Atac Ransomware Asupra Unui Operator de Conducte de Țiţei din România

În acest articol analizăm incidentul de tip ransomware care a afectat Conpet S.A.

Operatorul național al rețelei de conducte de ţiței din România, Conpet S.A., a confirmat recent că a fost victima unui atac cibernetic de tip ransomware, în urma căruia date sensibile au fost furate de hackeri.

Incidentul se înscrie într-un context mai larg de creștere a amenințărilor cibernetice care vizează infrastructuri critice, tot mai des aflate în atenția grupărilor de criminalitate informatică.

Detalii despre atacul asupra Conpet

Atacul a vizat infrastructura IT corporativă a Conpet, fără a afecta însă activitatea operațională de transport al ţițeiului prin sistemul național de conducte. Compania a anunțat că incidentul a fost identificat rapid, iar procedurile interne de răspuns au fost activate imediat, în cooperare cu autoritățile competente din domeniul securității cibernetice.

În urma atacului, anumite sisteme au fost temporar indisponibile, iar accesul la site-ul public al companiei a fost restricționat pentru o perioadă limitată. Gruparea de ransomware responsabilă, cunoscută sub numele de Qilin, a susținut că a exfiltrat un volum semnificativ de documente interne, incluzând informații financiare și copii ale unor documente personale.

Conpet a confirmat că a existat un furt de date, însă investigația tehnică este în desfășurare pentru a stabili cu exactitate amploarea breșei și tipul exact de informații compromise. Compania a transmis că ia toate măsurile necesare pentru a limita impactul incidentului și pentru a notifica eventualele persoane afectate.

Ce este ransomware-ul Qilin

Qilin este un grup de ransomware apărut în 2022, care operează după modelul „Ransomware-as-a-Service” (RaaS). În acest model, dezvoltatorii malware-ului oferă infrastructura și instrumentele necesare altor afiliați, care execută atacurile propriu-zise și împart ulterior câștigurile rezultate din plata răscumpărărilor.

Gruparea practică așa-numita „dublă extorcare”, o tehnică prin care, înainte de criptarea sistemelor, datele sunt sustrase din rețea. Ulterior, victimele sunt amenințate cu publicarea informațiilor furate în cazul în care refuză plata răscumpărării. Această strategie sporește presiunea asupra organizațiilor și crește șansele de monetizare a atacului.

De-a lungul timpului, Qilin a revendicat atacuri asupra unor companii din diverse sectoare, consolidându-și reputația în peisajul ransomware global.

Securizarea infrastructurii împotriva ransomware

Atacurile asupra companiilor care operează infrastructuri critice arată cât de importantă este implementarea unei strategii de securitate pe mai multe niveluri. O protecție eficientă împotriva ransomware nu se bazează pe o singură soluție, ci pe un ansamblu coerent de măsuri tehnice și organizaționale:

• Segmentarea rețelei interne – Separarea infrastructurii IT în zone distincte (de exemplu, rețea administrativă, rețea operațională, sisteme critice) limitează deplasarea laterală a atacatorilor în cazul compromiterii unui sistem. În cazul infrastructurilor industriale, izolarea sistemelor OT de rețeaua IT clasică este esențială.
• Autentificare multifactor (MFA) – Implementarea MFA pentru accesul la conturi privilegiate, VPN-uri și aplicații critice reduce considerabil riscul accesului neautorizat, chiar dacă parolele sunt compromise prin phishing sau breșe anterioare.
• Politici stricte de patch management – Actualizarea constantă a sistemelor de operare, aplicațiilor și echipamentelor de rețea elimină vulnerabilitățile cunoscute exploatate frecvent de grupările ransomware. Automatizarea procesului de patching și testarea actualizărilor în medii controlate ajută la reducerea riscurilor operaționale.
• Backup-uri regulate, izolate și testate – Copiile de siguranță trebuie realizate periodic și stocate offline sau în medii izolate (air-gapped), pentru a preveni criptarea lor în timpul unui atac. Testarea periodică a procedurilor de restaurare este la fel de importantă ca realizarea backup-urilor în sine.
• Soluții antivirus și EDR moderne – Utilizarea unor soluții avansate de protecție endpoint, capabile să detecteze comportamente anormale și activități suspecte, permite blocarea timpurie a unui atac ransomware înainte de criptarea fișierelor.
• Firewall-uri configurate corect și filtrare de trafic – Implementarea firewall-urilor de ultimă generație, cu reguli restrictive și monitorizare a traficului, limitează accesul neautorizat din exterior și reduce suprafața de atac. Segmentarea VLAN și controlul traficului est-vest sunt elemente critice în medii complexe.
• Gestionarea centralizată a permisiunilor prin Active Directory – Aplicarea principiului „least privilege” (minimul necesar de drepturi) și auditarea constantă a conturilor din Active Directory reduc impactul unei eventuale compromiteri. Eliminarea conturilor inactive și monitorizarea conturilor privilegiate sunt măsuri esențiale.
• Autentificare unificată (SSO) și control al accesului – Implementarea unei soluții Single Sign-On permite o gestionare mai eficientă și mai sigură a accesului la aplicații, reducând proliferarea parolelor și oferind un punct central de aplicare a politicilor de securitate.
• Monitorizare continuă și soluții SIEM – Colectarea și analiza în timp real a logurilor din infrastructură, prin soluții de tip SIEM, ajută la identificarea rapidă a activităților suspecte. Detectarea timpurie poate face diferența între un incident minor și o criză majoră.

Pe lângă componentele tehnice, instruirea periodică a angajaților pentru recunoașterea tentativelor de phishing și a altor tactici de inginerie socială rămâne un element critic. În majoritatea atacurilor ransomware, punctul inițial de intrare este o eroare umană exploatată de atacatori.

Concluzie

Atacul ransomware asupra Conpet și confirmarea furtului de date evidențiază faptul că nicio organizație, indiferent de rolul său strategic, nu este complet imună în fața amenințărilor cibernetice moderne. Deși infrastructura operațională nu a fost afectată, compromiterea datelor subliniază importanța consolidării continue a securității IT.

Cum atacurile ransomware devin tot mai sofisticate și mai frecvente, investițiile în prevenție, detectare și răspuns rapid la incidente reprezintă un element critic pentru protejarea infrastructurilor esențiale și a datelor sensibile.

Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.

Zemernett este o companie de prestari servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.