Što se dogodilo u Kudankulamu

Curenje podataka povezano s ransomwareom, vezano za izvođača radova na nuklearnom projektu Kudankulam, stavilo je u fokus kibernetičku sigurnost indijske kritične infrastrukture. Curenje podataka iz Kudankulama nije počelo unutar vlastitih kontrolnih sustava nuklearne elektrane. Umjesto toga, vuče podrijetlo od vanjskog izvođača čiji su sustavi bili kompromitirani, a potom se oko 19.000 datoteka pojavilo na internetu.

Reliance Group, izvođač povezan s projektom, potvrdio je da je došlo do djelomičnog proboja. Ta potvrda, detaljno opisana u ranijem izvještavanju o tome kako je Reliance potvrdio curenje 19.000 nuklearnih datoteka Kudankulama, označila je prijelaz s internetskih nagađanja na priznati incident. Ransomware grupa koja sebe naziva World Leaks povezuje se s objavom podataka, a zasebno izvješće o tome kako je World Leaks objavila 19.000 nuklearnih datoteka Kudankulama prikazalo je razmjere onoga što je objavljeno.

Što je zapravo procurilo

Prema izvještavanju o incidentu, procurjeli materijal navodno uključuje nacrte, tlocrte, tehničke zapise i podatke o dobavljačima povezane s pomoćnim (balance-of-plant, BoP) sustavima elektrane, odnosno konvencionalnim, nenuklearnim dijelovima postrojenja poput turbina, generatora i rashladne infrastrukture. Ne radi se o temeljnim sigurnosnim ili zaštitnim kontrolnim sustavima reaktora.

Ta je razlika bitna. Nuklearna postrojenja obično odvajaju svoju najosjetljiviju operativnu tehnologiju, sustave koji upravljaju sigurnošću reaktora i zadržavanjem, od širih administrativnih i izvođačkih mreža koje se koriste za nabavu, inženjersku koordinaciju i upravljanje dobavljačima. Kada proboj potječe od izvođača, prvo se obično izlaže upravo ta druga kategorija podataka, a čini se da je to ovdje slučaj. Ranije izvještavanje o tome kako je curenje podataka iz nuklearne elektrane Kudankulam izložilo 19.000 datoteka iznijelo je slične nalaze, ističući da je curenje bilo usredotočeno na projektnu dokumentaciju u posjedu izvođača, a ne na podatke o kontroli reaktora.

Ugrožava li to nuklearnu sigurnost?

Nuclear Power Corporation of India Limited (NPCIL), koja upravlja Kudankulamom, izjavila je da procurjeli podaci nisu povezani s nuklearnim sigurnosnim ili zaštitnim sustavima. To je pojašnjenje značajno jer povlači jasnu crtu između incidenta kibernetičke sigurnosti u opskrbnom lancu i stvarne prijetnje radu reaktora.

Ipak, epizoda naglašava širu zabrinutost na koju su sigurnosni istraživači više puta upozoravali: kritična infrastruktura često je sigurna onoliko koliko je siguran njezin najslabiji izvođač. Nuklearne elektrane, elektroenergetske mreže i vodovodi ovise o mrežama dobavljača, inženjerskih tvrtki i oprematelja koji možda ne održavaju iste sigurnosne standarde kao i samo središnje postrojenje. Proboj kod bilo kojeg od tih izvođača može izložiti tehničku dokumentaciju, ugovore s dobavljačima i internu komunikaciju, koji čak i bez dodira sa sigurnosnim sustavima mogu pružiti korisne izvidničke podatke zlonamjernim akterima ili jednostavno narušiti povjerenje javnosti. Ranije izvještavanje o tome kako je Reliance potvrdio curenje podataka iz nuklearne elektrane Kudankulam primijetilo je upravo tu napetost između odgovornosti izvođača i uvjeravanja na razini elektrane.

Što to znači za vas

Većina čitatelja nije izravno pogođena internim inženjerskim dokumentima nuklearne elektrane, ali curenje podataka iz Kudankulama korisna je studija slučaja o tome kako funkcioniraju moderne ransomware operacije. Napadači sve češće ciljaju izvođače i dobavljače koji okružuju vrijednu organizaciju, umjesto same organizacije, jer su mreže trećih strana često lakše za probijanje, a jednom probijene jednako su vrijedne.

Ako radite u području povezanom s kritičnom infrastrukturom, bilo kao inženjer, zaposlenik dobavljača ili IT izvođač, ovaj je incident podsjetnik da sigurnosni položaj vaše organizacije može postati tuđa vijest. Za širu javnost, to je podsjetnik da curenje podataka ne mora ugroziti fizičku sigurnost da bi bilo važno. Procurjeli podaci o dobavljačima, tehnički zapisi i interna komunikacija i dalje se mogu iskoristiti za phishing, socijalni inženjering ili daljnje napade na opskrbni lanac.

Ključni zaključci

Curenje podataka iz Kudankulama nije kompromitiralo sigurnosne sustave nuklearnog reaktora, prema NPCIL-u, ali je izložilo značajnu količinu tehničkih podataka i podataka o dobavljačima u posjedu izvođača. Nekoliko praktičnih stvari koje vrijedi zapamtiti:

  • Rizik opskrbnog lanca je stvaran: slaba sigurnost izvođača može izložiti osjetljive projektne podatke čak i kada središnje postrojenje ostane netaknuto.
  • Službena pojašnjenja su važna: izjava NPCIL-a koja razlikuje BoP podatke od sigurnosno-kritičnih sustava važan je dio točnog razumijevanja opsega incidenta.
  • Ransomware grupe sve više ciljaju dobavljače i izvođače kao ulaznu točku, a ne samo primarnu organizaciju.
  • Ako radite s organizacijama povezanima s kritičnom infrastrukturom ili za njih, sigurnost računa dobavljača i izvođača shvatite jednako ozbiljno kao i obranu vlastite mreže.

Kako se istrage nastavljaju, moglo bi se pojaviti više detalja o tome kako su sustavi izvođača kompromitirani i koje će se zaštitne mjere promijeniti u budućnosti. Za sada, curenje podataka iz Kudankulama stoji kao podsjetnik da zaštita kritične infrastrukture znači osiguravanje cijelog ekosustava oko nje, a ne samo same elektrane.