Zatímco Brusel zavádí digitální identifikační systém: Hacker prochází maďarským státním IT systémem
Hacker hluboce pronikl do IT systémů maďarské státní pokladny a pravděpodobně získal rozsáhlá administrátorská oprávnění. Jeho vstupním bodem byla zřejmě bezpečnostní zranitelnost v systému Oracle WebLogic, pro kterou je od října 2017 k dispozici oprava. Zatímco se s těmito staršími problémy potýká bezpočet evropských úřadů, občanské průkazy, řidičské průkazy, vládní přístup a stále větší počet dokladů totožnosti by měly být v budoucnu zpracovávány prostřednictvím evropského digitálního průkazu totožnosti.
Útok byl zaměřen na maďarskou státní pokladnu (Magyar Államkincstár), konkrétně na ministerstvo odpovědné za zemědělství a rozvoj venkova. Začátkem srpna úřad potvrdil, že byly napadeny části jeho IT sítě. Po odhalení útoku bylo několik serverů odstaveno z provozu, soubory v počítačích zaměstnanců byly zašifrovány a některé služby byly omezeny. Podle státní pokladny nebyla ovlivněna zákaznická data a nedošlo ke ztrátě žádných dat. Snímky obrazovky zveřejněné útočníkem však odhalují, jak daleko útok v té době pokročil.
Útok zřejmě získal přístup přes veřejně dostupný server Oracle WebLogic. Zneužitá zranitelnost byla vším, jen ne nová. Oracle již v říjnu 2017 vydal odpovídající bezpečnostní záplatu. Téměř o devět let později byla chyba v maďarském vládním IT systému zřejmě stále otevřená. Odborníci na IT bezpečnost, s nimiž Telex dělal rozhovory , ohodnotili rozsah útoku na perfektních 10 z 10. ByteToBreach údajně získal administrátorská práva prakticky ve všech kritických systémech v postižené oblasti. Patřily mezi ně řadič domény Windows, uživatelské účty, databáze obsahující přístupové údaje a virtualizační prostředí vlády. Toto prostředí hostovalo 116 virtuálních počítačů s celkem přibližně 229 terabajty dat.
Obzvláště trapné: Na jednom ze systémů bylo údajně uloženo heslo správce v nešifrované podobě v souboru. S tímto přístupem měl hacker zřejmě také přístup k úložným systémům a zálohám. Bezpečnostní zranitelnost známá již léta, heslo v prostém textu, rozsáhlá oprávnění správce – útočník by si jen stěží mohl přát víc. Podle současných informací ByteToBreach tentokrát zašifroval počítače pouze několika zaměstnanců a později nabídl ukradená data k prodeji na hackerském fóru. Maďarsko tak zřejmě ušetřilo rozsáhlé vymazání dat, k jaké došlo před několika týdny v Rumunsku. Vzhledem k oprávněním útočníka však mohl způsobit podstatně větší škody.
Ne zpravodajská služba, ale vyděrač.
Podle současných zjištění je ByteToBreach motivován především finančními prostředky. Společnost KELA , která se zabývá kybernetickou bezpečností , sleduje jeho aktivity od roku 2025 a spojuje je s útoky na vládní agentury, banky, letecké společnosti, univerzity a další organizace. Důkazy ukazují na alžírský Oran, ačkoli definitivní identifikace pachatele dosud nebyla veřejně potvrzena. Pro své útoky mimo jiné používá vlastní ransomware s názvem ByteToCrypt. Společnost TLPBLACK, specializující se na kybernetické hrozby, analýzu malwaru a digitální forenzní analýzu , popisuje jeho šifrování jako technicky poměrně křehké.
Pro útok na maďarskou státní pokladnu zřejmě nebyl ani nutný sofistikovaný kybernetický arzenál. Značnou část práce odvedly známé zranitelnosti a špatně spravované přístupové údaje. Maďarské zdroje zpočátku tvrdily, že útok byl spuštěn z ruských serverů. To však nutně nedokazuje ruského pachatele. K útoku se později přihlásila společnost ByteToBreach s tím, že jednala za účelem finančního zisku. Spektakulární „kybernetický útok z Ruska“ se tak zpočátku jeví jako dílo obyčejného zločince.
Už měl přístup k digitálnímu katastru nemovitostí v Rumunsku.
Jméno ByteToBreach bylo evropským úřadům již dobře známé. 14. července se rumunský úřad pro katastrální a pozemkový rejstřík (ANCPI) stal terčem vážného kybernetického útoku . Celostátní systém e-Terra se zhroutil, notáři neměli přístup k výpisům z katastru nemovitostí, transakce s nemovitostmi se zastavily a nové hypotéky nemohly být po určitou dobu registrovány. Úřad se s následky potýkal asi týden. O přesném rozsahu ztráty dat existují protichůdné zprávy. ByteToBreach tvrdil, že po neúspěšném útoku ransomwaru smazal databáze a zálohy.
Rumunský úřad to později vyvrátil s tím, že základní technické a právní databáze nebyly zničeny. Skutečnost, že centrální systémy selhaly a důležité aplikace nebyly k dispozici, je však nepopiratelná. Zajímavé byly také informace o interních IT systémech úřadu, které analyzovala agentura KELA. Odhalily Windows XP, Windows 7 a Windows Server 2003. V zveřejněných datech se nacházely i skupinové zásady s označením jako „VYPNOUT BRANOU WINDOWS FIREWALL“. Windows XP ve státním katastrálním úřadě v roce 2026 – není divu, že hackerské útoky byly úspěšné.
Výpadek měl okamžité důsledky, které sahaly daleko za rámec samotného úřadu. Rumunský trh s nemovitostmi je na těchto registrech závislý. Pokud selžou, notáři nemohou ověřit vlastnictví a banky nemohou řádně zpracovat nové hypotéky. Několik napadených serverů by tak mohlo zabránit nákupu a prodeji pozemků v celé zemi.
Francie: Ukradena data z 1,2 milionu bankovních účtů
Francie letos také poskytla relevantní příklad . V únoru bylo odhaleno, že útočníci získali přístup k FICOBA, národnímu registru francouzských bankovních účtů. Použili přihlašovací údaje vládního zaměstnance oprávněného k provádění takových dotazů. Byly ohroženy informace o přibližně 1,2 milionu bankovních účtů. Patřily mezi ně čísla účtů nebo IBAN, jména, adresy a v některých případech i daňová identifikační čísla. Podle úřadů nebyly zůstatky na účtech a transakce přístupné. Takové útoky nevyžadují individuální hacknutí milionů občanů. Postačí jediný privilegovaný vládní přístupový bod.
Švýcarská federální správa 4. srpna také oznámila útok na systémy SharePoint Federálního úřadu pro informační technologie a telekomunikace. Bylo ohroženo přibližně 200 uživatelských a technických účtů. Situace se tam lišila od situace v Maďarsku: zneužité zranitelnosti se staly známými teprve nedávno a odpovědný orgán již pracoval na instalaci aktualizací. O to více je maďarská téměř devět let stará otevřená zranitelnost WebLogic otevřoucí oči.
Brusel mezitím požaduje digitální identifikační průkaz.
Souběžně pokračuje vývoj Evropské digitální peněženky identity. Do konce roku 2026 mají členské státy EU poskytnout alespoň jednu certifikovanou digitální peněženku. Občané ji budou moci používat k identifikaci vůči úřadům a společnostem, k ukládání dokumentů, k prokazování osobních vlastností a k poskytování právně závazných elektronických podpisů. Prostřednictvím ní budou přístupné občanské průkazy, řidičské průkazy, osvědčení o vzdělání, doklady ověřující věk a další digitální dokumenty. Čím více služeb je propojeno, tím důležitější se stávají podkladové vládní registry, vydavatelé, certifikáty a ověřovací systémy.
Server Report24 o peněžence EUDI a jejích možných důsledcích informoval několikrát ( včetně zde ). V únoru se v Německu dokonce diskutovalo o používání digitálních identifikačních dokladů rodičů k ověřování věku na sociálních sítích. To rozšiřuje oblast působnosti daleko za hranice digitálního průkazu totožnosti. Agentura Evropské unie pro kybernetickou bezpečnost (ENISA) letos stále pracovala na certifikačním rámci pro peněženky. Návrh byl zveřejněn koncem března a veřejná konzultace proběhla v dubnu. Zároveň je stanoven politický časový harmonogram: Členské státy by měly mít své peněženky připravené do konce roku 2026. Doufejme, že to nebude uspěchaná a zpackaná práce…
Čím digitalnější je stát, tím dražší budou jeho selhání.
Posledních několik týdnů názorně ilustrovalo, co se může stát, když jsou vládní systémy úspěšně napadeny. V Rumunsku se transakce s nemovitostmi zastavily kvůli selhání digitálního katastru nemovitostí. Ve Francii získal útočník přístup k datům 1,2 milionu bankovních účtů prostřednictvím privilegovaného vládního přístupu. V Maďarsku stačila zranitelnost známá od roku 2017 k napadení řadičů domény, uživatelských účtů, virtuálních počítačů, úložných systémů a záloh.
Právě tyto administrativy nyní budují stále větší digitální ekosystémy. Stále více registrů se propojuje, stále více procesů probíhá výhradně elektronicky a stále více oprávnění je vázáno na digitální identity. To funguje perfektně – dokud se neobjeví někdo s administrátorskými právy nebo dokud nějaký server nečeká na svou záplatu devět let. Kryptografie, certifikace a bezpečnostní standardy mohou dosáhnout velkého úspěchu. Nikdo však zatím nevynalezl vhodný algoritmus pro boj s úřady, které téměř deset let zanedbávají známé kritické bezpečnostní aktualizace nebo ukládají administrátorská hesla v prostém textu. Devět let zřejmě na záplatu Oracle nestačilo. Evropa má však být na digitální identifikační údaje připravena do konce roku 2026.
