U kibernetičkom napadu na Hrvatsku agenciju za nadzor financijskih usluga (Hanfa) prije mjesec dana nema dokaza da je došlo do neovlaštenog korištenja i otuđenja podataka, poručio je regulator u utorak.

“Prema rezultatima forenzičke istrage, nema dokaza da je došlo do neovlaštenog korištenja i otuđenja podataka iz sustava Hanfe. Napadač odmah nakon incidenta više nije bio prisutan u sustavu, a nije došlo ni do kompromitiranja računala zaposlenika Hanfe”, istaknuto je u priopćenju.

Kibernetički napad 23. siječnja paralizirao je rad regulatora, a do danas nisu operativni svi sustavi. Kada će sve u potpunosti profunkcionirati u Agenciji ne žele predviđati, no poručuju da je prioritet sve detaljno testirati i postupno uvoditi.

Forenzička istraga
Forenzička istraga, koju je odradila domaća tvrtka Infigo IS, pokazala je da je cilj napada bio onemogućiti redovan rad i djelovanje regulatora. Sofisticiranom tehnikom probijen je mrežni sustav kako bi se putem malicioznog koda kriptirali podaci i onemogućio pristup informacijskoj infrastrukturi.

Hanfa je, ističu, dodatno obavijestila “fizičke osobe klijente svojih subjekata nadzora, vanjske suradnike, kandidate u natječajnim postupcima, svoje bivše zaposlenike, podnositelje upita, potpisnike dokumenata, fizičke osobe u registrima u Hanfinoj nadležnosti, kao i subjekte nadzora” da ne postoje dokazi da su incidentom njihovi podaci izneseni iz sustava i neovlašteno upotrijebljeni ili da je obavljena bilo kakva druga obrada osim njihova zaključavanja.

Pritom, zaključani podaci nisu dostupni napadaču ni trećim osobama. U oporavku vanjskih servisa prioritet je osposobiti stranice za registrirane korisnike sustava izvješćivanja (Reports) i drugih servisa poput potpisivanja dokumentacije za Hanfu (SRPI) i Registar objekata leasinga (ROL).

Koliko će Hanfu stajati financijski stajati saniranje posljedica napada zbog kojeg ni mjesec dana kasnije nije u potpunosti operativna, tek će se zbrajati. No, dalekosežnije su reputacijske štete, očit cilj tog napada, koje institucija trpi. Ni na pitanje hoće li netko odgovarati za sigurnosni propust tih razmjera, zasad nema odgovora, no najavljuju se značajna poboljšanja IT infrastrukture.

Postupno uvođenje
“Nakon sveobuhvatne analize izrađen je dodatan plan podizanja razine informacijske sigurnosti, izvršen je pregled svih korisničkih računa te se uvode nove sigurnosne razine autentifikacije po pojedinim sustavima.

Pokrenut je plan oporavka postojećih i podizanja novih aplikativnih sustava koji će biti usklađeni s najvišim sigurnosnim standardima. Takvi će se sustavi postupno uvoditi tijekom narednog razdoblja jer će se u potpunosti sigurnosno i tehnički testirati prije upotrebe”, poručuje regulator.