Újabb fontos részletek derültek ki a Magyar Államkincstárt ért súlyos kibertámadásról. Amikor augusztus elején mi is beszámoltunk az incidensről, a Kincstár azt közölte, hogy szakértőinek akkori információi szerint a támadást oroszországi szerverekről indították. Már akkor jeleztük, hogy egy szerver földrajzi helye önmagában nem bizonyítja sem a támadó kilétét, sem annak állami kötődését. Most a hivatalos vizsgálat is lényegében ezt erősíti meg.
A Nemzetbiztonsági Szakszolgálat a Telex kérdésére azt írta, hogy a rendelkezésre álló vizsgálati adatok alapján nem igazolható a támadó orosz kötődése. Az NBSZ szerint az orosz szál valószínűleg azért kerülhetett elő, mert a hekker által nyilvánosságra hozott adatok orosz nyelvű darkwebes fórumokon is megjelentek.
Az ügyet tovább árnyalja, hogy a támadásért egy ByteToBreach néven ismert hekker vállalta a felelősséget. A támadó azt állítja, több kelet-európai szervezet ellen is hajtott már végre hasonló akciókat, és azt mondta, maga sem érti, miért kapcsolták Oroszországhoz. A KELA Cyber Intelligence Center ByteToBreach hátteréről készült elemzése alapján a név mögött valószínűleg egy Algériában élő férfi állhat, aki egyedül dolgozik. A kiberbiztonsági vállalat ugyanakkor ezt nyílt forrású hírszerzési adatokból levont következtetésként kezeli, nem bizonyított személyazonosságként.
A támadás technikai hátteréről is pontosabb kép rajzolódott ki. A Nemzeti Kiberbiztonsági Intézet szerint a támadó egy nyilvánosan elérhető, elavult és sérülékeny webszolgáltatáson keresztül szerezte meg az első hozzáférést. A Telex információi szerint egy régi Oracle WebLogic alkalmazásszerverről volt szó, amely olyan magas kockázatú sebezhetőséget tartalmazott, amelyhez az Oracle már 2017-ben kiadta a javítást.
Az eset súlyosságát azóta más adatok is megmutatták. A PCW-n korábban részletesen írtunk arról, hogy a nyilvánosságra került bizonyítékok elemzése során több mint kilencezer olvasható jelszót találtak, köztük olyanokat, mint a Jelszó123 vagy az Államkincstár69. A Yellow Cube vizsgálata szerint a támadó több Active Directory-környezetben is rendszergazdai jogosultságig jutott, miközben a biztonsági rendszerek egyes műveleteit ugyan érzékelték vagy blokkolták, a megfelelő emberi reakció nem érkezett meg időben.
A Magyar Államkincstár legutóbbi tájékoztatása szerint ugyanakkor ügyfél- és állampolgári adatokat nem érintett a támadás, és adatvesztés sem történt. Az incidens teljes kivizsgálása, valamint az érintett infrastruktúra sérülékenységvizsgálata továbbra is zajlik.
