Eelroog
Eelmises RIA küberturvalisuse aastaraamatus kirjutasime, et Hiina Rahvavabariigi küberrühmitused on ilmselt kõige võimekamad ja keerulisimaid küberoperatsioone läbi viivad läänevastased jõud maailmas.
2025. aastal nägime sama trendi tugevnemist ehk Hiina kübertegevuste haarde ja ulatuse suurenemist – alates globaalsetest luure- ja ründekampaaniatest ning lõpetades enda eelpositsioneerimisega lääne kriitilisse taristusse.
Hiina tegevusi kübersfääris iseloomustab väga kõrge tehniline võimekus, kiire (sh null-päeva) turvanõrkuste ärakasutamine, operatsioonide globaalne ulatus ning Hiina riiklike ambitsioonide toetamine.
Magushapu kana
2025. aastal omistati Hiina riiklikele ründajatele ehk APTdele kümneid küberründeid. Peamiselt sihtisid nad valitsusasutusi, telekommunikatsiooniettevõtteid ja (kaitse)tööstusettevõtteid, kuid puutumata ei jäänud ka muude valdkondade ettevõtted.
Peamine eesmärk on saada ligipääs tundlikele andmetele, et lõigata nende abil nii majanduslikku, poliitilist kui ka sõjalist kasu. Näiteks jaanuaris teatas Taiwan, et Hiina rünnakud Taiwani vastu on kahekordistunud – eelkõige tabasid need valitsusasutusi ja telekommunikatsioonifirmasid. Mais kuulutas Suurbritannia küberturvalisuse amet, et Hiinat loetakse nende rahvuslikule küberturvalisusele peamiseks ohuks, sest Hiina rühmitused ründasid nii valitsusasutusi, kriitilist taristut kui ka parlamendiliikmeid. Ka Eesti väliministeerium mõistis need rünnakud hukka. Ameerika rahvusliku luure direktori hinnangul on Hiina Ameerikale kõige aktiivsem ja pikaajalisem küberoht.
Tšehhi Vabariik omistas mais esmakordselt rünnaku Hiina rühmitusele APT31, kes sihtis kampaaniaga Tšehhi välisministeeriumi. Prantsusmaa küberturvalisuse amet avaldas raporti ründekampaaniast Houken, millega sihiti Prantsusmaa valitsussektorit ja eraettevõtteid. Need on ainult mõned näited ilmestamaks, kui ulatuslikud on Hiina riigi toetatud küberrünnakute kampaaniad.
Jätkusid ka teated eelpositsioneerimisest, näiteks avastas USA küberväejuhatus, et Hiina pahavara on mitme Ladina-Ameerika riigi võrkudes. Eelpositsioneerimine kui mõiste sai laiemat tähelepanu 2024. aastal, kui Ameerika võimud süüdistasid Hiina küberrühmitusi, et nad on tunginud erinevatesse võrkudesse. Kahtlustakse, et eesmärgiks on eelkõige ennast positsioneerida, et sobival hetkel halvata kriitilist taristut ning häirida sellega riigi ja selle elanike igapäevast toimetulekut. 2024. aastal palju kajastust saanud Salt Typhooni kampaania, mis sihtis telekommunikatsioonisektorit, ei raugenud, vaid vastupidi, suurenes – esialgu tuvastatud kaheksa ettevõtte asemel on nüüd ohvreid üle 600 ettevõtte 80 riigist.
Samuti on Hiina jätkuvalt suurim null-päeva turvanõrkuste ärakasutaja. Näiteks kasutasid Hiina küberrühmitused aktiivselt ära turvanõrkusi märtsis Ivanti VPN seadmetes, aprillis SAP NetWeaveris, mais Ivanti Endpoint Manageris, juulis Microsofti SharePointi tarkvaras. Microsofti SharePointi turvanõrkust kasutati ära rohkem kui 400 asutuse ründamiseks üle maailma, sh ka Ameerika Ühendriikide valitsusasutustes.
Hiina söögipulgad ehk 筷子
Hiina küberrühmituste modus operandi ehk toimetamise viis on pääseda võrkudesse ja jääda seal võimalikult pikaks ajaks peidetuks. Tihtilugu üritatakse liikuda ühest süsteemist teise, kasutades ära asjaolu, et seadmed või süsteemid juba eelnevalt usaldavad üksteist. Näiteks 2025. aastal vaadeldud Hiina küberrünnakutest pea 75 protsenti olid pahavaravabad, mis tähendab, et sissepääsuks kasutati kas turvanõrkuseid või varastatud sisselogimistunnuseid. Seda tehnikat kutsutakse Living Off The Land, mis teeb sissetungikatsed raskemini märgatavaks.
Teise trendina jätkub ääreseadmete ja pilveplatvormide nõrkuste ärakasutamine. Sellele juhtis tähelepanu ka mitmekümne luure- ja küberturvalisuse asutuse avalik teadaanne, mille USA koos liitlastega septembris avaldas.
Euroopa küberturvalisuse amet (ENISA) toob oma aastaaruandes välja:
Aina rohkem kuritarvitatakse ka erinevaid IoT-seadmeid, sh ruutereid. Hiina rühmitus Flax Typhooni kasutas ära Quad7 robotvõrgustikku, mis koosnes tuhandetest TP-Linki ruuteritest Euroopas.
Teiseks näiteks on robotvõrgustik BADBOX 2.0. Google’i andmetel oli sellesse liidetud üle 10 miljoni nakatunud koduseadme, mille kaudu said küberkurjategijad viia läbi pahatahtlikke tegevusi. Ka Eesti ei jäänud puutumata – tipphetkel oli meil üle 7000 nakatunud seadme. Paljudesse seadmetesse oli paigaldatud pahavara juba enne selle müümist või saadi pahavara oma seadmesse, kui Androidi rakendusi laeti alla mitteametlikust kohast. Enamik sellistest seadmetest tuleb Hiinast.
Iseloomulikuks jooneks on see, et Hiina rühmitused jagavad omavahel tööriistu. Tihtilugu teeb see konkreetse tööriista omistamise konkreetsele toimijale raskeks. Seetõttu on ka paljud omistamised viimasel ajal keskendunud rohkem mitte ühe rühmituse tuvastamisele, vaid pigem tuuakse esile Hiina firmasid, mis aitavad kaasa küberrünnakute läbiviimisele.
Tasuta lõunaid pole olemas
Ameerika Ühendriikide ja Hiina vahel käib tehnoloogiline võidujooks, mille väljapaistvamaks osaks on AI-tehnoloogia. 2025. aasta algul üllatas Hiina firma DeepSeek avalikkust oma uue keelemudeliga, mille loomine oli väidetavalt kordades odavam kui lääne analoogide arendamine. Küll aga ei jäänud see võimekuselt alla tolleaegsetele lääne keelemudelitele. Ameerika Ühendriikides kirjeldati DeepSeeki avalikustamist kui „Sputniku hetke“ tehisaru valdkonnas, sest mõisteti, et Hiina võib tehisaru arendamises mitte ainult järele jõuda, vaid ette minna.
DeepSeeki keelemudelite kasutamise potentsiaalsed plussid on lihtsad – tegemist on võimsa, küllalt avatud, odava ja kiire mudeliga, mida saab kasutada eri rakendustes, teenustes ja ettevõtetes laiemalt. DeepSeeki enda kasutajatingimustes on kirjas, et nad koguvad andmeid, kasutavad neid mudeli treenimiseks ja jagavad ka teiste teenusepakkujatega. Hiina seaduste kohaselt peavad nad jagama kõiki andmeid ka Hiina valitsus- ja luureasutustega. DeepSeeki keelemudelid ka tsenseerivad teemasid, mis on ebamugavad Hiina Kommunistliku Partei jaoks, nagu näiteks Tiananmeni väljaku veresaun 1989. aasta suvel.
See kõik ei tähenda, et Hiina rakendusi peaks igal pool ja alati vältima. Oluline on meeles pidada, et tasuta lõunaid pole olemas. Valitsusasutustes ja teistes olulistes ettevõtetes soovitab RIA mitte kasutada Hiina firma DeepSeek rakendusi tööseadmetes. Samuti ei peaks sinna sisestama tundlikku informatsiooni. Iga kasutaja peaks enda jaoks põhjalikult läbi mõtlema, millist infot nad soovivad tehnoloogiaettevõtetega jagada.
Toiduplekid särgiesisel
Novembris lekkis Hiina tarkvarafirmast Knowsec üle 12 000 salastatud dokumendi, mis näitasid, kuidas firmal õnnestus kompromiteerida rohkem kui 80 sihtmärki üle maailma. Lekked paljastasid, et neil on pahavara ja troojalased kõikidele suurtele operatsioonisüsteemidele – Windows, Linux, MacOS, iOS ja Android.
Teine leke sisaldas Salt Typhooni rühmituse liikmete isikuandmeid ja tehingute infot. Kolmas kirjeldas, kuidas Hiina ekspordib teistese riikidesse oma internetimudelit, mis võimaldab kodanike massjälgimist. Neljas leke paljastas, kuidas Hiina firmad viivad tehisaru abiga läbi infooperatsioone poliitilisel väljal.
Need lekked näitavad, et Hiina riik kasutab pahatahtlike küberoperatsioonide läbiviimiseks erafirmade abi. Samaaegselt annab see riigile võimaluse taandada end rünnakutest, sest läbiviija on ju erafirma, mitte riiklik asutus.
Hiina toit Eestis
2025. aastal oli ka Eesti Hiina kübertegevuste huviorbiidis. Oluline on mõista, et kui kuskil maailmas avaldatakse mõni turvanõrkus, mida kasutatakse aktiivselt ära, siis suure tõenäosusega on haavatavaid seadmeid ka Eestis ja on vaid aja küsimus, millal mõni pahatahtlike kavatsustega rühmitus need avastab. RIA-le teadaolevalt on nii mitutki turvanõrkust, mida aktiivselt kasutavad ära Hiina küberrühmitused, proovitud kasutada ka Eestis ning nii mõnelgi korral on see õnnestunud.
Tuletame meelde, et turvanõrkuste kiire paikamine ning küberhügieeni järgimine aitavad ennetada märkimisväärse osa küberohtudest. Samuti matkitakse Eesti ettevõtteid Hiina küberkurjategijate loodud SMS-õngitsukampaaniates ning oleme olnud sihtmärgiks ka Hiina riiklike ründajate õngitsuskirjadele.
„Kui paljud korjavad halge, tõuseb leek kõrgeks“ – Hiina vanasõna
Aina rohkem lääneriike nimetavad üha häälekamalt Hiinat küberohuks ja omistavad sellele küberrünnakuid. Tehakse ühisavaldusi (Tšehhi, Suurbritannia, Prantsusmaa, USA ja teised) ning kirjeldatakse detailselt Hiina häkkerite taktikaid. Peab valmistuma selleks, et Hiina küberründajad hakkavad aina rohkem kasutama ka tehisaru abi, et leida kiiremini turvanõrkuseid ja neid ära kasutada.
Mida saame Hiinast pärit küberohu vastu teha? Paigata üha kiiremini turvanõrkuseid, jälgida oma võrkudes toimuvat, edendada riigisisest ja rahvusvahelist koostööd.
12 aastat Hiina riiklikke küberrühmitusi
Veebruaris 2013 avaldas küberturbefirma Mandiant raporti, mis raputas kübermaailma. Selles kirjeldati salajast Hiina häkkerirühmitust, mis oli arvukate luureoperatsioonide taga. Rühmitus sai nimeks APT1 (advanced persistent threat – arenenud püsiv oht ehk riiklik ründaja) ning see seoti Hiina Rahvavabastusarmee üksusega 61398.
Raport kirjeldas, kuidas rühmitus varastas rohkem kui 20 riigis ligi 150 asutuselt sadu terabaite andmeid. Lisaks toodi selles nimeliselt välja rünnakute taga olnud isikud. See oli esmakordne taoline omistamine, mille järel hakkasid lääneriigid ja ettevõtted avalikult palju rohkem rääkima küberohtudest. See oli ka üks peamistest teemadest, mida arutasid omavahel Ameerika ja Hiina juhid 2015. aastal. Suurriigid leppisid kokku, et nad ei vii läbi enam intellektuaalomandi varguseid kübersfääris ning selle pakti nimeks sai Obama-Xi küberkokkulepe. Kahjuks on ajalugu tõestanud, et see lepe kaua ei pidanud.
Järgneva 12 aasta jooksul avastati kümneid Hiina riiklikke häkkerirühmitusi. Analüütikute arvamusel on Hiinas kõige rohkem riiklikult toetatud küberrühmitusi. Kuigi täpset arvu on raske öelda, arvatakse, et neid on vähemalt 60. Teiste suurte läänevastaste küberjõudude – näiteks Venemaa, Iraan ja Põhja-Korea – rühmitusi kokku on teadaolevalt alla 30.
Hiina kultuuris on tavapärane mõõta aega 12-aastaste tsüklitega. 2025. aastal ehk 12 aastat pärast esimese APT raporti avaldamist lisandus Hiina riiklike häkkerirühmituste nimekirja uus tegija – Phantom Taurus. Kui APT1-taolised rühmitused olid laia haardega ja üritasid koguda võimalikult palju andmeid, siis uuemate rühmituste eripäraks on täpsemalt sihitud ründed, eesmärgiga jääda võimalikult pikaks ajaks asutuse või ettevõtte võrgus varjatuks. Phantom Taurus kasutab uudseid tööriistu, mida pole eelnevalt Hiina rühmituste puhul täheldatud. Märkimisväärne on seegi, et Phantom Taurus tegutses kaks ja pool aastat nii, et keegi neid ei märganud.
Viimati uuendatud 04.02.2026
