Безопасность уровня «Швеция». Один забытый доступ позволил угнать целое «цифровое государство»

Утечка затронула один из ключевых цифровых сервисов Швеции. В сети выложили полный исходный код государственной платформы электронного управления, которую используют для работы государственных услуг.

Ответственность за публикацию взял на себя участник подпольных форумов под именем ByteToBreach. По словам злоумышленника, доступ к данным удалось получить после взлома инфраструктуры компании CGI Sverige AB. CGI Sverige выступает шведским подразделением международной компании CGI Group и обслуживает важные государственные цифровые системы.

ByteToBreach утверждает, что публикация содержит не фрагменты конфигурации, а весь исходный код платформы электронного правительства. Злоумышленник также заявил, что в ходе атаки получил доступ к ряду внутренних систем. Среди похищенных данных фигурируют база сотрудников, система электронного подписания документов через программный интерфейс, тестовые точки удалённого выполнения кода и учётные данные для доступа по протоколу SSH, связанные с сервером автоматической сборки Jenkins.

Сообщение также указывает на дополнительные материалы, которые помогли злоумышленнику закрепиться в инфраструктуре. В архив включили данные о первоначальном проникновении в сеть, следы обхода защитных механизмов, а также артефакты, полученные при анализе локальных дампов памяти. В публикации упоминаются и данные, которые позволяли перемещаться между серверами внутри инфраструктуры.

ByteToBreach утверждает, что при атаке удалось полностью захватить сервер Jenkins. После получения доступа злоумышленник воспользовался тем, что учётная запись Jenkins входила в группу Docker, что позволило выйти из контейнера и получить контроль над хост-системой. Далее применили закрытые ключи SSH для перехода на другие узлы инфраструктуры. В сообщении также говорится о применении метода SQL copy-to-program для дальнейшего развития атаки.

Похищенный исходный код злоумышленник распространяет бесплатно и разместил несколько резервных ссылок для скачивания. При этом базы персональных данных граждан и документы электронной подписи в утечку не включили. ByteToBreach утверждает, что такие данные продаёт отдельно.

Злоумышленник отдельно подчеркнул, что ответственность за инцидент лежит на инфраструктуре CGI. В публикации он отметил, что компании часто пытаются объяснить взлом проблемами у сторонних подрядчиков. В качестве примеров ByteToBreach упомянул недавние атаки на Viking Line и Slavia Pojistovna, которые также связывают с той же кампанией.