Juhtumi niidiotsad hakkasid neli aastat tagasi hargnema sellest, et majandus- ja kommunikatsiooniministeeriumi (MKM) töötaja märkas oma arvutis kummalisi anomaaliaid. Esmalt kahtlustas ta Eestis tollal massiliselt levinud pahavara. Kui aga arvuti puhastamine probleemi ei lahendanud, teavitas ta juhtunust RIA intsidentide käsitlemise osakonda (CERT-EE).
Probleem oli suurem kui esmalt paistis
Kiiresti selgus, et probleem on hoopis laiem. Ministeeriumi süsteemidesse oli ehitatud tagauks, mille kaudu oli välja viidud suures koguses andmeid – 350 gigabaiti. Riigisaladused jäid küll puutumata, aga kurjategijate kätte langes hulgaliselt ministeeriumi tööd puudutavat siseteavet: strateegia- ja töödokumente, personaliinfot, kirjavahetust ettevõtetega jne.
Küberruumis jälgi ajades avastati, et samasuguse käekirjaga rünnakud olid toimunud veel mitme asutuse ja ettevõtte, sealhulgas välisministeeriumi ning tervise ja heaolu infosüsteemide keskuse (TEHIK) vastu. Kui ministeeriumi veebiserveritest said kurjategijad kätte ainult avalikke andmeid, siis TEHIKu süsteemides pääsesid nad ligi umbes 10 000 koroonaviirusesse nakatunud inimese isikuandmetele.
Süüdlaste väljaselgitamiseks viisid kaitsepolitsei ja keskkriminaalpolitsei läbi uurimise, mis jõudis välja kolme meheni, kes olid rünnaku ajal olnud GRU teenistuses: väeosa 29 155 küberüksust juhtinud koloneli Juri Denissovi ning tema alluvate Nikolai Kortšagini ja Vitali Ševtšenkoni. Harju maakohus võttis Venemaal elavad kahtlusalused 2024. aasta sügisel riigiprokuratuuri taotlusel tagaselja vahi alla ja nad kuulutati ka rahvusvaheliselt tagaotsitavaks.
See on ühtlasi esimene juhtum, mille puhul Eesti omistas riigivastased küberründed ametlikult kuritegude väidetavale toimepanijale. Rünnete omistamist koordineerib Eestis välisministeerium ning selle eesmärk on suunata riike küberuumis vastutustundlikult käituma ja neid vajadusel korrale kutsuda.
Sihikul on Ukraina liitlased
Samal ajal kulmineerus Eesti ja veel üheksa riigi ühisoperatsioon Toy Soldier, mille tulemusena seostati luureüksusega 29 155 veel suur hulk Ukrainat ning teda toetanud NATO ja ELi riike tabanud küberündeid. Muu hulgas panid USA võimud välja kümne miljoni dollari suuruse pearaha kuue Venemaa kodaniku tabamiseks, kelle hulgas olid ka Eesti poolt tagaotsitavad Denissov ja Kortšagin.
Teadaolevalt on 29 155 juba kolmas GRU väeosa, mis on loonud oma kübervõimekuse. USA süüdistuse järgi on nende põhitähelepanu koondunud viimastel aastatel Ukrainale, kus nad korraldasid 2022. aasta alguses – kuu aega enne Vene vägede suurt sissetungi – hävitava WhisperGate’i pahavararünnaku. Sihikule võeti mitmed Ukraina valitsus- ja õiguskaitseasutused ning hädaabiteenistused. Ründeks kasutati hävitusvara ehk siis eesmärk polnud mitte süsteemide ülevõtmine, vaid täielikult kasutuskõlbmatuks muutmine. Kuna pahavara levitamine Ukrainas toimus ühe USA ettevõtte teenuste kaudu, oli võimalik süüdlased Ühendriikides ka vastutusele võtta.
Mujal maailmas on USA riigiasutuste andmeil olnud küberüksuse põhieesmärk Ukrainale rahvusvahelise abi andmise takistamine. Nii NATO riikides kui ka teistes Euroopa, Kesk-Aasia ja Ladina-Ameerika maades on nad rünnanud riigiasutusi ja kriitilist taristut, sealhulgas pangandust, tervishoidu, transpordi- ja energiasektorit. Näiteks on kübergrupp näotustanud veebilehti, kaardistanud taristut ning varastanud andmeid, mida nad on kas müünud või lekitanud. Microsoft andis sellele GRU küberüksusele koodnime Cadet Blizzard ja juhtis tähelepanu, et nad on rünnanud Ukrainas ja teistes Euroopa riikides ka IT-teenuste pakkujaid ja tarkvaraarendajaid, kes osutavad avalikule sektorile teenuseid, et siis nende kaudu tegeliku sihtmärgini jõuda.
Selle GRU kübergrupi meetodid pole tingimata väga keerulised ega rafineeritud. Sihtmärkidele ligi pääsemiseks on nad nii Eestis kui ka mujal kasutanud juba varem avalikuks tulnud turvanõrkusi – näiteks haavatavusi meili- ja veebiserverites – ning süsteemidest varastatud kasutajatunnuseid. Turvavigade väljaselgitamiseks ja ekspluateerimiseks, andmete väljaviimiseks ning oma jälgede varjamiseks on üksus appi võtnud infoturbekogukonnas levinud tööriistad.
Juhtumi õppetunnid
Viimastel aastatel on küberturbe olukord kogu maailmas muutunud järjest keerulisemaks nii kasvanud geopoliitiliste pingete kui ka uute tehnoloogiliste arengute tõttu, mida on oma tegevuse laiendamiseks kasutanud ära ka riiklikud küberrühmitused.
Eesti on seetõttu oluliselt suurendanud investeeringuid küberturbesse ja kriitilise taristu kaitsesse ning siin on oluline roll RIA pakutavatel kesksetel teenustel: aitame riigiasutustel oma võrke turvata, otsime pidevalt haavatavusi ning teavitame asutusi ja ettevõtteid leitud probleemidest.
Kui intsident on ikkagi toimunud, tulevad CERT-EE eksperdid vajadusel appi selle põhjuste uurimisel ja olukorra lahendamisel.
Kuigi enamikule Eesti eraettevõtetest pole küberintsidentidest teavitamine kohustuslik, tasub seda kindlasti teha. See aitab CERT-EE-l Eesti küberruumis toimuvast parema ülevaate saada ning ettevõtteid ja kogu riiki paremini kaitsta. Samamoodi võimaldab see ka riiklike küberründajate tegevust tuvastada.
Riiklike küberüksuste tegevust iseloomustab järjepidevus: kui rünnaku katse üks kord nurjub, võib oodata selle kordumist. Kõige suuremas ohus on kahtlemata valitsusasutused ja kriitilise taristu ettevõtted, aga tarneahela kaudu ka neile teenuseid pakkuvad firmad, näiteks IT- või raamatupidamisettevõtted. Sageli kasutatakse samasugust skeemi korraga mitme ettevõtte ja asutuse vastu, mistõttu on iga infokild suure pildi kokkupanekul oluline. Esmapilgul vähetähtis anomaalia võib lähemal uurimisel osutuda tõsiseks küberründeks.
Lõppkokkuvõttes vastutab iga organisatsioon oma süsteemide kaitsmise eest ise ja väga palju sõltub sellest, kuivõrd oluliseks juhtkond infoturvet peab.
Vajadusel tuletab küberturvalisuse tähtsust meelde RIA järelevalveosakond, mis on hoogsalt oma haaret laiendanud ning alustanud viimase kolme aasta jooksul ligi 150 järelevalvemenetlust. Suur osa järelevalve tööst on ennetuslik ehk siis ei reageerita ainult ilmsiks tulnud probleemidele, vaid ohuprognooside põhjal kontrollitakse olukorda kriitiliselt tähtsates asutustes ja ettevõtetes pidevalt.
Kaitsepolitsei: küberoperatsioonid on osa Venemaa hübriidsõjast
Kaitsepolitsei peadirektori Margo Pallosoni sõnul kuulub 29 155 küberallüksuse eesmärkide hulka luureinfo kogumine, tundliku teabe varguste ja lekitamistega mainekahju tekitamine ning süstemaatiline sabotaaž andmete ja arvutisüsteemide hävitamisega. Sellele grupile omistati ametlikult küll 2020. aasta ründed, aga tegelikult on erinevate Vene küberluureüksuste ründed kogu aeg jätkunud nii Eesti kui ka teiste riikide vastu.
Vene eriteenistuste arsenalis on füüsilised ja kübervahendid järjest rohkem läbi põimunud ning on tõenäoline, et küberrünnetega saadud teavet võidakse ära kasutada ka füüsilistes operatsioonides. Küberoperatsioonid on Venemaa sõjalise doktriini järgi oluline hübriidsõja komponent. Sõltumata meetoditest üritab Venemaa hübriidrünnakute abil ka teistele riikidele oma tahet peale suruda, ebastabiilsust külvata, hirmutada ja segadust tekitada.
Kuidas ennast küberluurajate eest kaitsta?
Riiklikud küberrühmitused kasutavad enamasti samu meetodeid ja tööriistu, nagu majanduslikku kasu himustavad küberkurjategijad, mistõttu kehtivad tavapärased infoturbe soovitused. Siiski juhime mõnele aspektile veel eraldi tähelepanu.
- Igasuguste küberrünnete avastamiseks on äärmiselt oluline säilitada süsteemide logisid. Seejuures tuleks logida võimalikult suurt hulka erinevat infot (nt tulemüüri logid), et hiljem aru saada, mida ja kuidas ründajad tegid. Logidest on mõistagi kasu ainult siis, kui neid osatakse ka lugeda ja häiretele kohe reageeritakse. Eriti hoolikalt peaks monitoorima kaugligipääsu võimaldavaid lahendusi ja kontosid, mis neid kasutavad.
- Sisevõrk tuleks sõltuvalt organisatsiooni töökorraldusest segmenteerida ehk osadeks jagada ning anda ligipääsuõigused ainult vastavalt vajadusele. Administraatorid peavad kindlasti kasutama erinevaid kontosid: tavakasutaja õigustega kontot igapäevasteks tegevusteks ja suuremate õigustega kontot ainult siis, kui seda on tarvis. Loomulikult ei tohiks paroole eri keskkondades ristkasutada ning kõigis süsteemides, kus see on võimalik, tuleks rakendada kaheastmeline autentimine.
- Keskhaldus tuleb hoida ajakohane ning loobuda vananenud tarkvarade ja seadmete kasutamisest – ühekordne investeering taakvara kõrvaldamiseks võib näida suur, aga see aitab vältida hoopis suuremat kahju.
- Kui kasutatakse mõne välise partneri teenuseid, tasub arvestada ka tarneahela riske. Kindlasti peab väliste partnerite ligipääse oma süsteemidele regulaarselt auditeerima ja andma neile ainult minimaalsed tööks vajalikud õigused.
USA küberturbeagentuuri CISA detailsemad tehnilised soovitused.
Viimati uuendatud 03.02.2025
