Кибератака на Британскую библиотеку

Входные ворота Британской библиотеки на Юстон-роуд , Сент-Панкрас, Лондон , вид на статую Ньютона.

В октябре 2023 года атаковала Rhysida хакерская группа онлайн-информационные системы Британской библиотеки . Они потребовали выкуп в размере 20 биткойнов , что на тот момент составляло около 596 000 фунтов стерлингов , за восстановление сервисов и возврат украденных данных. Когда Британская библиотека не согласилась на эту попытку, Рисида публично опубликовала в Интернете около 600 ГБ утекших материалов. Это было описано как «один из худших киберинцидентов в британской истории».

Основной каталог вернулся в сеть 15 января 2024 года в формате только для чтения , хотя ожидается, что некоторые услуги библиотеки будут недоступны в течение нескольких месяцев. Британская библиотека будет использовать около 40 процентов своих финансовых резервов, около 6–7 миллионов фунтов стерлингов , для восстановления после атаки.

Фон

Британская библиотека — вневедомственный общественный орган , в котором в 2023 году хранилось около 14 миллионов книг, а также миллионы других предметов. Это крупнейшая библиотека в Соединенном Королевстве. Библиотека была защищена брандмауэрами и антивирусным программным обеспечением , но не использовала многофакторную аутентификацию (MFA), а в феврале 2020 года был установлен новый сервер служб терминалов для облегчения удаленного доступа к сторонним поставщикам и внутренним ИТ-администраторам во время пандемии COVID-19. пандемия ; это был сервер, на котором во время атаки впервые был обнаружен несанкционированный доступ. В 2020 году отсутствие MFA на сервере было названо риском; в отчете библиотеки позже говорилось, что «возможные последствия, возможно, были недооценены».

Rhysida  — хакерская группа и поставщик программ-вымогателей как услуги, стало известно уже известная своими атаками на жизненно важную инфраструктуру, такую ​​как школы, больницы и правительственные учреждения, о которой разведывательным службам в мае 2023 года. Ранее они атаковали чилийскую армию , медицинскую исследовательскую лабораторию в Австралии и медицинскую компанию Prospect Medical Holdings.

Атака на Британскую библиотеку была частью более широкой схемы кибератак против культурных учреждений того времени. Эти нападения ранее затронули Метрополитен-опера в Нью-Йорке и Музей естественной истории в Берлине .

Хронология событий

2023

• 28 октября: В 9:54 по Гринвичу Британская библиотека сообщает в Твиттере , что у нее возникли «технические проблемы, влияющие на наш веб-сайт». К середине утра проблемы включают в себя отключение общественного Wi-Fi и неработающий онлайн-каталог.
• 29 октября: Библиотека объявляет в Твиттере , что у нее «технологический сбой».
• 30 октября: , библиотека вновь открывается после выходных «в доцифровом состоянии» По сообщению The New Yorker . Его веб-сайт, телефонные линии, продажа билетов, регистрация читателей и операции по картам не работают. центра библиотеки Доставка из спа- в Бостоне приостановлена.
• 31 октября: Библиотека публично подтверждает, что отключение является следствием кибератаки. Он начинает расследование вместе с Национальным центром кибербезопасности (NCSC) и другими по кибербезопасности . специалистами
• 16 ноября: Библиотека подтверждает попытку цифрового вымогательства, также известную как атака с использованием программы-вымогателя.
• 20 ноября: Рисида берет на себя ответственность за нарушение и запускает недельный аукцион на 490 191 файл данных в темной сети , открывая торги по цене 20 биткойнов , что на тот момент эквивалентно примерно 596 000 фунтов стерлингов , для одного покупателя. Он устанавливает крайний срок аукциона на 8 часов утра по Гринвичу 27 ноября и рекламирует его с помощью изображений с низким разрешением , на которых, как представляется, изображены Налоговой и таможенной службы Ее Величества трудовые договоры и паспортные данные. Он утверждает, что данные являются «эксклюзивными, уникальными и впечатляющими». Библиотека заявляет, что утечка данных, по-видимому, произошла из ее внутренних файлов отдела кадров .
• 27 ноября: Рисида делает 90 процентов украденных данных (около 600 ГБ ) бесплатными для скачивания любым пользователем даркнета после того, как Британская библиотека отказывается платить выкуп.

2024

• 5 января: Библиотека объявляет, что будет использовать около 40 процентов своих финансовых резервов для восстановления после атаки, стоимость которой оценивается примерно в 6–7 миллионов фунтов стерлингов.
• 10 января: Библиотека объявляет, что некоторые из ее сервисов вернутся в онлайн-режим с 15 января, причем доступ, по словам Роли Китинга , исполнительного директора библиотеки, будет «более медленным и более ручным», чем до атаки. Китинг приносит свои извинения за то, что «за последние два месяца исследователи, чья учеба, а в некоторых случаях и средства к существованию, зависят от доступа к библиотечной коллекции, были лишены этого доступа».
• 15 января: Основной онлайн-каталог Британской библиотеки восстанавливается в формате только для чтения . Пользователи могут осуществлять поиск по основному каталогу, но процесс проверки наличия и заказа товаров отличается. Доступ к ключевым специальным коллекциям восстановлен, но только для личного посещения.
• 8 марта: Роли Китинг публикует сообщение в блоге на веб-сайте Британской библиотеки, объявляя о наличии отчета, который «дает описание и график атаки, насколько нам известно на данный момент, и ее последствия для работы библиотеки, будущей инфраструктуры и оценка риска." В отчете объявлено, что компания реализует схему «Восстановление и обновление», «чтобы обеспечить свою будущую способность реагировать на инциденты аналогичного масштаба последовательным и структурированным образом», включая «значительный переход» от технологий на местах к технологиям, работающим на месте. облако ​ .
• 30 июля: Библиотека объявляет, что дистанционный заказ физических носителей для доставки в читальные залы будет доступен к сентябрю 2024 года. Цифровые версии исторически значимых рукописей будут постепенно переиздаваться, начиная с сентября, на основе «приоритетного списка рукописей, основанного на Критерии, включая предметы, которые наиболее востребованы до кибератаки, и предметы, доступ к читальному залу которых ограничен». Образовательные веб-сайты и цифровые академические журналы также будут восстановлены до 2024–25 учебного года, насколько это возможно. Ожидается, что цифровой заказ товаров в автоматизированном складском здании снова станет онлайн в августе 2024 года.

Методы атаки

В библиотеке заявили, что злоумышленники, вероятно, использовали фишинг , целевой фишинг или грубую атаку , чему способствовала компрометация сторонних учетных данных, а также отсутствие использования библиотекой многофакторной аутентификации. Получив доступ, Рисида использовала три метода, чтобы идентифицировать и скопировать 600 ГБ документов во время атаки, включая личные данные пользователей и сотрудников библиотеки. Это были:

1. Целевая атака, в ходе которой были скопированы полные разделы сетевых дисков отделов финансов, технологий и кадров библиотеки, что составило 60% всего скопированного контента.
2. Атака по ключевым словам, в ходе которой сканировались файлы и папки, в именах которых использовались конфиденциальные ключевые слова, в том числе «паспорт» или «конфиденциально», что составляло 40% скопированных данных и включало файлы из корпоративных сетей и личных дисков, используемых сотрудниками.
3. Взлом собственных утилит, которые затем использовались для принудительного создания резервных копий 22 баз данных, включая контактные данные внешних пользователей и клиентов.

Кроме того, Rhysida и ее филиалы уничтожили серверы, чтобы помешать восстановлению системы и судебно-медицинскому анализу .

Влияние

Хотя процесс расчета полного финансового ущерба от атаки продолжается, После нападения на функционирование библиотеки был нанесен ряд воздействий. К ним относятся:

• Предметы библиотеки из филиала в Бостон-Спа не удалось перенести в лондонский офис.
• Около 20 000 писателей, иллюстраторов и переводчиков, которые обычно получали права на государственное кредитование за взятые взаймы книги, получили задержку выплат.
• Программа выездных стипендий библиотеки на 2024–2025 годы была приостановлена.
• Компьютеризированный каталог несколько месяцев находился в автономном режиме, а в январе 2024 года его частично восстановили.
• По состоянию на 19 декабря 2023 года коллекция EThOS британских докторских диссертаций оставалась автономной.
• Затраты на восстановление после нападения оцениваются в 6–7 миллионов фунтов стерлингов.
• По состоянию на 16 мая 2024 года веб-страницы электронных ресурсов Британской библиотеки перенаправляются на страницу с заявлением: «Мы продолжаем испытывать серьезные технологические сбои в результате кибератаки. Наши здания открыты как обычно, однако Сбой по-прежнему влияет на наш веб-сайт, онлайн-системы и службы, а также на некоторые локальные службы. Это временный веб-сайт с ограниченным содержанием, на котором описаны доступные в настоящее время услуги, а также то, что происходит в библиотеке».

См. также

• Атака программы-вымогателя WannaCry