Policja traci materiały dowodowe z 8 lat po ataku szyfrującym

Są awarie i awarie. Stracić dane o transakcjach z ostatnich dwóch dni e-sklepu to jedno, ale stracić dowody w sprawach grożących więzieniem to zupełnie inna sprawa - zwłaszcza, gdy zaniedbaniu winne są organy władzy. Przypominamy, jak prawidłowo chronić efekty swojej pracy!

28 stycznia temperatura w teksańskim miasteczku Cockrell Hill wynosiła około 15 stopni, jednak w miejscowym wydziale policji atmosfera była znacznie gorętsza. To właśnie tego dnia do mediów przeciekła informacja, że po złośliwym ataku szyfrującym na policyjne komputery, wydział utracił materiały dowodowe zbierane przez ostatnie 8 lat. Według części doniesień atak nastąpił już w grudniu 2016, ale nagłośniony został dopiero, gdy pechowy wydział zaczął alarmować sądowych obrońców, że część dowodów w prowadzonych przez nich sprawach... "już nie istnieje". Szef policji próbował łagodzić wywołane napięcie zastrzegając, że "żadne z utraconych materiałów nie miały istotnego znaczenia". Nie przekonało to prawników, którzy zdenerwowani niekompetencją policji poprosili FBI o oficjalne potwierdzenie, że dowody zostały utracone w wyniku ataku szyfrującego. Biuro odmówiło komentarza w tej sprawie.

Co faktycznie zaszło? Policjanci ujawnili, że do infekcji doszło wskutek otwarcia wiadomości mailowej nadanej z fałszywej skrzynki udającej adres wydziału. Wirus zaszyfrował wszystkie policyjne dokumenty pakietu MS Office, nagrania z osobistych kamer funkcjonariuszy, filmy z kamer samochodowych i monitoringu budynków, a także część dokumentacji zdjęciowej. Twórcy zagrożenia za zwrot dostępu do danych zażądali 4 Bitcoiny (blisko 15 000 zł) haraczu, jednak po konsultacji z FBI policja uznała, że nie zapłaci okupu, który nie gwarantuje otrzymania klucza deszyfrującego. Podjęto decyzję o "wyizolowaniu i usunięciu wirusa z serwerów" i wdrożeniu policyjnej procedury disaster recovery. Niestety przywrócenie backupu nie poprawiło sytuacji - odzyskane dane również okazały sie zaszyfrowane.

- Prawdopodobną przyczyną problemu z backupem była niewłaściwa ochrona lokalizacji jego zapisu, wskutek czego rozprzestrzeniająca się infekcja mogła mieć dostęp do kopii bezpieczeństwa. Można było tego uniknąć zastrzegając uprawnienia do modyfikacji backupu tylko dla administratora systemu lub osobnego konta użytkownika dedykowanego do zarządzania procesami backupu. Jeśli z każdego urządzenia w firmie można się swobodnie dostać do plików backupu, to zagrożenie szyfrujące na pewno z tego skorzysta.

Krystian Smętek

inżynier systemowy StorageCraft

Czy taka sytuacja miała miejsce w Cockrell Hill? Nie wiadomo, ale informacji o odzyskaniu chociaż części utraconych plików ciągle brak. Wedle obecnej wiedzy cytowanego szefa jednostki na tę chwilę "żadne dochodzenie nie zostało przerwane z powodu ataku". Nagłośniona sytuacja powinna być przestrogą dla jednostek policji i innych instytucji państwowych także poza granicami Stanów Zjednoczonych. W przeciwnym wypadku będzie można żartobliwie (choć nie do końca) przyjąć, że wszystkie swoje akcje powinniśmy rejestrować jako ewentualny materiał dowodowy na swoją obronę. Oczywiście tylko na wypadek, gdyby ktoś znów zapomniał o prawidłowym wykonaniu backupu.