Кибератака срещу румънската водна администрация е довела до извеждане от експлоатация на около 1 000 компютъра и проблеми в 10 от 11 регионални офиса. Засегнати са ключови ИТ услуги, като криптирането е извършено по начин, характерен за рансъмуер инциденти.
Към момента няма публично известна група, която да е поела отговорност. Оставено е съобщение с искане институцията да се свърже с нападателите в рамките на седем дни.
Какво е засегнато
Според наличната информация атаката е ударила управленски ИТ системи, включително електронна поща, уеб услуги, бази данни и Географски информационни системи (GIS). Засегнати са и Windows работни станции, както и сървъри, свързани с домейн услуги.
Въпреки мащаба на инцидента, не се съобщава за компрометиране на реалните системи за управление на водата. Посочва се, че оперативната работа е продължила в нормални параметри чрез дежурни диспечерски процеси и гласови комуникации.
BitLocker като инструмент за криптиране
Националната дирекция за киберсигурност на Румъния (DNSC) съобщава, че към този момент входният вектор на атаката остава неидентифициран. Уточнява се обаче, че криптирането е извършено чрез BitLocker — вградената в Windows технология за криптиране на дискове — вместо чрез външен или специфичен зловреден инструмент.
Фактът, че е използван BitLocker, усложнява бързото разграничаване между легитимно администраторско действие и злонамерено криптиране, ако няма достатъчно телеметрия и контрол върху ключовете за възстановяване.DNSC и Румънската разузнавателна служба разследват случая и работят по възстановяване на засегнатата инфраструктура. Допълнителни технически подробности не са оповестени.
Контекст: атаки срещу критична инфраструктура в Европа
Макар конкретният инцидент да не е приписан на определен извършител, той се вписва в модел на атаки срещу инфраструктурни организации, които в някои европейски държави се описват като елемент от „хибридна война“.
Дания официално обвини Русия за две кибератаки срещу инфраструктурата си. През 2024 г. про-руската група Z-Pentest атакува датски системи за воден контрол, променя налягане и предизвика спукване на три тръби в Køge, южно от Дания, което остави около 500 домакинства без вода за няколко часа. През 2025 г. друга про-руска група — NoName057(16) — извърши DDoS атака срещу датски уебсайтове преди избори. Германия също свърза атака срещу системи за контрол на въздушния трафик през 2024 г. с групата Fancy Bear.
Какво означава това
- Инциденти в ИТ средата на инфраструктурни оператори могат да имат голям мащаб (стотици/хиляди устройства), дори когато оперативните контролни системи не са засегнати.
- Използването на BitLocker като механизъм за криптиране показва, че нападателите могат да се възползват от легитимни инструменти на платформата, ако получат административен достъп.
- Сегментацията между офис ИТ и контролни системи остава критична за ограничаване на щетите и запазване на непрекъснатостта на услугите.
- Нараства натискът върху организациите в критични сектори да третират киберсигурността като основен приоритет, а не като пречка за работа.
