Útok na systém MUIS a Avelogic: co přestalo fungovat a co zůstává nejasné

Útok nevyřadil náboženské služby ani služby pro veřejnost. Zasáhl SmartHRMS, systém pro personální agendu a výplaty, který dodává společnost Avelogic. Singapurská Islámská náboženská rada MUIS uvedla, že pro dotčené zaměstnance zajistila náhradní způsob vyplácení mezd, aby je dostali včas.316

Koho se výpadek týkal?

Mezi uživateli systému v komunitním sektoru bylo podle MUIS 48 mešit, čtyři madrasy (islámské školy), Islamic Learning Hub and Management Office (ILHAM) a společné servisní pracoviště Mosque-Madrasah-Wakaf Shared Services (MMWSS). Systém Avelogic využívali také klienti v jiných sektorech. MUIS uvedla, že náhradní mzdová opatření mají zaměstnancům dotčených mešit a madras zajistit včasnou výplatu.3

Unikly osobní údaje zaměstnanců?

To zatím není potvrzeno. Podle zpráv mohly být vystaveny údaje jako jména, kontakty, výše mezd či čísla bankovních účtů. Neznamená to však, že byly prokazatelně odcizeny. Dostupné informace neupřesňují ani počet dotčených lidí, ani to, které údaje — pokud vůbec nějaké — byly kompromitovány.617

Avelogic uvedl, že nezávislá forenzní analýza nenašla důkaz o hromadném odčerpání dat v dostupných síťových záznamech služby Amazon Web Services za potvrzené období aktivity útočníka od 30. do 31. srpna. Klíčové citlivé údaje v SmartHRMS byly podle firmy navíc šifrovány na úrovni aplikace. Zjištění se ale vztahují k prověřeným podkladům; sama o sobě nedokazují, že nikdo nezískal přístup k žádným informacím.7

Co se podařilo obnovit?

Podle oznámení Avelogic útočný software zašifroval databáze i připojené zálohy, a znemožnil tak přístup k systému. Jde o něco jiného než šifrování citlivých údajů, které má data chránit. MUIS později oznámila, že Avelogic obnovil zasažená data. Obnovení dat ale ještě nepotvrzuje, že zákazníci znovu získali přístup k plně funkčnímu SmartHRMS.2073

Dřívější zprávy uváděly jako plánovaný termín obnovení provozu 18. září. Poskytnuté podklady nepotvrzují, že systém toho dne skutečně začal znovu fungovat. Podle MUIS pokračovaly vyšetřování a bezpečnostní kontroly.1016

Co víme o vyšetřování?

MUIS oznámila, že byl případ nahlášen policii, výkupné nebylo zaplaceno a Avelogic dál zkoumá incident i jeho širší dopady. Oznámení Avelogic uvádí také podání singapurské Komisi pro ochranu osobních údajů (PDPC). Z dostupných podkladů nelze určit výsledek policejního vyšetřování ani stav či závěry případného samostatného šetření PDPC.320