Sześć przypadków, które warto znać
W logistyce dochodzi motyw nieobecny gdzie indziej: systemy terminalowe bywają celem przestępczości zorganizowanej, która nie chce ich zniszczyć — chce w nich cicho zmienić jeden rekord.
Antwerpia, 2011–2013
Gdy celem nie jest zniszczenie, tylko jeden rekord
Grupa przemytnicza uzyskała dostęp do systemów firm terminalowych w porcie w Antwerpii, aby przechwytywać kody odbioru kontenerów i odbierać własnym transportem kontenery należące do niczego niepodejrzewających klientów, zanim zgłosił się po nie prawowity odbiorca. Wejście było dwuetapowe: zaczęło się od wiadomości ze złośliwym oprogramowaniem, a gdy włamanie wykryto i zabezpieczono sieć zaporą, sprawcy przeszli do metody fizycznej — zainstalowali keyloggery na klawiaturach oraz własne urządzenia ukryte w obudowach dysków i listwach zasilających. W czerwcu 2013 roku policja przeszukała ponad dwadzieścia lokalizacji i zatrzymała piętnaście osób, w tym dwóch informatyków. Tu nikt nie zatrzymuje terminalu i nie żąda okupu. Obiekt pracuje normalnie, a jedynym śladem jest kontener wydany na podstawie prawidłowego kodu przez nieprawidłową osobę.
DP World Australia, listopad 2023
Trzy dni i trzydzieści tysięcy kontenerów
10 listopada 2023 roku operator odciął od internetu cztery terminale kontenerowe — w Melbourne, Sydney, Brisbane i Fremantle — aby powstrzymać trwający atak. Terminale przestały wydawać i przyjmować ładunek, a na placach utknęło około trzydziestu tysięcy kontenerów. Operator obsługuje blisko 40 procent obrotu towarowego Australii. Przy wznawianiu pracy 13 listopada spodziewano się przetransportować około pięciu tysięcy kontenerów, czyli mniej niż jedną czwartą normalnego dobowego wolumenu. To jest właściwa miara ryzyka dla terminalu: nie koszt odtworzenia systemu, lecz koszt kolejki, która ustawia się pod bramą i rozchodzi po całym łańcuchu.
Maersk i NotPetya, czerwiec 2017
I pytanie, czy da się pracować ręcznie
27 czerwca 2017 roku złośliwe oprogramowanie rozprzestrzeniło się przez zainfekowaną aktualizację oprogramowania księgowego i sparaliżowało globalnego armatora wraz z jego spółką terminalową. Zakłócenia dotknęły terminale na kilku kontynentach, między innymi w Rotterdamie, Los Angeles, Nowym Jorku, Barcelonie, Algeciras i Bombaju. Spółka wyceniła skutki na 200–300 milionów dolarów. Odbudowa objęła ponowną instalację około 45 tysięcy komputerów, 4 tysięcy serwerów i 2,5 tysiąca aplikacji, wykonaną w dziesięć dni zamiast szacowanych sześciu miesięcy. Przez ten czas firma obsłużyła około 80 procent normalnego wolumenu, pracując ręcznie.
Nagoja i Expeditors
Dwa rachunki za ten sam rodzaj przestoju
4 lipca 2023 roku atak szyfrujący zatrzymał największy japoński terminal kontenerowy w porcie Nagoja. Załadunek i rozładunek wstrzymano, a terminal wrócił do pracy po południu 6 lipca, czyli po około dwóch dobach. Skutek przeniósł się natychmiast na producenta motoryzacyjnego, który wstrzymał linię pakowania komponentów eksportowych. W lutym 2022 roku globalny spedytor Expeditors International wyłączył większość systemów po ataku i przez blisko trzy tygodnie działał w trybie ograniczonym. Spółka wyceniła zdarzenie na około 60 milionów dolarów, z czego 40 milionów stanowiła utracona zdolność frachtowa i opłaty za przestój ładunku, a 20 milionów koszty dochodzenia i odtworzenia środowiska. Koszt odtworzenia informatyki jest mniejszą częścią straty. Większą jest to, co przez ten czas nie pojechało.
Blue Yonder i Kojima
Jesteście ogniwem w cudzym łańcuchu
21 listopada 2024 roku atak dotknął dostawcę oprogramowania do zarządzania łańcuchem dostaw. Sam dostawca nie prowadzi żadnego magazynu, ale jego klienci owszem: skutki odczuły sieci handlowe, u których przestał działać system zarządzania magazynem świeżej żywności, oraz sieć gastronomiczna, która straciła system układania grafików pracy. W lutym 2022 roku atak na jednego dostawcę części, spółkę Kojima Industries, zatrzymał czternaście zakładów Toyoty i dwadzieścia osiem linii produkcyjnych na dobę — sama Toyota nie została zaatakowana. Wniosek działa w obie strony: incydent u dostawcy systemu, firmy serwisowej albo operatora łącza przekłada się na Państwa obiekt, a dokładnie w tej samej roli występują Państwo wobec własnych klientów.
Sprzęt przeładunkowy i kanał producenta
Ryzyko, które nie wymaga napastnika
W lutym 2022 roku atak na europejską grupę terminalową dotknął jej obiekty w Belgii, Holandii i Niemczech, a wśród nich terminal w Porcie Północnym w Gdańsku. Terminal utrzymał pracę, ale zdarzenie pokazuje, że przynależność do międzynarodowej grupy oznacza wspólną powierzchnię ataku. Osobny wątek dotyczy samego sprzętu: amerykańska Straż Wybrzeża wydała w 2023 i w grudniu 2024 roku ostrzeżenia dotyczące dźwigów nabrzeżowych chińskiej produkcji, a komisje Kongresu zakończyły w tej sprawie dochodzenie w marcu 2024 roku. Ujawniono między innymi obecność w dźwigach modemów komórkowych, których operatorzy portów nie zamawiali i które nie były potrzebne do pracy urządzenia. Podkreślamy uczciwie: opisano ryzyko i niewyjaśnioną łączność, a nie potwierdzony atak.
Wszystkie przywołane zdarzenia pochodzą z publicznie dostępnych źródeł: raportów CERT Polska (NASK), komunikatów i raportów rocznych spółek, decyzji organów nadzoru, publikacji badaczy bezpieczeństwa oraz doniesień prasowych. Materiał ma charakter informacyjny i nie stanowi porady prawnej.