Egészen döbbenetes részletek derültek ki a Magyar Államkincstárat ért júliusi kibertámadásról. A Yellow Cube kiberbiztonsági vállalat részletesen elemezte a támadó által nyilvánosságra hozott adatokat és képernyőképeket, ezek alapján pedig az államkincstári rendszerekben használt jelszavak egy részét is megvizsgálta. A minták között olyan, könnyen kitalálható megoldások szerepeltek, mint
Jelszó123, Password-1, Titok2017 vagy éppen Államkincstár69.
A jelentés szerint összesen 9047 jelszó került ki olvasható formában. Ezek közül 9032 egy Oracle Identity Managerből származó adatállományban szerepelt, további 15 pedig infrastruktúrához kapcsolódó hitelesítő adat volt. A támadók emellett több mint 16 ezer felhasználói, szolgáltatás- és számítógépfiókhoz tartozó NTLM-hashhez is hozzáfértek. Különösen sokat árul el a rendszer jelszóhigiéniájáról az a 468 jelszó, amelyet a Yellow Cube szerint emberek választottak maguknak. Ezek majdnem fele, 225 darab valamilyen névből vagy becenévből, illetve születési évből vagy dátumból állt. További 77 jelszóban kedvencek, állatok vagy mesefigurák neve szerepelt, 27 esetben magyar földrajzi nevet, 21-nél hónapot vagy évszakot, 16-nál pedig magának a munkahelynek a nevét használták fel.
A leggyakrabban újrahasznosított jelszavak között sem bonyolult kombinációk szerepeltek. Az A1B2c3d4 például 389 különböző tartományi fióknál fordult elő, az ABcd1234_ 107, az A1B2c3d4_ pedig 79 alkalommal. A 111111-et 61, az abcd1234-et 59 fióknál találták meg. A kutatók 13 olyan fiókot is azonosítottak, amelynek egyáltalán nem volt jelszava.
A Yellow Cube elemzése alapján ugyanakkor a támadás legnagyobb problémája nem egyszerűen az volt, hogy gyenge jelszavakat használtak.
A behatoló több ponton is fennakadt a meglévő biztonsági rendszereken: a hálózati szűrés megszakította egyes kapcsolatait, a Symantec végpontvédelme pedig blokkolta bizonyos műveleteit. A jelentés szerint azonban a riasztásokat nem követte időben emberi beavatkozás, a támadó pedig végül manuálisan le tudta állítani a védelmi szoftvert.
A behatolás július 25-től július 31-ig, nagyjából öt és fél napon keresztül tartott. A támadó végül négy Active Directory-környezetben szerzett rendszergazdai szintű hozzáférést, és 116 virtuális gépet tartalmazó infrastruktúrához is eljutott. Korábban 229,1 TB ellopott adatról is megjelentek állítások, a Yellow Cube szerint azonban ekkora mennyiség valójában nem hagyhatta el a hálózatot. Ehhez a rendelkezésre álló idő alatt tartósan körülbelül 7,5 Gb/s sebességű adatátvitelre lett volna szükség. A ténylegesen nyilvánosságra hozott bizonyítékcsomag nagyjából 70 MB méretű volt.
Az elkövetőről is új információk jelentek meg. Bár korábban orosz támadóról is szó volt, a Yellow Cube által idézett KELA Cyber Intelligence Center értékelése szerint a ByteToBreach név mögött valószínűleg egy Algériában élő személy áll. A jelentés hangsúlyozza, hogy ez fenyegetésfelderítési következtetés, nem pedig hatóság által bizonyított személyazonosság. A Yellow Cube szerint az incidens egyik legfontosabb tanulsága, hogy önmagában a biztonsági szoftverek megléte nem elegendő. Ebben az esetben több védelmi megoldás is felismerte vagy akadályozta a támadó tevékenységét, de a megfelelő és gyors reagálás elmaradása miatt a behatoló napokon keresztül tovább tudott mozogni a rendszerekben.
