Kako je Gigatron preživeo hakerski napad: Počeli smo da razmišljamo o sigurnosti

Tačno pre godinu dana, jedna od najvećih kompanija koja je bavi IT opremom u Srbiji, Gigatron, bila je suočena sa hakerskim napadom. Vesna Rondović, rukovodilac za razvoj poslovnog softvera u Gigatronu, govori za Novu ekonomiju o tome na koji način se celokupni tim izborio sa ovim izazovom i koje su najvažnije lekcije koje su izvukli iz ove situacije.

„Jedno jutro dolazimo ujutri i kolega kaže ‘kriptovani su nam serveri’. Ja gledam u neverici šta mi priča. Onda smo počeli da gledamo kakvu štetu imamo i šta se desilo“, započinje Rondović priču o tome kako su shvatili da su pod napadom.

Šta je zapravo značila da informacija da su podaci vaše kompanije kriptovani?

Kriptovani podaci znači da su svi podaci pretvoreni u neke kuke i kvake, u znakove pitanje, donje crte, jednostavno kada pogleadte računar sve je crno, a kada priđete hard disku, vidite samo kuke i kvake. Sve nestane, nestanu podaci. I kada se tako nešto nekome desi, to znači da je neko ušao u sistem i da vam sada traži novac da bi vam dao šifru kako da otkriptujete te podatke.

Mi smo prvo krenuli da gledamo po ostalim računarima šta se u stvari desilo, sve svičeve smo isključili, da računari prestanu da budu međusobno povezani da bismo zaustavili štetu. Videli smo da se desilo na jednom računari i sve smo ostalo poisključivali, da ne može da pređe sa računara na računar. Ali na računarima smo zatekli fajlove koji su bili priprema da se kriptuje svaki od tih računara. Znači da se restartovao računar, oni bi prilikom podizanja sistema, zahvaljujući tom fajlu bili kriptovani.

Onda smo napravili presek, prebrojali smo sve računare na kojima je to zatečeno i napravili smo naš mali krizni tim koji je odlučivao šta ćemo da radimo i na kraju smo odlučili da prekonfigurišemo celu mrežu, da preinstaliramo sve računare, iako oni nisu bili zaraženi, da ljudi naprave svoje bekape, naprave nove šifre, da sve promenimo i da postavimo sistem iz početka. Za to nam je trebalo jedno dve-tri nedelje. Za to vreme su nam radnje normalno radile jer ideja neka je bila kada smo pravili sistem, da radnje uvek mogu da rade. Ja tu uvek kažem, sada nuklearna bomba da padne, kasa mora da radi. Tako da smo to uspeli, nismo zatvarali firmu.

Koji podaci su bili kriptovani, da li su bili u pitanju vaši interni podaci?

Da, naši poslovni opdaci, sve što se knjiži, prodaja… Srećom uspeli smo da ih vratimo, ali smo preinstalirali sve računare u firmi, preko hiljadu računara, promenili sve šifre i svu zaštitu. Kupili smo nove računare za prodavnice.

Na koji način ste bili kontaktirani od strane hakera?

Oni su ostavili na disku fjal na kom je pisalo ko je u pitanju, kome da se obratimo za informaciju i kako dobiti algoritam za vraćanje podatka. Naši ljudi su ih kontaktirali i oni su tražili jako mnogo novca tako da smo mi odlučili da pokušamo ovo što smo i uradili na kraju, da sami rešimo problem.

Da li bi to bilo moguće da niste imali bekap svih podataka?

U tom slučaju bismo imali jako veliki problem. Tako da smo, naučeni time, naučili smo da prepoznajemo bekape pravovremeno, čak smo i intezivirali rađenje bekapa, povećali broj računara sa kojih se radi, kao i broj medija na koje se bekap radi. Tada smo imali samo jedno mesto na kome se radio bekap, a sada imamo i do tri ili pet, zavisi od vrednosti računa. Kada se ovako nešto desi, najvažnije je koliko možete brzo da se oporavite, koliko brzo možete bekape da vratite i kakvu ima stategiju za to.

Jeste li shvatili kako je došlo do zaražavanja?

Po svim onim analizama koje su urađene, najverovatnije je bio u pitanju neki mejl, ali ne možemo da budemo sto posto sigurni jer se taj fajl raširio kroz mrežu i ‘čučao’ u računarima i samo je bilo pitanje trenutka kada će neki računar biti kriptovan tako da ne znamo koji je trenutak kada je taj fajl ‘stigao’.

Kakve su bile reakcije ljudi u firmi kada se napad desio?

Reakcije su bile kao da nam je neko bolestan, i to teško. Mi smo se svi osećali kao da smo se i mi razboleli uz tog nekog i najvažnije je bilo ostati zdrave pameti i brzo smisliti kako ćemo i šta ćemo i da napravimo neki plan. Tako da smo imali tablu na kojoj smo ucrtavali šta smo sve uradili i svi smo tu dodavali, cela firma je bila okrenuta tome da što pre dođemo u sitauciju da sistem vratimo skroz u funkciju. Sve nam je radilo, ali svaka lokacija nezavisno, ne kao sistem, da se sve sliva na jedno mesto, to smo morali da isključimo.

Jeste li radili procene štete koja je nastala?

Mislim da su bili minimalni, s obzirom na to da su nam radile sve prodavnice, jedino prodaja preko sajta koja nije radila dve nedelje.

Na koji ste način ste nakon napada promenili svoj rad? Rekli ste da sada češće radite bekape, ima li još novina?

Odlučili smo koji softver da instaliramo, on je sada bukvalno na svakom računru u firmi. Ovaj softver ima svoj daljinski monitoring. Ako sada ubacite fleš u nekom računaru, u našem centralnom sistemu će se zacrveneti ukoliko je neki fajl na njemu kritičan i u sekundi ćemo imati obaveštenje da se tako nešto desilo u sistemu. Takođe, iskustvo koje smo dobili je da je bezbednost kao tema dosta (važnija) nego što je bila. Svi smo bili okrenuti svojim dnevnim zadacima, a sada nam je bezbednost nešto o čemu razmišljamo.