Hatszáz támadás egyetlen nap alatt: orosz és román irányból célozzák Magyarországot

A számok hideg tényei mögött van egy sokkal aggasztóbb kép. A támadó országok listáján Románia és Oroszország is megjelenik, összesen tizenhárom, azaz majdnem tizenkét százalékos arányban. Ez nem véletlen. Magyarország jelenleg a keleti és nyugati kibertér ütközőzónájában helyezkedik el, és ezt a pozíciót nap mint nap megfizetjük.

Az orosz eredetű támadások hat esetben kerültek regisztrálásra. Mondhatni, hogy ez nem sok, de az orosz kiberhadviselés sosem a mennyiségről szól — hanem a minőségről. Az orosz APT csoportok, azaz az államilag támogatott, fejlett kitartó fenyegetések, hónapokig, évekig is felderítés nélkül képesek egy rendszerekben maradni. Hat regisztrált támadás mögött hatvan rejtett lehet, és ezek nem random script kiddie-k művei, hanem koordinált, állami szintű műveletek.

Románia jelenléte a listán szintén figyelemre méltó. A szomszédos ország az elmúlt években több kiberbűnözői csoport központjaként vált ismertté, és bár a hatóságok erőteljesen felléptek, a régió továbbra is aktív támadási forrásként funkcionál. A hét regisztrált romániai támadás mögött állhatnak bűnszervezetek, de az is lehet, hogy átmeneti ugróállomásról van szó.

Huszonkét támadás érte a kormányzati hálózatokat, ebből nyolc kritikus súlyosságú. Ez nem technikai probléma — ez szuverenitás elleni támadás. Amikor egy ország kormányzati infrastruktúráját célozzák, az már nem pusztán bűnözés, hanem a digitális szuverenitás megkérdőjelezése. A kritikus besorolású nyolc eset valószínűleg olyan sebezhetőségeket vagy behatolási kísérleteket takar, amelyek komoly adatszivárgáshoz vagy rendszerszintű kompromittálódáshoz vezethetnek.

A számok mögött ott van a napi valóság: valahol egy elemző éppen most próbálja felmérni, hogy a kritikus riasztások közül melyik igényel azonnali reagálást, és melyik az, amit még várhat. De a kormányzati hálózatok esetében a várakozás luxus, amit senki nem engedhet meg magának.

A leggyakrabban célzott portok listája szinte kiabál: a 6379-es TCP port, ami a Redis adatbázis-szervernek felel meg, százhuszonhét alkalommal kapott találatot. Ez nem véletlen — a Redis sebezhetőségei évek óta ismertek, és a támadók pontosan tudják, hogy sok magyar cég még mindig nem frissítette, vagy hagyták internet felől elérhető. A második helyen a 2375-ös port áll százegyszer, ami a Docker API-t jelenti. A konténerizáció kényelme biztonsági rémálommá válik, ha az API-t nem védik megfelelően.

A százszor célzott 23-as port, a klasszikus Telnet, már-már nosztalgikus lenne, ha nem lenne ilyen veszélyes. Még mindig vannak olyan eszközök — ip kamerák, routerek, ipari vezérlők — amelyeken a gyári jelszó sosem változott meg. A támadók ezt nagyon jól tudják. A negyedik helyen álló 3389-es port, a távoli asztal szolgáltatás, nyolcvan alkalommal volt célba véve. Ez a vállalati hálózatok kapuja, és ha rossz kezekbe kerül, az egész infrastruktúra veszélybe kerül.

A DIGI és a Magyar Telekom egyaránt százharminchárom érintett eseménnyel vezeti a listát, őket követi az Invitech ötvenhattal és a Vodafone harminchattal. Ez nem meglepő — a nagy szolgáltatók mindig is elsődleges célpontok voltak, mivel rajtuk keresztül elvileg több ezer ügyfél érhető el.

De van itt egy mélyebb probléma. A szolgáltatók hálózatai nemcsak a saját adataikat hordozzák, hanem az ügyfelekét is. Egy sikeres támadás a szolgáltató ellen gyakorlatilag láncreakciót indíthat el. És bár a számok ma kedvezőbbek voltak mint tegnap, a fenyegetések összetétele — a kritikus sebezhetőségek dominanciája, a kormányzati rendszerek célozása, a keleti irányból érkező támadások — azt mutatja, hogy a támadók nem pihennek.

Az összesített adatok hatszázkét fenyegetést mutatnak, ebből négyszázkilencvenkettő sebezhetőség, száz kártékony tevékenység és tíz hálózati felderítés. A sebezhetőségek dominanciája azt jelenti, hogy a támadók még mindig a rések kutatásával töltik az idejüket — de ez csak idő kérdése. Ha találnak egy exploitálható rést, a felderítésből támadás lesz.

Az Egyesült Államok és Németország vezető helye a támadó országok listáján trükkös lehet. Ezekben az országokban találhatók a világ legnagyobb felhőszolgáltatói és VPN-kiszolgálói, így a támadások gyakran csak át vannak irányítva ezeken a platformokon keresztül. A valódi forrás lehet Kelet-Európa, lehet Ázsia — a nyomok pedig ott vesznek el a digitális forgalomban.