Po cyberataku policja straciła materiały dowodowe z 8 lat

28 stycznia temperatura w teksańskim miasteczku Cockrell Hill wynosiła około 15 stopni, jednak w miejscowym wydziale policji atmosfera była znacznie gorętsza. To właśnie tego dnia do mediów przeciekła informacja, że po złośliwym ataku szyfrującym na policyjne komputery, wydział utracił materiały dowodowe zbierane przez ostatnie 8 lat.

Według części doniesień, atak nastąpił już w grudniu 2016, ale nagłośniony został dopiero, gdy pechowy wydział zaczął alarmować sądowych obrońców, że część dowodów w prowadzonych przez nich sprawach... "już nie istnieje". Szef policji próbował łagodzić wywołane napięcie zastrzegając, że "żadne z utraconych materiałów nie miały istotnego znaczenia". Nie przekonało to prawników, którzy zdenerwowani niekompetencją policji poprosili FBI o oficjalne potwierdzenie, że dowody zostały utracone w wyniku ataku szyfrującego. Biuro odmówiło komentarza w tej sprawie.

Co faktycznie zaszło? Policjanci ujawnili, że do infekcji doszło wskutek otwarcia wiadomości mailowej nadanej z fałszywej skrzynki udającej adres wydziału. Wirus zaszyfrował wszystkie policyjne dokumenty pakietu MS Office, nagrania z osobistych kamer funkcjonariuszy, filmy z kamer samochodowych i monitoringu budynków, a także część dokumentacji zdjęciowej. Twórcy zagrożenia za zwrot dostępu do danych zażądali 4 Bitcoiny (prawie 15 000 zł) haraczu, jednak po konsultacji z FBI policja uznała, że nie zapłaci okupu, który nie gwarantuje otrzymania klucza deszyfrującego. Podjęto decyzję o "wyizolowaniu i usunięciu wirusa z serwerów" i wdrożeniu policyjnej procedury disaster recovery. Niestety przeprowadzenie backupu nie poprawiło sytuacji - odzyskane dane również okazały się zaszyfrowane.

- Prawdopodobną przyczyną problemu z backupem była niewłaściwa ochrona lokalizacji jego zapisu, wskutek czego rozprzestrzeniająca się infekcja mogła mieć dostęp do kopii bezpieczeństwa - komentuje Krystian Smętek, inżynier systemowy firmy ANZENA, eksperta w zabezpieczaniu danych. Można było tego uniknąć zastrzegając uprawnienia do modyfikacji backupu tylko dla administratora systemu lub osobnego konta użytkownika dedykowanego do zarządzania procesami backupu. Jeśli z każdego urządzenia w firmie można się swobodnie dostać do plików backupu, to zagrożenie szyfrujące na pewno z tego skorzysta.

Czy taka sytuacja miała miejsce w Cockrell Hill? Nie wiadomo, ale informacji o odzyskaniu chociaż części utraconych plików ciągle brak. Wedle obecnej wiedzy szefa jednostki, na tę chwilę "żadne dochodzenie nie zostało przerwane z powodu ataku". Specjaliści uważają, że nagłośniona sytuacja powinna być przestrogą dla jednostek policji i innych instytucji państwowych, także poza granicami Stanów Zjednoczonych. W przeciwnym wypadku będzie można żartobliwie (choć nie do końca) przyjąć, że wszystkie swoje akcje powinniśmy rejestrować jako ewentualny materiał dowodowy na swoją obronę. Oczywiście tylko na wypadek, gdyby ktoś znów zapomniał o prawidłowym wykonaniu backupu.