Az incidensről a Hotel Ózon vendégei adatvédelmi tájékoztató e-mailből értesültek. A levél szerint a szálloda augusztus 1-jén, 0:10-kor észlelte, hogy jogosulatlan harmadik fél szerzett hozzáférést az informatikai rendszeréhez. Az incidens a 2022. november 1. és 2026. július 31. között rögzített foglalási adatokat érinthette, köztük a vendégek nevét, e-mail-címét, telefonszámát, lakcímét, születési helyét és idejét, személyi igazolványának számát, gépjárműve rendszámát, tartózkodásának időtartamát és nemzetiségét.

Hogy pontosan mi történt a háttérben, arról Hoffmann Henrik, az Ózon Hotel igazgatója beszélt lapunknak. 

„A kiberbűnözők nem egyszerűen hozzáfértek a rendszerünkhöz: a tűzfalak mögé bejutva a szálloda saját szerverein titkosították az adatállományokat, így azokhoz a munkatársak sem fértek hozzá. Leállt a front office rendszer, a könyvelés és a levelezés is. Egy ideig a rendszerből azt sem tudtuk megállapítani, hogy kik laknak éppen a házban, és kik érkeznek másnap. A támadók egyetlen megnyitható fájlt hagytak hátra: ebben közölték, hogy 25 ezer euróért adják át a titkosítás feloldásához szükséges kulcsot. Nem fizettük ki a váltságdíjat"

– mondta el az igazgató, aki az eset után etikus hackerekkel, informatikai és adatvédelmi szakemberekkel is konzultált, akik állították: a fizetés egyébként sem jelentett volna garanciát az adatok visszaszerzésére. A szakemberektől kapott becslések szerint három-négy fizető áldozatból nagyjából egy kapja valóban vissza az adatait.

A biztonsági mentéseket is titkosították

Hoffmann hangsúlyozta, hogy nem egy elhanyagolt informatikai rendszert ért a támadás: három hónappal korábban mintegy 15 millió forintból újították fel a szerverparkot. Többszintű biztonsági mentés is működött, az egyik szerver percenként mentette az adatokat, egy másik félóránként tükrözte a mentett állományt. Az elkövetők azonban először éppen a mentési szervereket titkosították. Mire elérték az aktív szervert – aminek a megtámadását már azonnal észlelték –, a mögötte lévő friss mentések is hozzáférhetetlenné váltak.

Ez mutatta meg a rendszer egyik legfontosabb gyenge pontját: a hotelnek nem minden létfontosságú adatbázisáról volt olyan friss mentése, amely a megtámadott hálózattól fizikailag függetlenül, például felhőben vagy leválasztott adathordozón azonnal rendelkezésre állt volna.

Mivel nem fizettek a támadóknak, régebbi mentésekből kellett újraépíteniük a rendszert. A szállodai adatbázisról június 30-i használható mentésük volt, vagyis körülbelül egy teljes hónapnyi adatot kellett visszapótolni. A munkát tovább nehezítette, hogy a levelezőszervert is titkosították, ezért a hiányzó információkat eleinte még az e-mailekből sem tudták egyszerűen visszakeresni. Hoffmann szerint különböző kerülő megoldásokkal rekonstruálták az adatokat. 

A visszanyert adatbázisokat ráadásul vírusellenőrzésnek kellett alávetni, mielőtt visszatölthették őket, nehogy fertőzött állomány kerüljön az újraépített rendszerbe. A helyreállítás így hetekig tartó folyamat lett; az interjú időpontjára Hoffmann szerint a rendszer mintegy 99 százalékban állt helyre.

36 órás krízis, de a hotel nem zárt be

A legsúlyosabb időszak mintegy 36 órán át tartott. A szálloda közben nem zárt be, a munkatársak kézi és rögtönzött megoldásokkal tartották fenn a működést.Nem működött például a szobakártyák kiírására szolgáló rendszer, és az épületfelügyeleti rendszerhez sem fértek hozzá. 

A szombaton távozó, mintegy 25-30 szoba vendégeinek esetében a hotel még azt sem tudta a rendszerből megállapítani, pontosan mennyivel tartoznak. Őket ezért fizetés nélkül engedték el azzal, hogy utólag kapják meg a számlát. 

Hoffmann szerint a vendégek megértően reagáltak, és az utólagos fizetéssel is jók voltak a tapasztalatok. Az éttermi és bárfogyasztásokat sem lehetett a szobaszámlákra terhelni, ezért közvetlen készpénzes vagy bankkártyás fizetésre álltak át. A NAV-os pénztárgépek nem tartoztak az érintett hálózathoz, így azok tovább működtek. 

Vasárnap már papíron összesítették a távozó vendégek költségeit, és a Számlázz.hu rendszeréből állították ki a számlákat, hétfőre pedig a szállodai rendszer egy része is újra működött. Még egy egyszerű vendégtájékoztató elkészítése is nehézséget okozott: a hotel levélsablonjaihoz sem fértek hozzá, ezért a honlapról kellett letölteniük a logót, hogy tájékoztathassák a vendégeket az informatikai támadásról és a szolgáltatások átmeneti változásairól. 

A könyvelés kiesése a bérfizetést is érintette. Augusztus 10-én úgy kellett fizetést adniuk, hogy az aktuális bérszámfejtéshez nem fértek hozzá. Átmenetileg ezért minden munkavállaló az előző havi fizetésének megfelelő összeget kapta, majd az adatok helyreállítása után újraszámolták a béreket és rendezték a különbözeteket.

Mintegy 40 ezer vendéget értesítettek

Az eset adatvédelmi incidensnek minősült, amelyet a szálloda bejelentett a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH), emellett rendőrségi feljelentést is tett. Az érintett vendégeket szintén értesíteni kellett – csakhogy kezdetben éppen azokhoz az adatbázisokhoz nem fértek hozzá, amelyekben az elérhetőségeik szerepeltek. A címlistát ezért külső szolgáltatóknál meglévő hírlevél-adatbázisokból és más hozzáférhető forrásokból kellett összeállítani. Hoffmann szerint végül mintegy 40 ezer vendéget értesítettek. A tájékoztatást az incidens után nagyjából öt-hét nappal kezdték meg.

Az igazgató elmondása szerint a vendégadatbázisban nevek és lakcímek szerepeltek, bankkártyaadatokat ugyanakkor a hotel nem tárol. Az online fizetések a SimplePay rendszerén keresztül történnek, így a vendégek bankkártyaadatai eleve nincsenek a szálloda birtokában. A ház vezetése jelenlegi ismeretei alapján úgy véli, hogy a támadók nem töltötték le az adatállományt. Ennek ellenőrzésére megvizsgálták, illetve szolgáltatójuktól is kikérték az incidens idején keletkezett adatforgalmi információkat, és nem láttak olyan forgalomnövekedést, amely nagy mennyiségű adat letöltésére utalt volna.

Az érintett állomány Hoffmann szerint mintegy harminc év üzleti adatait tartalmazta. A hotel sávszélességével a teljes adatbázis letöltése számításaik szerint körülbelül négy napig tartott volna, miközben a támadók becslésük szerint mindössze egy-két órán át voltak a rendszerben. Hoffmann ezért úgy fogalmazott, hogy szinte 100 százalékos bizonyossággal állítható, hogy nem történt adatletöltés, csak titkosítás.

A hotel a támadás miatt a Gyöngyösi Rendőrkapitányságon tett feljelentést. Az ügyben eljáró nyomozó később a szállodában is járt, és Hoffmann Henriket arról tájékoztatta, hogy augusztus 10-éig már három-négy hasonló esetet jeleztek az illetékes országos szervnél. A hoteligazgató azt nem tudta, hogy ezek között volt-e más szálloda.

Távoli asztali kapcsolaton keresztül juthatott be a vírus

A behatolás pontos módját még vizsgálják. Közvetlenül a támadás után elsőként a szálloda működését kellett helyreállítani, és csak ezután kezdődhetett meg annak részletes feltárása, hogyan jutott be a kártevő.

Több lehetőség felmerült, még az is, hogy valamely új eszköz eleve fertőzötten érkezett, ezt azonban kevésbé tartják valószínűnek. 

A szakemberek jelenlegi feltételezése szerint nagyobb eséllyel egy, a munkatársak által használt távoli asztali kapcsolaton keresztül, egy megnyitott fájllal kerülhetett a kártevő a rendszerbe. 

Hoffmann hangsúlyozta, hogy ez egyelőre feltételezés, a vizsgálat nem zárult le.

Az incidens egy másik problémára is ráirányította a hotel vezetésének figyelmét: az általuk használt front office rendszerben az adatmegőrzési idő az alapértelmezett öt évre volt beállítva. A szálloda ezért vizsgálni kezdte az alapértelemezett beállítás módosításának szükségességét.

A mentési rendszert is átalakítják

Az incidens után a Hotel Ózon átalakítja adatmentési gyakorlatát. A különböző adatbázisokat és virtuális szervereket jobban elkülönítik egymástól, emellett felhőalapú mentéseket és olyan fizikai biztonsági másolatokat is alkalmaznak majd, amelyeket a mentés után leválasztanak a hálózatról.

Hoffmann Henrik szerint az eset legfontosabb tanulsága nem az, hogy létezhet-e olyan informatikai rendszer, amelybe soha senki nem tud betörni. Sokkal inkább az, hogy egy támadás után milyen gyorsan lehet visszaállítani a működést. Ha rendelkezésre áll az előző napi, a hálózattól független mentés, legfeljebb egy napnyi adatot kell rekonstruálni. Az Ózon esetében most egy teljes hónapét kellett.

A támadás így jelentős „tanulópénz” lett a szálloda számára: a helyreállítás és a túlmunka költségei mellett további informatikai fejlesztésekre is szükség lesz. Az igazgató ugyanakkor úgy látja, a tapasztalat birtokában egy következő hasonló helyzetet már lényegesen gyorsabban tudnának kezelni. Kiberbiztonsági szakemberektől kapott tájékoztatás alapján hangsúlyozta: az ilyen támadások jelentős része ma már automatizált. Programok keresik az internetre kapcsolódó rendszerek sebezhető pontjait, és ahol sikerül bejutniuk, ott indulhat el a támadás. Hoffmann szerint ezért egy kisebb vállalkozás is célponttá válhat anélkül, hogy a támadók előzetesen kifejezetten azt szemelték volna ki.

(Nyitókép: 123rf)

Állítsa be, hogy a Turizmus.com cikkeit az elsők között lássa a Google keresőben!