Hakerzy dostali się do wewnętrznego zintegrowanego systemu zarządzania ruchem w mieście. W ciągu kilku godzin w centrum Warszawy doszło do kilkuset kolizji i kilku poważnych wypadków. Teraz żądają okupu i grożą kolejnymi atakami.
„Hakerzy wykradli dane medyczne 8 milionów pacjentów stanu Wirginia i żądają okupu w wysokości 10 milionów dolarów”, „Hakerzy włamali się do największego brytyjskiego serwisu pracy i ukradli poufne dane ponad 4,5 miliona osób”, „Hakerzy próbują wyłudzić poufne dane od klientów banku za pośrednictwem fałszywej strony internetowej”.
To przykłady tylko kilku z całej masy sensacyjnych nagłówków, które co jakiś czas pojawiają się w światowych i polskich mediach. Czytając je, szefowie firm mają zapewne nadzieję, że do takich sytuacji nie dojdzie w ich organizacjach. Przecież dbają o bezpieczeństwo danych. Mają najnowocześniejsze urządzenia i technologie, stuprocentowe zabezpieczenia, najzdolniejszych specjalistów od IT, zaufanych i lojalnych pracowników. Czy aby na pewno?
Takie podejście okazało się naiwnością w przypadku menedżerów firmy LightPol, których system informatyczny został zaatakowany i unieruchomiony przez hakerów. Muszą teraz jak najszybciej podjąć ważne decyzje z obszaru zarządzania kryzysowego. W dodatku zagrożenie rośnie, bo hakerzy zmieniają się w bezwzględnych szantażystów i żądają okupu.
Poniedziałek, godzina 9.15
Adam Morski, prezes firmy LightPol, nieco później niż zwykle wyruszył z domu do pracy. „Przynajmniej nie będę stał w korkach”, pomyślał, wsiadając do samochodu. Przez 40 minut miał czas tylko dla siebie. Jeszcze rok temu droga z Konstancina na warszawski Żoliborz, gdzie siedzibę miała jego firma, zajmowała mu ponad godzinę, a czasami podróż trwała nawet dwie. Teraz, gdy stolica miała już zintegrowany system zarządzania ruchem, którego operatorem była jego spółka, czas, jaki poświęcał na przejazd z domu do pracy i z powrotem, był prawie o połowę krótszy.
Słuchając muzyki, Morski jechał znajomą trasą. Miał jednak nieodparte wrażenie, że sygnalizacja świetlna na kolejnych skrzyżowaniach zapala się w zupełnie innym rytmie niż zazwyczaj, co spowodowało, że tym razem jechał do pracy dłużej, niż planował. „Może coś się stało w systemie?”, zastanowił się przez chwilę, ale zaraz odrzucił od siebie tę myśl. Od kilku miesięcy Warszawa miała jeden z najnowocześniejszych w Europie schematów sterowania ruchem. Obejmował już nie tylko kilka pojedynczych skrzyżowań i ciągów komunikacyjnych, jak w fazie testów, ale od niedawna także obszar całego miasta, koordynując jednocześnie ruch autobusów, samochodów i tramwajów. Umożliwiało to sprawniejszą i szybszą komunikację oraz wyraźnie ograniczyło korki.
Godzina 10.10
Kiedy Morski dotarł wreszcie do biura – od razu natknął się na Romana Leskiego, dyrektora pionu IT w LightPolu odpowiedzialnego za funkcjonowanie systemu sterowania ruchem w mieście.
– Chciałem cię uprzedzić o jednym fakcie – Leski zaczął już na korytarzu.
– Choć, pogadamy u mnie – Morski zaprosił go do swojego gabinetu, nie przeczuwając niczego złego.
– Adam, najlepiej będzie, jak sam to zobaczysz. Włącz komputer i sprawdź swoją pocztę – powiedział Leski.
Prezes bez słowa uruchomił laptop. Po kilku minutach wszedł w swoją pocztę. Znalazł tam kilka nowych maili. Jeden był zaskakujący: „Wasz system zarządzania ruchem pozostawia sporo do życzenia i już niedługo przekonacie się, co możemy z nim zrobić”. Adam przeczytał go dwukrotnie, spojrzał na Romana i zapytał:
– To chyba jakiś żart?
Leski przez chwilę milczał, po czym odparł:
– Mam taką nadzieję, ale powinniśmy zwiększyć czujność.
– Co masz na myśli? – Morski nie lubił niedomówień.
– Nie chcę zapeszać, może to jakiś dowcipniś chce zabawić się naszym kosztem, ale…
– Czy istnieje jakieś poważne zagrożenie? – dopytywał się prezes.
– Nie. Mamy świetny system komputerowy i najnowocześniejsze zabezpieczenia – odparł Leski.
– W takim razie kasuję mail i ty zrób to samo – powiedział Morski.
Nie przestraszyła go groźba, jaką przesłał anonimowy autor. Wiedział wprawdzie, że żaden system komputerowy nie jest doskonały i co jakiś czas hakerzy przełamują nawet najlepsze zabezpieczenia, ale był pewny, że jego firmie to nie grozi. Poza tym wierzył w technologiczne rozwiązania oraz umiejętności Leskiego i całego zespołu informatyków, jakich udało mu się zrekrutować do spółki.
Godzina 12.00
Przed cotygodniowym zebraniem zarządu Morski zwrócił uwagę na kolejny mail od nieznanego nadawcy. W nagłówku widniały słowa: „Ostrzegaliśmy cię”. Pole tekstowe było puste. Adam wykręcił numer Romana, ale zanim uzyskał połączenie, Leski stał już w drzwiach jego gabinetu z posępną miną.
– Też dostałem tego maila – powiedział i podszedł do telewizora. Włączył stację TVStolica i nastawił głośniej odbiornik. Na żółtym pasku w dole ekranu przesuwała się informacja: „Awaria sygnalizacji świetlnej w centrum”.
– Co się stało? – Morski spojrzał na Leskiego. – Jaka awaria? Co z naszym systemem?
– Wydaje się, że wszystko w porządku. System działa poprawnie. Wykonaliśmy wszystkie testy zalecane przez producenta i nie otrzymaliśmy informacji o błędach. Sygnalizatory z centrum również nie raportują informacji o awarii – wyjaśniał Roman.
– Nie raportują? – Morski nie mógł ukryć irytacji. – A jak wytłumaczysz to, co dzieje się w mieście? – powiedział, wskazując ręką na telewizor. Na ekranie reporterzy stacji zdawali relację z kolejnych skrzyżowań, na których zgasła sygnalizacja świetlna i tworzyły się korki.
– Może to awaria energetyczna… – zaczął tłumaczyć się Leski. – Niedawno była przerwa w zasilaniu wieży kontroli lotów. Takie rzeczy się zdarzają.
– Ale nie u nas! – uniósł się Morski. – Wyjaśnij to i jak najszybciej daj mi znać, co się dzieje.
Ostatnie słowa były zbędne. Kontrola systemu odbywała się w czasie rzeczywistym. Morski miał dostęp do panelu monitorującego, który wyświetlał informacje o aktualnym statusie poszczególnych segmentów infrastruktury. Ale nie zauważył żadnych niepokojących informacji.
Godzina 12.45
– Panie prezesie, dzwoni dziennikarz z TVStolica i chce z panem rozmawiać – wpadła do gabinetu szefa sekretarka Urszula Sudnikiewicz. – Mam go z panem połączyć?
– Nie teraz. Powiedz, że jestem zajęty właśnie tą sprawą – rzucił w jej kierunku. – Albo zaczekaj, połącz.
Po dwóch sygnałach Morski podniósł słuchawkę i usłyszał znajomy głos reportera.
– Panie prezesie, chciałbym się dowiedzieć, czy państwa system uległ awarii?
– To dobre pytanie – Morski wpadł w słowo reporterowi. – Nie chcę unikać odpowiedzi, ale dopiero badamy całą sytuację. Nie chcę podawać mediom niezweryfikowanych informacji, więc proszę o kontakt około 14 – powiedział.
Był zadowolony, że tak łatwo i sprytne wybrnął z sytuacji. Wiedział jednak, że nie uwolni się od pytań dziennikarza. Postanowił sprawdzić u źródła, jak się sprawy mają.
Szybko przeszedł korytarzem do wielkiej sali, gdzie mieściło się centrum obsługi systemu sterowania ruchem. Było to najnowocześniejsze i najlepiej strzeżone miejsce w firmie. Przy jednej ze ścian umieszczony był centralny monitor. Na dużym ekranie wyświetlany był plan centrum miasta z zaznaczonymi wszystkimi ulicami i skrzyżowaniami z sygnalizacją świetlną. Punkty kontrolne paliły się jak zwykle. Nic nie wskazywało na awarię. Tym bardziej na wewnętrzną usterkę systemu. Zwykle w centrum obsługi pracowało w trybie zmianowym po sześciu informatyków. Teraz wszyscy stali przed jednym monitorem. Kiedy Morski wszedł do sali, jeden z nich podniósł głowę.
– Witaj, szefie – powiedział Jarek Makowski, jeden z najbardziej doświadczonych ekspertów IT w firmie. – Z tego, co ustaliliśmy, wynika, że awaria świateł w centrum to jednak była nasza wina. Na kilka minut zawiesił się komputer centralny. Uruchomiliśmy go ponownie i teraz jest już okej.
– A dlaczego nie mieliśmy informacji o awarii w systemie? – spytał Morski.
– No właśnie, teraz to sprawdzamy. Na razie nie wiem, co się stało – odparł Makowski. Nie był zdenerwowany, co uspokoiło Morskiego, który postanowił wrócić do gabinetu.
Godzina 13.15
Sekretarka już czekała na niego z wiadomością:
– Dzwonili z urzędu miasta. Proszą, żeby skontaktował się pan z dyrektorem Kowalskim z wydziału sygnalizacji świetlnej.
– Dobrze, ale nie teraz – rzucił Morski, zamykając za sobą drzwi. „Dobrze, że mam to już za sobą”, pomyślał i opadł na fotel.
Zanim ponownie uruchomił laptop, zadzwonił do działu PR z prośbą o przygotowanie krótkiej informacji dla prasy. Wydawało mu się, że ma wszystko pod kontrolą. Postanowił zająć się zaległymi zadaniami. Kiedy włączył komputer, zobaczył kolejny mail z tytułem: „To nie żarty”. W treści zaś czytał: „No i co, podobała się awaria sygnalizacji? Przejęliśmy kontrolę nad waszym systemem. O czym niebawem znów się przekonacie. Jeśli chcecie odzyskać nad nim panowanie, wpłaćcie dziś do godziny 20 na nasze konto 200 tysięcy złotych”. Niżej podany był numer konta w jednym z banków na Antylach Holenderskich.
Morski zamarł. „To chyba sen?”, pomyślał. Takie sytuacje oglądał w telewizji i czytał o nich w książkach. To niemożliwe, żeby zdarzyły się w jego firmie. Znów wykręcił numer do Romana.
– Dostałeś nowego maila? – spytał Morski. Po drugiej stronie słuchawki zapanowała pełna napięcia cisza.
– Nie, ale zaraz u ciebie będę – usłyszał w końcu.
Gdy Leski wszedł do gabinetu prezesa, Adam nerwowo chodził wokół swojego biurka.
– Siadaj i czytaj – powiedział do Romana.
– To robota hakerów – wymamrotał Leski wpatrzony w monitor. – W dodatku to szantażyści, którzy nie robią tego dla zabawy, ale z chęci szybkiego wzbogacenia się. Miejmy nadzieję, że na tym mailu zakończą.
– Jak oni się dostali się do naszego systemu? – Morski nadal nerwowo chodził po pokoju.
– Nie wiem, ale na pewno to sprawdzimy – powiedział Leski.
– Kiedy? Czy mogą nam jeszcze bardziej zaszkodzić? Przecież mamy najnowocześniejsze zabezpieczenia – nie ustępował prezes. Słyszał wprawdzie nie raz o atakach hakerów na banki, urzędy państwowe, a nawet szpitale, ale był pewien, że włamanie się do systemu w jego firmie było absolutnie niemożliwe. Teraz musiał zaś stawić czoła okropnej prawdzie, że system, a przez to i miasto, znalazł się w prawdziwym niebezpieczeństwie.
– Powinniśmy jak najszybciej zastanowić się, co robimy dalej – powiedział. – Poproszę Bożenę, aby rozesłała informację do szefów działów o zebraniu; widzimy się wszyscy za 20 minut.
Godzina 14.00
W sali konferencyjnej zebrała się grupa kluczowych menedżerów: obok prezesa, szefa działu IT, dyrektora ds. PR i komunikacji znalazł się też prawnik i dyrektor finansowy.
– Na pewno już wiecie, że od rana coś dzieje się z naszym systemem zarządzania ruchem – zaczął Morski. – Otrzymałem mail od hakerów, którzy grożą eskalacją ataków, a za ich zaniechanie żądają 200 tysięcy złotych. Musimy się szybko zastanowić, jak możemy ich powstrzymać. W przeciwnym wypadku całemu miastu grozi całkowity paraliż.
– Moi ludzie robią, co mogą – zaczął bronić się Leski. – Potrzebujemy czasu, aby odzyskać kontrolę nad systemem. Potem ulepszymy zabezpieczenia, by mieć pewność, że taka sytuacja już się nie powtórzy.
– Najważniejsze pytanie to kiedy uporamy się z atakiem? – powiedział spokojnie Morski. – Musimy jak najszybciej odzyskać kontrolę nad sygnalizacją.
– Nie umiem ci powiedzieć, kiedy damy sobie z tym radę. W przypadku takich problemów nie ma szybkich rozwiązań. Mają nad nami przewagę wynikającą z zaskoczenia – tłumaczył Leski. Jego wyjaśnienia przerwał zaproszony na spotkanie Jarek Makowski, który miał donieść potrzebną dokumentację.
– Słuchajcie, nie chcę was straszyć, ale nasz system znowu się zawiesił. Teraz w ogóle nie reaguje! Oglądałem właśnie kolejne wiadomości w TVStolica. Dziennikarze nam nie odpuszczą. Na skrzyżowaniu Marszałkowskiej ze Świętokrzyską sygnalizacja mocno szwankuje. Wszędzie palą się tylko zielone światła! Samochody jadą naraz z czterech stron – wysapał Markowski.
Morskiego zamurowało:
– Ale tam przecież nie ma ronda! To nie są żarty! Przed pół godziną dostałem kolejny mail z pogróżkami. Nasz system zaatakowali hakerzy. Żądają pieniędzy za jego odblokowanie. Czy możemy coś zrobić? A może powinniśmy zadzwonić na policję?
– To na razie nie jest najlepszy pomysł – odezwała się Karolina Mazurkiewicz, prawnik spółki. Potwierdził to Leski, który uważał, że lepiej samodzielnie rozwiązać problem.
– Czy te awarie będą miały jakiś wpływ na sytuację firmy od strony prawnej?
– W tego rodzaju sprawach ryzyko prawne jest trudne do oszacowania – powiedziała Karolina. – Jednak im dłużej to trwa, tym gorzej. Ryzyko rośnie dosłownie z każdą sekundą. Słyszałam w radiu, że wiele osób nie zdążyło rano na samolot. Uczestnicy kolizji – a może same firmy ubezpieczeniowe, w których wzrosną koszty roszczeń – i spóźnieni pasażerowie mogą żądać od nas odszkodowania. No i jeszcze miasto może nałożyć na nas kary umowne za niedostępność systemu. Nie jesteśmy na to przygotowani.
– Czyżby pozostawało nam tylko jedno wyjście? – spytał Morski. – Ulec żądaniom hakerów?
Na krótką chwilę zapadła cisza, którą przerwał Filip Barski, dyrektor finansowy LightPolu.
– Nie wiem, czy pamiętacie, ale mamy w firmie zabezpieczenie finansowe na tego rodzaju zdarzenia. To rezerwa na możliwe do zaakceptowania straty, powstałe w wyniku wstrzymania ciągłości działania systemu. Mamy więc pieniądze, by zapłacić okup. A 200 tysięcy złotych to nic w porównaniu ze stratami, jakie możemy ponieść, gdy nastawimy się na przeczekanie. Myślę, że powinniśmy zapłacić – to będzie zdecydowanie mniej niż potencjalne roszczenia, na które byśmy się narazili, czekając.
– Chyba nie bierzecie na serio takiej ewentualności? – zapytał Leski z niedowierzaniem. – Gdy raz zapłacimy, już nigdy się od nich nie uwolnimy. Nie rób tego. To niewłaściwa droga. Możemy z nimi wygrać. Daj mi jeszcze trochę więcej czasu.
Godzina 15.30
Informatykom udało się, nawet dwukrotnie, odblokować system, ale zaledwie na kilka minut. Potem hakerzy równie szybko odzyskiwali kontrolę nad systemem. Prezes do tej pory starał się zachować zimną krew i wiarę w umiejętności Leskiego i jego informatyków, ale jego optymizm zaczynał powoli gasnąć. Za każdym razem, gdy system zaczynał funkcjonować, w jego duszy wybuchała nadzieja, ale znikała z chwilą, gdy okazywało się, że mimo informacji o braku błędów sygnalizacja nadal nie działa poprawnie.
Adam Morski postanowił poradzić się Mazurkiewicz i Barskiego. Karolina, jak zwykle opanowana, stwierdziła krótko:
– Musimy ocenić nasze możliwości manewru. Mam wrażenie, że informatycy nie potrafią poradzić sobie z problemem. Znam przypadki firm, które aby odzyskać utracone dane klientów lub pacjentów, płaciły hakerom.
– Z tego, co mówił Roman, wynika, że potrzebują czasu, by odzyskać kontrolę nad systemem – rzekł Morski.
– Ale nie mamy czasu – odezwał się Barski. – Powinniśmy zapłacić.
Morski słyszał wprawdzie o atakach hakerów na banki, urzędy państwowe, a nawet szpitale, ale był pewien, że włamanie się do systemu w jego firmie było absolutnie niemożliwe.
– Nie podoba mi się ten pomysł – powiedział Morski. – Zupełnie mi się nie podoba. To niemoralne ulegać ludziom, którzy wymuszają okup. Tylko zachęciłbym ich, a może nawet skłonił, do ataków na inne firmy – zmęczony patową sytuacją zamilkł na chwilę. – Ale może zgoda na ich żądania to jedyne, co nam pozostaje w tej sytuacji.
Godzina 17.50
Morski zwołał kolejne zebranie zespołu. Miał świadomość, że jeśli nie uda mu się zażegnać kryzysu, straci wszystko, co osiągnął. Mimo że się starał, nie był w stanie niczego zrobić. Ciążyło mu poczucie odpowiedzialności za wszystko, co zaszło tego dnia. Zastanawiał się, czy powinien zapłacić szantażystom. A może gdyby zapłacił hakerom – tylko ten jeden raz – firma miałaby więcej czasu na wdrożenie lepszych zabezpieczeń i nigdy więcej nie doszłoby do podobnego zdarzenia?
Jak powinien postąpić Adam Morski? • Odpowiedzi udziela czterech praktyków i ekspertów: Paweł Kucharski, dyrektor mBanku; Cezary Piekarski, Jakub Bojanowski, odpowiednio: menedżer i partner w Dziale Zarządzania Ryzykiem, Deloitte; Piotr Chrobot, dyrektor generalny Symantec Poland.
