Kyberhyökkäys Kyivstariin (2023)

**Kyberhyökkäys Kyivstariin** oli mittava, 12. joulukuuta 2023 toteutettu kyberhyökkäys ukrainalaista Kyivstar-teleoperaattoriyhtiötä vastaan. Hyökkäys vaikutti laajalti ukrainalaisessa yhteiskunnassa monen päivän ajan. Se oli suurimpia tietoliikenneyhtiöitä kohtaan Euroopassa koskaan tehtyjä verkkohyökkäyksiä.

## Hyökkäyksen eteneminen ja vaikutukset
Operaation keskeisessä vaiheessa (12. joulukuuta 2023 aamulla kello 05 alkaen) hyökkääjät tyhjensivät tuhansia virtuaalipalvelimia ja tietokoneita tuhotessaan matkapuhelinoperaattorin ydintoimintoja. Kyivstarin virtuaalisen infrastruktuurin hävittäminen osui yhteen tai aiheutti Kiovan (sekä Sumyn) ilmahälyytyssignaalien toiminnan lakkaamisen sekä monien maksupäätteiden, pankkiautomaattien ja useiden pankkipalvelujen toiminnan katkeamisen tai vakavan häiriöitymisen kanssa. Myös julkisen liikenteen maksamiseen tuli häiriöitä. Lvivissä katuvalojen automaattinen ohjaus vikaantui. Ukrainan turvallisuuspalvelun mukaan kyberhyökkäyksellä ei olisi ollut suurta vaikutusta Ukrainan asevoimien (ZSU) toimintaan, koska asevoimat ei olisi ollut riippuvainen matkapuhelinoperaattorista ja pystyi käyttämään "muita algoritmeja ja protokollia".

Kyivstar on Ukrainan suurin matkapuhelinoperaattori. Se on alankomaalaisen VEON-pörssiyhtiön (VON.AS; aiempi VimpelCom Ltd.) sataprosenttisesti omistama tytäryhtiö. Kyivstarilla oli mobiililaitteissa 24,3 miljoonaa ja koti-internet-liittymissä 1,1 miljoonaa tilaajaa. Myös lukuisat valtiolliset ja kaupalliset toimijat nojautuivat Kyivstarin matkapuhelinverkkoon. Pienissä kaupungeissa tai Ukrainan syrjäseudulla ei välttämättä ole muita tietoliikenneyhteyden tarjoajia. Kyivstarin suurimman kilpailijan Viastarin toiminta jatkui normaalisti iskusta huolimatta. Matkapuhelin- ja internetyhteyksiä sekä mobiililaitteen navigointipalveluja saadakseen ihmiset ostivat laajalti muiden matkapuhelinoperaattoreiden SIM-kortteja hyökkäyksen aiheuttaman, päiviä jatkuneen häiriötilanteen aikana. Tämä synnytti jonoja kilpailevien operaattoreiden myymälöihin. 12. joulukuuta myös maksupalveluja välittävää Monobank-yhtiötä kohtaan tehtiin palvelunestohyökkäys, mutta sen vaikutukset jäivät melko lyhytkestoisiksi. Kyivstarin palveluja saatiin palautettua vähitellen keskiviikosta 13. joulukuuta 2023 lähtien. 15. joulukuuta mennessä useimmilla tilaajilla puhelut ja internet toimivat jälleen. Koko järjestelmä saatiin palautettua vasta 20. joulukuuta 2023. Emoyhtiö VEON arvioi tammikuussa 2024, että Kyivstariin kohdistunut kyberhyökkäys aiheuttaa yhtiölle noin 3,6 miljardin hrivnan (95 milj. USD) liikevoiton menetyksen, koska yhtiö on joutunut korvaamaan asiakkailleen näiden tietoliikenneyhteyksien toimintahäriöiden vuoksi aiheutuneita vahinkoja.

Kyberoperaation osana tapahtunut tunkeutuminen Kyivstarin järjestelmiin oli pysynyt piilossa ainakin kuuden kuukauden ajan ennen joulukuun näkyvää, toimintoja lamauttavaa vaihetta. Tapahtumia analysoitaessa tätä pidettiin kyberhyökkäyksen huolestuttavana piirteenä. Ukrainan turvallisuuspalvelun (SBU) mukaan hyökkääjä oli ollut sisällä Kyivstarin järjestelmissä viimeistään toukokuusta 2023 lähtien. Tunkeutumista Kyivstariin oli yritetty mahdollisesti jo maaliskuussa 2023 tai aiemmin. Laajat valtuudet hyökkääjä oli saanut yrityksen tietojärjestelmiin viimeistään marraskuussa 2023. Vuotta aiemmin sama hyökkääjä oli tunkeutunut nimeltä mainitsemattoman ukrainalaisen tietoliikenneoperaattorin järjestelmiin. Tätä ei tuolloin tuotu julkisuuteen, mutta asia havaittiin Kiovassa, koska SBU oli itse ollut sisällä venäläisissä järjestelmissä. 

Hyökkäykseen ei liittynyt esimerkiksi lunnasvaatimusta. Tavoitteena arvioitiin olleen tuhota järjestelmiä ja aiheuttaa häiriötä. Kyivstarin toimitusjohtaja ja Ukrainan turvallisuuspalvelu (SBU) pitivät Venäjän osuutta kyberoperaatiossa todennäköisenä. Hyökkäyksen tekijäksi ilmoittautui joulukuussa, päivä julkivaihetta myöhemmin, venäläinen Solntsepek-ryhmä. Se oli aiemmin yhdistetty Sandworm-uhkaan. Telegramiin lähettämänsä viestin mukaan ryhmä väitti "tuhonneensa 10&nbsp;000 tietokonetta, joista yli 4&nbsp;000 oli palvelimia, mukaanluettuna Kyivstarin kaikki pilvipalvelu- ja varmennusjärjestelmät." Ryhmä väitti hyökänneensä Kyivstariin, "koska yritys toimittaa tietoliikenneyhteyksiä Ukrainan asevoimille, sekä Ukrainan valtion virastoille ja poliisisorganisaatioille."  Kyivstar kiisti väitettyjen tuhojen laajuuden. Yritys myös löysi ehjät varmennuskopiot järjestelmänsä uudelleenpystyttämiseksi. Sandworm on valtion tukema APT-ryhmä, joka on iskenyt aimminkin Ukrainaan. Se pyrki sotkemaan Ukrainan vaaleja vuonna 2014 ja onnistui lokakuussa 2022 tunkeutumaan Ukrainan sähkönsiirtoverkkoon aiheuttaen sähkökatkon noin 260&nbsp;000 ihmiselle. Ryhmä on pidetty Venäjän sotilastiedustelun kybersodankäynnin yksikkönä. Kyivstarin toimitusjohtaja piti kyberhyökkäystä laajemman sodankäynnin ja kybersodankäynnin osana. SBU:n mukaan Ukrainan valtiollisiin tai kriittisen infrastruktuurin järjestelmiin kohdistui 4&nbsp;500 suurempaa kyberhyökkäystä vuonna 2023. 

Kyberhyökkäyksellä oli yhdysvaltalaisen Crowdstrike-tietoturvayhtiön vastaoperaatioiden johtajan mukaan "katastrofaaliset" seuraukset. Sillä pyrittiin psyykkisen kärsimyksen aiheuttamiseen ja tiedonkeruuseen. Arvion mukaan hyökkääjä(valtio)n suurempana vaikuttimena oli psykologisinen operaatio, joka pyrkisi heikentämään, delegitimoimaan tai muutoin vaikuttamaan yleisön valtion instituutioita ja toimialoja koskevaan luottamukseen, esimerkiksi hallinnon, energian, liikenteen ja median parissa. Ukrainan turvallisuuspalvelun (SBU) mukaan hyökkääjän olisi ollut hankkimillaan laajoilla käyttövaltuuksilla mahdollista varastaa käyttäjien henkilötietoja, paikallistaa puhelimien sijainteja, lukea tekstiviestejä, mahdollisesti varastaa Telegram-tilejä. Kyivstarin mukaan henkilötiedot eivät kuitenkaan vaarantuneet kyberiskussa.

Kyberhyökkäyksen alkuvaiheista ei vielä tammikuussa 2024 oltu saatu tai julkaistu tarkkaa tietoa. Tutkintaa on vaikeuttanut hyökkäyksen osana tehty Kyivstarin tietojärjestelmien sisällön poispyyhkiminen. Mahdollisena pidettiin, että operaation alkuvaiheessa olisi käytetty jotain troijalaista haittaohjelmaa tai kalasteltu tietoja (phishing-hyökkäys) organisaatiosta. Jonkun työntekijän käyttäjätunnusten haltuunsaaminen olisi sattanut avata pääsyn järjestelmään ja mahdollistanut hyökkääjän etenemisen yritysverkossa huomaamatta. Mahdollisesti sosiaalisella manipuloinnilla joku henkilökunnan jäsen saatettiin saada paljastamaan käyttäjätietojaan. Mahdollisena pidettiin myös, että joku olisi voinut auttaa hyökkääjää sisältä käsin, tai että jotain muuta tunkeutumistapaa olisi käytetty. Mikäli hyökkääjä sai apua yrityksen sisältä, avustajalla ei olisi ollut kovin laajoja käyttöoikeuksia, koska hyökkäyksen apuna käytettiin haittaohjelmia, joilla sanasanojen hash-tunnuksia varastettiin. 

Hyökkäyksen toteuttamista saattoi helpottaa se, että venäläisellä matkapuhelinoperaattori Beelinella oli samantapainen tietojärjestelmän rakenne kuin Kyivstarilla. Vielä vähän aikaa aiemmin venäläinen Beeline ja ukrainalainen Kyivstar kuuluivat saman emoyhtiön alaisuuteen, ja osalla Beelinen henkilöstöstä oli pääsy Kyivstarin järjestelmiin. Alakomaissa vuonna 2017 pörssiin mennyt ja uuden yritysnimen ottanut VEON Ltd. oli ennen vuotta 2017 nimeltään Vimpelcom Ltd. ja taustaltaan moskovalainen tietoliikennealan yritys. Vasta yli kahdeksan kuukautta Venäjän hyökkäyssodan alkamisen jälkeen eli marraskuussa 2022 VEON ilmoitti etsivänsä sanktioista vapata ostajaa venäläisille yritysosuuksilleen. Näihin omistuksiin kuului venäläisen VimpelCom-tietoliikenneyritys, jonka tytäryhtiö Venäjän kolmanneksi suurin matkapuhelinoperaattori Beeline oli. Kaupat solmittiin, mutta vasta lokakuussa 2023 VEON luopui venäläisomistuksistaan kokonaisuudessaan.

## Vastaisku
Erääksi vastaiskuksi tulkittiin, että tammikuun 9. päivänä 2024 venäläisen internet- ja TV-operaattorin palvelimilta M9 Telecomin uutisoitiin pyyhityn 20 teratavua dataa. Tämän seurauksena osa Moskovan asukkaista menetti internetyhteytensä. Vastatoimi yhdistettiin Ukrainan turvallisuuspalveluun kytkeytyvään Blackjack-ryhmään. 

## Lähteet