Radiocom, ransomware în rețeaua internă: ce verifici

Ce este confirmat

Potrivit comunicatului SNR, redat de Cursdeguvernare.ro, incidentul a fost detectat luni la 06:30, compania a luat măsuri imediate de limitare, impactul pare concentrat la nivelul rețelei interne, e-mailul este indisponibil temporar, iar serviciile oferite clienților funcționează. SNR evaluează, împreună cu autoritățile, ce date au fost afectate. Clienții și partenerii sunt sfătuiți să trateze cu precauție mesajele primite în numele companiei și să nu acceseze linkuri sau atașamente neașteptate.

DNSC a transmis, prin comunicat citat de Wall-Street.ro prin Agerpres, că verificările preliminare nu arată afectarea serviciilor pentru clienți și că o echipă DNSC investighează la sediul companiei. Incidentul a fost raportat prin PNRISC, potrivit Business24 și HotNews.

• ▸Cursdeguvernare.ro — atac ransomware la SNR, citând comunicatul Radiocom
• ▸Wall-Street.ro — incident cibernetic la Radiocomunicații (comunicate SNR și DNSC)
• ▸Business24 — atac cibernetic la SNR
• ▸HotNews — o nouă instituție a statului, atacată cibernetic

Unde sursele nu coincid

Formularea diferă. Cursdeguvernare.ro scrie că Radiocom este „victima unui atac de tip ransomware”, HotNews și News.ro citează „caracteristicile unui atac de tip ransomware” din primele verificări, iar Business24 folosește „pare să fi fost”. Tratează ransomware-ul ca evaluare preliminară, nu ca fapt stabilit. La fel pentru DIICOT: unele surse spun că SNR a sesizat instituția, altele că urmează s-o sesizeze.

Nu se știe ce familie de ransomware este, dacă există revendicare sau cerere de răscumpărare, ce date au fost copiate sau doar criptate, cum a intrat atacatorul, cât a stat în rețea înainte de 06:30, când revine e-mailul și dacă „rețeaua internă” include sisteme operaționale. Nicio sursă nu leagă incidentul de cele de la Depozitarul Central sau ANCPI.

• ▸Cursdeguvernare.ro — comunicatul Radiocom
• ▸Business24 — formularea „pare să fi fost” și ce nu se știe

Ce verifici în propria rețea

• ▸Granița dintre rețeaua administrativă și cele operaționale sau de servicii: conturi comune, relații de încredere, partajări de fișiere, acces de la distanță și cine testează efectiv separarea.
• ▸Ce se întâmplă dacă e-mailul cade: canal alternativ pentru clienți și parteneri (telefon, listă de contacte offline), plus modul în care confirmi prin alt canal orice mesaj „oficial” sau cerere de schimbare a datelor bancare.
• ▸Copii de siguranță izolate și testate la restaurare, inclusiv pentru Active Directory și e-mail, nu doar pentru fișiere.
• ▸Inventarul accesului de la distanță și al serviciilor expuse în Internet, cu versiuni, deținători și excepții aprobate.
• ▸Cine poate decide o oprire preventivă a unor sisteme și în cât timp, pentru că SNR a suspendat e-mailul preventiv.
• ▸Dovezile: jurnale de autentificare, de VPN și de e-mail păstrate în afara sistemelor din rețeaua internă, și un loc unde copiezi probele înainte de reconstrucție.

• ▸Cursdeguvernare.ro — recomandările SNR pentru clienți și parteneri

Cum citești raportările din primele ore

Separă ce afirmă compania de ce afirmă presa și de ce deduce cititorul. „Pare concentrat” înseamnă că perimetrul încă se verifică. Absența unei revendicări nu dovedește că nu există una. Un serviciu „funcționează” nu spune nimic despre datele din rețeaua internă. Revino la sursa primară când apar actualizări de la SNR sau DNSC.

Închide alerta cu dovezi

Pentru propria organizație, păstrează răspunsurile la verificările de mai sus, data și persoana care le-a confirmat, excepțiile rămase cu motiv și termen, și testul de restaurare al copiilor de siguranță. Dacă rezultatul unei verificări este „nu avem acest risc”, păstrează interogarea sau dovada pe care se bazează.