червня 2018, 2:00

8:05: Комп’ютери блокуються

27 червня 2017 року Олена Ботяй, рішуча та привітна жінка із завитим та укладеним волоссям, як завжди проїжджає одну зупинку в метро, проходить кілька сотень метрів до медичної приватної клініки «Борис» у передмісті Києва. Прибігши на роботу, вона вмикає комп’ютер і починає свій робочий день, який виявиться катастрофічним. Не тільки для неї, але й для всієї України.

Згідно із даними на комп’ютері на сьогодні записано п’ятсот пацієнтів. Лікарня, де Олена Ботяй очолює амбулаторну клініку, знаходиться на околиці української столиці. Тут лікуються досить заможні люди. На парковці стоять автомобілі дорогих іноземних брендів: Audi, BMW, Mercedes. У клініці є власна швидка допомога, вертоліт та шістсот лікарів на зміні.

Через декілька годин Олена намагається отримати доступ до файлів пацієнтів, але комп’ютер не працює. Вона знову відкриває медичні програми, щоб дізнатися, хто записаний сьогодні на прийом, та нічого не виходить. Її власний комп’ютер перестав реагувати. Пані Ботяй телефонує до відділу інформаційних технологій (IT): «У мене тут просто катастрофа. Без комп’ютера я нічого не можу».

«У нас кібератака», – коротко відповідає керівник IT-відділу.

Олена Ботяй, лікар приватної клініки «Борис». Фото Йерун де Баккер

Ботяй не мала жодного уявлення, що це означає. Раніше вона ніколи не стикалася з подібним. Вона біжить через хол до сходів, на поверх вище. Там розташована лабораторія. Приблизно сім тисяч аналізів проводиться щодня: аналіз крові, тест на алергію тощо. Всі дані знаходяться у комп’ютері, але лікарі не можуть отримати доступ до нього, а отже й надати пацієнтам результати.

У паніці вона повертається назад. Біля реєстраційної стійки збирається ще більше пацієнтів. Пані Олена намагається пояснити: «На нас здійснили атаку, ми призначимо новий час для прийому». Пацієнти нічого не розуміють і починають гніватися. Чоловік похилого віку кричить на неї: «Мене це не хвилює! Мені потрібна допомога зараз». Але вона не має часу з кожним сперечатися. Пані Ботяй повинна зателефонувати пацієнтам, у яких сьогодні не відбудеться операція. Інші операції вона спробує перенести до інших клінік. І вона звертається до всіх вільних колег з проханням негайно допомогти їй.

Рік тому, 27 червня, цифрова атака вразила 64 країни по всьому світу. Сотні компаній призупинили свою роботу, під удар потрапили лікарні в США, датська мультинаціональна транспортна компанія Maersk зазнала найбільшої кризи за своє існування, а в порту Роттердама вантажівки та судна не могли протягом тижня відправити вантаж. Збиток становить мільярди. Спочатку здається, що це «вірус-вимагач», але потім виявляється, що його мета – диверсія: заражені комп’ютери підлягають повному очищенню без збереження даних.

Серед усіх країн особливо сильно постраждала Україна. Життя в столиці цього дня зупинилося. Держава, банки, преса, поштові відділення, Чорнобильська атомна електростанція та аеропорт: усе потрапило під масовану кібератаку.

Вперше більшість населення відчула на собі напад невидимого ворога. Як діяти, якщо система, якій всі довіряють, виходить з ладу? Наскільки це може налякати та наскільки вразливими можна себе відчути?

12:02: Серйозність ситуації відчувається скрізь

39-річний Дмитро Вербовський, начальник відділу служби інформаційних технологій у міжнародному аеропорту «Бориспіль», як завжди, на обідній перерві сидів у ресторані на території аеропорту зі своїм колегою Ігорем. Не встиг він посмакувати замовленим супом, як йому зателефонували. У слухавці повідомили: «Тут явно відбувається щось дивне. Два комп’ютери заблоковані». «І що ж там?», – запитав пан Дмитро. У відповідь він почув: «Почекайте, тут ще три комп’ютери заблоковувалися».

Дмитро піднявся, сказавши, що поспішає до офісу, який знаходиться неподалік в центрі обробки даних, приблизно за 500 метрів. Коли він увійшов, заблокувалися ще два комп’ютери. Він зателефонував знайомим з інших компаній. Там також були проблеми. Тепер пан Вербовський усвідомив всю серйозність ситуації. Він швидко перевіряє систему обробки даних про пасажирів і систему контролю за рухом повітряного транспорту. З ними все гаразд, адже вони не працюють на операційній системі Windows, яка постраждала внаслідок атаки.

Один за одним збільшується кількість заражених офісних комп’ютерів. Пан Вербовський закликає сімсот співробітників якнайшвидше вимкнути офісні комп’ютери. Вірус, здається, з’являється всюди. Сотні працівників цього дня більше не можуть продовжувати працювати за комп’ютерами і більшість йде додому.

Дмитро Вербовський, ІТ-менеджер Київського аеропорту Фото Йерун де Баккер

12:06: Банки заблоковані

Команда фахівців спецслужби захисту інформації СБУ їде до Ощадбанку.

Державний банк потребує допомоги. Система електронного банкінгу більше не працює: зробити грошовий переказ неможливо. Олексій Ткаченко, заступник керівника інформаційного відділу, відправив своїх людей щойно почали поступати телефонні дзвінки. Урядові організації, фінансові установи, електростанція: системи перестають працювати скрізь.

У центральному управлінні СБУ на Володимирській вулиці, пан Ткаченко, високий чоловік з коротким темним волоссям і телефоном у великій нагрудній кишені, розмірковує про інші атаки напередодні або після національних свят. 23 грудня 2015 року: вірус-диверсант спричинив призупинення роботи енергетичних компаній на заході України. Протягом кількох годин деякі населені пункти були без електроенергії. 2016 рік: незадовго перед Різдвом та Новим роком відбулася атака на Міністерство фінансів та Міністерство інфраструктури. В кінці року було неможливо зробити останні виплати. Пан Ткаченко заявляє: «Цей тип атак має на меті руйнування; щоб показати, що український уряд знаходиться в хаосі. Ідеальна, тиха зброя нашого часу. Україна – це експериментальний майданчик для кіберзброї».

12:54: Криза минула

Шотландець Джок Мендоза Вілсон знайомий з подібною ситуацією. З 2005 року він працює з найбільшою компанією країни, «Систем Кепітал Менеджмент», та найбагатшим олігархом Рінатом Ахметовим. СКМ, крім того, є власником телекомунікаційного провайдера «Укртелеком». Через конфлікти на сході України Вілсон, директор з міжнародних зв’язків та відносин, вже переживав ситуацію, коли його працівникам загрожувала фізична небезпека. Завод СКМ силоміць був узятий під контроль професійними російськими спецслужбовцями.

Конкуренти та служба безпеки зацікавлені в стабільній роботі СКМ. Забезпечена надійна охорона об’єктів. Вілсон не відкриває листи від незнайомців. У якості запобіжного заходу компанія працює з хмарними сервісами: на комп’ютерах немає жодної інформації. Коли того дня до просторого офісу Вілсона з видом на відомий монастир Св. Михаїла із золотими куполами увірвалася його асистентка Ксенія з криком, щоб він вимкнув свій комп’ютер, Вілсон одразу зрозумів, що це серйозно. Він нахилився та сильним ривком витягнув зі свого комп’ютера білий мережевий кабель.

Деякий час він мав надію, що це ненадовго. Потім зателефонували з IT-відділу: ніхто не міг нічого зробити. Він думав про електронні листи, які хотів відправити, завдання, над яким працював протягом 4 місяців. Зараз він може все втратити. Він також хотів надіслати міжнародні контакти. Його охопило відчуття невизначеності. Що відбувається? Через годину він, закривши двері, вийшов з офісу та викликав абсолютно дзеркальний ліфт. Пройшовши через одні з двох в’їзних воріт у рожевому мармурі та вийшовши через вхід на вулицю, пан Вілсон сів у авто з водієм, який чекав на нього. Лише тоді він усвідомив, наскільки кризовою є ситуація.

Джок Мендоза Вілсон, директор з міжнародних зв’язків та відносин СКМ. Фото Йерун де Баккер

13:30: Зв’язок з президентом

Інформація про кризову ситуацію вже дійшла до сходу Сполучених Штатів Америки (штат Нью-Йорк). 42-річний Дмитро Шимків, головний радник президента Петра Порошенка з технічних питань. Він знаходився в Нью-Йорку, щоб відправити дітей до літнього табору. Після ранкової пробіжки він побачив перше повідомлення про «підозрілу активність» в українських мережах. Пан Шимків, колишній виконавчий директор ТОВ «Майкрософт Україна», безперервно набирає номери телефонів. Він очолює невелику команду інформаційних фахівців. Вони безпосередньо контактують зі службою безпеки та кібер-поліцією. Повідомлення викликають занепокоєння. «Комп’ютери по всій крані перетворюються на груду каміння. Вони більше не придатні для роботи». Також є повідомлення про персональні атаки на посадових осіб з різних міністерств. Це напад на його країну.

Пан Шимків чітко знає, що йому потрібно робити: перевірити, чи не вплине це на Апарат Президента, після цього занести кризу до картки та надати рекомендації установам, які постраждали. Невдовзі йому стало зрозуміло, що означає «сильно помилятися». Вранці він розмовляв по захищеному каналу з Президентом. Він сказав йому, що Адміністрація Президента не постраждала, і що він підтримує зв’язок з командою. О 9:12 за місцевим часом він розміщує повідомлення на Facebook про те, що інформаційні системи Адміністрації Президента працюють у звичному режимі, але через кібератаку велика увага приділяється ситуації в інших державних організаціях.

13:50: «За цим стоять росіяни?»

«Заспокойся», – говорить до себе 21-річна Тетяна Лабусь. Потрібно зберігати бойовий настрій. Треба робити вигляд, ніби все під контролем, навіть якщо не маєш уявлення про те, що відбувається. Тетяна нервово натискає чорно-білими нігтями на кнопки одного із семи касових апаратів у поштовому відділенні «Укрпошта» за 15 км від Києва.

Поштове відділення швидко наповнювалося людьми, які очікували прийому. Особливо багато було людей похилого віку, які хотіли отримати свої пенсії або сплатити щомісячні рахунки за електроенергію в державному поштовому відділені. Відвідувачі нічого не розуміють. Збій? Деякі невдоволено звертаються до пані Тетяни, говорячи, що вони хочуть отримати свої гроші. «Ви повинні зачекати», – каже вона їм. Але невідомо, як довго.

Тетяна Лабусь, працівник поштового відділення. Фото Йерун де Баккер

Дехто йде додому, інші з тривогою лишаються чекати. Пані Лабусь почуває себе жахливо. Вона нічим не може допомогти. Але вона також переймається за Україну. Що трапилося? Чи позв’язано це з війною?

«Росіяни», – промайнуло в голові. Але ця думка швидко зникла. Більшість українців мають неоднозначні відносини зі своїм східним сусідом. Вони мають друзів, які живуть у Росії, вони розмовляють російською мовою, в історичному та культурному аспектах обидві країни глибоко пов’язані між собою. Так, на сході країни йде війна з росіянами, але це не означає, що всі росіяни погані, і що вони стоять за цим всім.

13:53: Уражені ЗМІ

Едуард Крижанівський, прочитавши повідомлення у Facebook про українські компанії, які простоюють, спочатку думає, що «росіяни наступають». Пан Крижанівський працює журналістом та фотографом на національному каналі новин «24 Канал». Він зателефонував своїй знайомій, і вони нервово пожартували про вторгнення та схвильовано посміялися.

Увійшовши до редакції в центрі Києва, 24-річний київський журналіст, розуміє, що нічого не працює. Ані монітори в студії, ані телесуфлер. Комп’ютери, на котрих знаходяться файли, заблоковані. Всі екрани чорні. Телестанція завмерла. Потрібен час, щоб знайти стару карту пам’яті з епізодами сатиричної програми, над якою вони працюють. Він змушений повертатися додому.

Едуард Крижанівський, телерепортер «24 Каналу». Фото Йерун де Баккер

Тепер вони також частина новин, але це не означає, що вони не хочуть займатися своєю роботою. Крім безладу і паніки, Крижанівський та його колеги відчувають свого роду хвилювання. Вони йдуть додому і забирають власні незаражені комп’ютери.

Вони телефонують в компанії, які також постраждали, щоб отримати від них коментарі. Попередньо вони записують інтерв’ю. Через дві години редактори відділу новин 24 Каналу намагаються запустити свого роду трансляцію. Існує можливість працювати через мобільний Інтернет. Під час першої трансляції вдень ведучий читав текст з паперу. Телесуфлер не працював, неможливо було робити правки або показувати інформаційну стрічку на екрані. На екрані в задній частині студії розміщують фрагмент з фільму «Матриця» з повідомленням «Хакерська атака!».

15:08: Атака по всьому світу

Тільки в автомобілі Вільсон усвідомив, наскільки великою є криза. Водій перекладає йому російські новини на радіо. Банки, аеропорти, електростанції: не працюють. Він помічає тишу та спокій на вулиці, що є незвичними для будніх днів напередодні державного свята. Місто з трьома мільйонами людей переживало шок через зупинку роботи. Це лякає. В голові пронеслося: «Чи зможу я отримати свої гроші? Чи можуть літаки вилітати та приземлятися?».

Вдома він шукав повідомлення із західних ЗМІ. Журналісти BBC повідомляли, що роботу компаній в Німеччині, Нідерландах та Сполучених Штатах також заблоковано. Він телефонував друзям та діловим партнерам. «Майже ніхто не знає, як поводити себе під час нападу в мережі інтернет. Я проходив через це. Це дає відчуття глибокої невизначеності. Все, чому ви зазвичай довіряєте, не працює. Раптово ти усвідомлюєш, наскільки ти є крихітним, і залежиш від таких речей, як комп’ютер, телефон, електроенергія, громадський транспорт, лікарні. Найстрашніше – це невловимість. І саме це впливає на впевненість. Що вийде з ладу пізніше? Що вже і так зламане?»

Він навчився визнавати, що онлайн-безпека має свою ціну. Він не може просто так відкрити власні файли. Підключення до декількох систем займе час. «Але якщо ти пройшов через таку атаку, ти навчишся приймати це спокійно. І Україна зараз знаходиться на новому фронті війни».

17:47: Час для вжиття тимчасових заходів

Для керівника IT-відділу Дмитра Вербовського день ще нескоро закінчиться. Вірус, що заразив один комп’ютер, атакував п’ятсот інших. Офісна мережа аеропорту повністю не працює. На веб-сайті користувачі не можуть подивитися час прибуття та відправлення, система яка повинна надсилати дані на веб-сайт не працює. Вербовський прийняв надзвичайне рішення: він розміщує драбину з камерою прямо перед великим екраном в залі відправлення пасажирів на 3-му поверсі і передає відео-зображення на веб-сайт через Wi-Fi. Таким чином, відвідувачі мають змогу бачити табло та час відправлення в реальному часі.

Проблема з офісною мережею може тривати тижнями. Не тільки комп’ютери не працюють, також немає доступу до резервних копій даних. Всю систему необхідно заново перевстановлювати. О другій годині ночі Вербовський сідає в свою білу Skoda Rapid і доїжджає додому за 12 хвилин. «Встановлено новий час», – подумав він. – «П’ять років тому хакери викрали гроші, зараз вони знищують наші мережі. Інформаційна система – це нове поле боротьби з владою». На його думку, найгірше те, що його системи не змогли утримати зловмисників. «Наш захист було зруйновано, і це погано».

22:14: Сумніви в безпеці

Едуард Крижанівський втомився, добираючись додому на метро двадцять хвилин. Пройшовши повз банкомат, він ненадовго засумнівався, тоді повернувся і зняв усі кошти з банківського рахунку. Про всяк випадок. Зайшовши в квартиру, він стрибнув у ліжко.

23:57: Збиток стає помітним

Дмитро Шимків з Адміністрації Президента цілий день провів, розмовляючи по телефону. Спочатку він подумав, що Україну вразив вірус-вимагач. Пізніше цей вірус здавався вірусом-диверсантом і ще пізніше йому став очевидний справжній масштаб: декілька місяців  нападник мав доступ до системи MeDoc, яка широко використовується бухгалтерами в Україні та є дуже популярною в міжнародних компаніях, такими як Maersk. Програмне забезпечення надає доступ до найціннішої інформації компанії. Той, хто знає, як проникнути до MeDoc, має вплив на компанії (зокрема, українські компанії), розташовані в самому центрі.

Місяці шпигунства, а потім, незадовго до державного свята, зловмисник через програму знищив власні сліди, а на десерт поширив вірус-диверсант. Пан Шимків заявляє: «Хто зацікавлений в наших фінансових звітах, і хоче після цього знищити компанії?» Вагомі докази відсутні, але ситуацію було швидко проаналізовано. «Класичний російський метод: згорів сарай, гори і хата».

Через 2 дні Шимків повернеться до Києва. Вірус вразив 10 % систем в країні. Фінансові установи декілька тижнів борються з наслідками. Деякі банки вимушені практично замінити всі свої комп’ютери. Оскільки вірус розповсюджується в мережі після зараження, вмикання комп’ютерів викликає нові проблеми. Тисячі працівників Укрсоцбанку декілька днів після атаки не вмикали власні комп’ютери, керівництво вимушене надсилати повідомлення через систему пожежної сигналізації.

Шимків розповідає: «Жодна компанія не буде публічно оголошувати, наскільки великою була проблема. За офіційними даними було уражено приблизно 12 000 комп’ютерів, але справжня цифра набагато більша. Деякі компанії втратили від 60 до 80 % власної IT-інфраструктури».

Колишній керівник «Майкрософт» знає краще, ніж будь-хто, важливість оновлення, підготовки та навчання. «Суспільство надто вразливе. Проблема в тому, що мало хто це розуміє. Люди рідко стикаються з такою ситуацією, вони не розуміють, що робити, особливо на Заході. Неможливо підготуватися до такої атаки, можна тільки переконатися в готовності до неї».

00:05: Геть комп’ютери!

Олена Ботяй вибігає опівночі з клініки «Борис» та прямує до станції метро, щоб встигнути на останній поїзд. Нарешті Олена може повернутися додому та може плакати. Вона почуває себе жахливо. Вона засмучена, її охоплює почуття провини за те, що вона не змогла допомогти пацієнтам. Пані Ботяй ніколи не мала такого досвіду, за 30 років роботи в галузі охорони здоров’я.

Вдома вона сиділа та міркувала, що насправді сталося в цей жахливий день. Вона відчувала себе так, ніби хтось раптово вимкнув світло.

Олена Ботяй: «Тільки тоді я зрозуміла масштаб того, що сталося»

Вона усвідомила, наскільки сучасне життя, зокрема її життя, глибоко пов’язане з комп’ютерами та телефонами. І як все це замінило прямий контакт. Пані Ботяй схопила телефон і зателефонувала старому другу, з яким давно не розмовляла. «Мені потрібно було почути твій голос», – сказала вона. Вона розповіла, що пережила того дня. «Ми повинні більше піклуватися один про одного. Мені потрібно більше з тобою розмовляти».

Наступного дня вона зателефонувала доньці. Вона говорить, що повинна робити це частіше. Просто запитати, як справи, замість того, щоб дивитися на неї в Facebook. Вона однозначно має намір робити так і надалі. Люди знову починають «реально» розмовляти один з одним. Відновлюється прямий контакт. Подалі від комп’ютерних систем.

РОСІЯ ВІДПОВІДАЛЬНА ЗА АТАКУ

• Американське ЦРУ та британський уряд із «великою впевненістю» стверджують, що за розповсюдженням вірусу NotPetya, який 27 червня 2017 року вразив десятки країн, стоїть російське ГРУ. За словами американців, це «найбільш руйнівна та зловмисна кібератака за весь час».
• Спочатку вірус виглядає як хакер-вимагач: файли на комп’ютерах зашифровуються, та з’являється повідомлення про необхідність сплатити викуп. Проте навіть після оплати розшифрувати файли було неможливо.
• Атака була в основному спрямована проти України. Збитки в інших країнах були побічними, вважає нідерландський національний центр кібербезпеки (NCSC). «Крім того існують й інші помітні наслідки: не передбачити або не усвідомити супутній збиток від нападників для інших країн, котрі не є першочерговими мішенями. Найвідомішим прикладом для Нідерландів є вірус NotPetya, внаслідок враження яким постраждали також нідерландські компанії, та були нанесені ненавмисні економічні збитки».
• Датська мультинаціональна компанія Maersk повинна придбати нове програмне забезпечення. Компанія зазнала збитків на 250 мільйонів євро. Американська служба доставки FedEx також мала сотні мільйонів збитків. Сотні інших компаній ніколи не розкривали масштаб зазнаних збитків.
• За оцінками СБУ в Україні постраждали майже 1 000 установ.
• Два тижні тому американський уряд включив до санкційного списку 5 компаній через сприяння поширенню вірусу NotPetya, включаючи Digital Security. Американці також попередили AIVD про причетність дочірньої компанії ERPScan. Нідерландські організації не проводили жодних досліджень щодо Digital Security та ERPScan.

Переклад здійснено: Пресс-служба ДП “Міжнародний аеропорт “Бориспіль”

Джерело: https://www.volkskrant.nl/nieuws-achtergrond/een-jaar-na-de-cyberaanval-hoe-heel-oekraine-op-zwart-ging-~ba2f4532/