Zsarolóvírus, DDoS és SharePoint-exploit: ismét a kiberbiztonság állt a hét középpontjában

Hétfő hajnalban masszív túlterheléses (DDoS) támadás érte a norvég digitális államigazgatás gerincét: a célpont a Digitaliseringsdirektoratet (Digdir) és annak üzemeltető partnere, a Vivicta volt, akik a norvég lakosság és a közigazgatás számára nyújtanak online szolgáltatásokat.

A támadás órákra elérhetetlenné tett vagy drasztikusan lelassított több alapvető digitális szolgáltatást, köztük a központi bejelentkezési rendszert, a digitális személyi igazolvány funkciót és a kormányzati e-mail platformot. A vezetés közlése szerint jelenleg nincs bizonyíték arra, hogy a támadók ténylegesen behatoltak volna a rendszerekbe, az esetet mindazonáltal a nemzetbiztonsági szerveknek is jelentették.

Az eset jól mutatja, hogy egy jól időzített, nagy volumenű DDoS-támadás önmagában, adatlopás nélkül is képes megbénítani egy ország teljes digitális ügyintézését – ez vállalati szinten is intő jel arra, hogy a rendelkezésre állás védelme (redundancia, terheléselosztás, megfelelő biztonsági megoldások) ugyanolyan fontos, mint az adatok titkosítása.

Kifejezetten ironikus eset történt a mátraházi Hotel Ózonnál: a szállodát augusztus elején zsarolóvírus-támadás érte, a támadók titkosították az informatikai rendszereket, és 25 000 eurót követeltek a visszafejtésért. A hotel nem fizetett, ezért heteken át tartó helyreállítási munkára volt szükség.

A támadás mintegy 40 ezer vendég 2022 novembere és 2026 júliusa közötti foglalási adatait érintette, a bankkártyaadatok azonban – mivel a szálloda külső fizetési szolgáltatót használt – nem kerültek veszélybe. A legkritikusabb az első 36 óra volt: a személyzet ezalatt nem tudta megállapítani, ki melyik szobában lakik, és mennyi a vendégek számlája.

A helyzet paradoxona, hogy a Hotel Ózon mindössze három hónappal a támadás előtt adott otthont egy védelmi és biztonságtechnikai szakmai fórumnak, ahol kiberbiztonsági szakértők tartottak előadást pontosan a zsarolóvírus-fenyegetésekről – és a szálloda nemrég 15 millió forintos rendszerfejlesztésen is átesett. Az eset jól szemlélteti, hogy az elméleti tudatosság önmagában nem elég: naprakész végpontvédelem és tesztelt mentési stratégia nélkül bármely vállalkozás sebezhető marad.

Támadók egy két hibából álló SharePoint-sebezhetőségi láncot (CVE-2026-55040 és CVE-2026-63520) kezdtek aktívan kihasználni: az első hiba a JWT-token-ellenőrzés megkerülésével teszi lehetővé a hitelesítés kijátszását, a második pedig a Business Connectivity Services szolgáltatáson keresztül távoli kódfuttatásra (RCE) ad esélyt a javítatlan szervereken.

A nyilvános proof-of-concept kódok augusztus közepén-végén jelentek meg, és napokon belül fegyverré is váltak. A Defused nevű fenyegetés-elemző cég augusztus 25-én megerősítette, hogy a támadók már aktívan próbálgatják az exploit-láncot csapdarendszereken, „intenzív adminisztrátori felderítést” végezve – sikeres kódfuttatást egyelőre nem észleltek, de a kísérletezés folyamatos.

Az eset a nyár korábbi részében feltárt, és a CISA által is a kritikus, aktívan kihasznált sebezhetőségek listájára felvett SharePoint-hibára (CVE-2026-45659) rímel – akkor több mint 200 internetre kitett, javítatlan SharePoint-szerverről számoltak be. A vállalati irodai és dokumentumkezelő rendszerek, valamint az azokat kiszolgáló szerverkörnyezet rendszeres frissítése ezért most különösen indokolt.

Az amerikai kiberbiztonsági hatóságok (CISA, FBI, NSA) közös figyelmeztetést adtak ki: támadók aktívan törik fel a vízellátó és szennyvíztisztító rendszerekben használt Siemens S7 ipari vezérlőket (PLC-ket), és ehhez mesterséges intelligenciát is bevetnek.

A támadók az AI-t arra használják, hogy nyilvánosan elérhető információk alapján automatikusan generáljanak kihasználó szkripteket, amelyekkel könnyebben azonosíthatók és feltörhetők az elavult szoftvert futtató, sebezhető eszközök. Az érintett kritikus infrastruktúra több amerikai államban – köztük Minnesotában, Michiganben, Arkansasban, Georgiában és New Jerseyben – működő vízellátási és szennyvízkezelési folyamatokat vezérel.

A hatóságok régóta ismételt ajánlása, hogy az ilyen ipari vezérlőket egyáltalán ne kössék össze a nyilvános internettel – az eset ugyanakkor jól mutatja, hogy az AI-eszközök a támadók oldalán is felgyorsítják és olcsóbbá teszik a sebezhető, elavult rendszerek felkutatását, ami minden szektorban (nem csak a kritikus infrastruktúrában) sürgeti a korszerű, támogatott szoftverekre való átállást.

A „TheHatman” álnéven ismert kiberbűnöző azt állítja, hogy több nagyvállalat Microsoft Azure-infrastruktúrájából származó munkavállalói adatbázisokat kínál eladásra, összesen mintegy 3,64 millió rekord terjedelemben. A legnagyobb, kiszivárgott adathalmaz állítólag közel 1,7 millió McDonald's-alkalmazott adatait tartalmazza.

Az érintettek között olyan ismert nevek szerepelnek, mint a Gap Inc., a Vodafone, a Tata Consultancy Services, a HCL Technologies, az InterContinental Hotels és a Kyndryl. Több cég vitatja az állításokat: a Tata szerint „nincs hiteles bizonyíték adatszivárgásra”, a Gap Inc. pedig azt közölte, hogy az érintett adatok „nem érzékenyek, és több évvel korábbiak”. A Microsoft egyelőre nem adott ki hivatalos közleményt az ügyben.

Függetlenül attól, hogy a végleges kép mennyire igazolja a hacker állításait, az eset emlékeztető: a felhőalapú vállalati fiókok és hozzáférések védelme, valamint a jogosultságok rendszeres felülvizsgálata kulcsfontosságú, ha egy szervezet Microsoft-licencekre és -hozzáférésekre építi a működését.

Komoly, több szolgáltatást is érintő üzemzavar bénította meg augusztus közepén a Microsoft tulajdonában lévő GitHubot. A vállalat 9:40-kor (kelet-amerikai idő szerint) erősítette meg a leállást, miután teljesítményproblémákat kezdett vizsgálni.

Az üzemzavar a weboldalt, az API-t, a GitHub Actionst, a pull requesteket, a webhookokat és az issue-kezelést is érintette, sőt a bejelentkezéshez használt SAML- és OIDC-hitelesítés is akadozott. Két óra elteltével a vállalat elhárítási lépéseket vezetett be, de a hibaarány ekkor is magas maradt: a weboldal és az API forgalmának kb. 20 százaléka, az archívum- és repó-letöltéseknek pedig nagyjából a fele hibázott. A leállás miatt az automatizált buildek és CI/CD-folyamatok is leálltak, és a Copilot elérhetősége is csökkent.

A GitHub a kiváltó okot nem hozta nyilvánosságra, csak annyit közölt, hogy a vizsgálat folyamatban van. Az eset jó példa arra, hogy még a legnagyobb fejlesztői platformok is kiszolgáltatottak lehetnek egyetlen üzemzavarnak – ami újra ráirányítja a figyelmet arra, mennyire fontos a kritikus vállalati rendszerek esetében a redundancia és a helyi, licencelt alternatívák megléte.