Gazeta Lodz - Cyberatak na Autopay: Atak wspierany przez AI i wyciek danych płatniczych

Autopay potwierdził, że 11 listopada doszło do nieautoryzowanego dostępu do jego infrastruktury technologicznej. Operator usług płatniczych poinformował również, że napastnicy uzyskali dostęp do części danych dotyczących przetwarzanych przez firmę płatności. Choć spółka nie potwierdziła wprost, że informacje zostały skopiowane lub wykorzystane w celach złośliwych, jednocześnie przyznała, że nie może wykluczyć takiej możliwości.

Komunikat firmy pozostawia wiele niewiadomych dotyczących rzeczywistego zakresu zagrożenia. Autopay użył sformułowania o „części danych dotyczących płatności przetworzonych przez Spółkę”, co jest na tyle poważne, by przyciągnąć uwagę mediów i klientów, ale jednocześnie zbyt ogólne, aby precyzyjnie określić skalę ryzyka. Na ten moment nie ma podstaw do twierdzenia, że atakujący zdobyli numery kart płatniczych, kody zabezpieczające, hasła do bankowości elektronicznej ani inne konkretne dane finansowe. Firma nie ujawniła również liczby osób, których incydent może dotyczyć.

Mimo braku szczegółowych danych o wycieku, Autopay traktuje zdarzenie z należytą powagą. Operator rozpoczął bezpośredni kontakt z osobami, których dane mogą być związane z incydentem, i zaleca klientom regularne sprawdzanie historii transakcji oraz natychmiastowe zgłaszanie bankowi operacji, których nie zrealizowali. W przypadku wykrycia podejrzanych działań należy niezwłocznie skontaktować się z instytucją finansową.

Zdecydowanie najciekawsze informacje techniczne pochodzą jednak poza podstawowym komunikatem publicznym. Serwis Sekurak otrzymał od przedstawiciela Autopay szczegółowe wyjaśnienia dotyczące sposobu przeprowadzenia ataku. Według przekazanych relacji incydent był „wysoce zautomatyzowany”, a firma uważa, że sprawcy najprawdopodobniej korzystali z modeli językowych (AI). Autopay wskazuje na dowody zastosowania automatyzacji wspieranej przez sztuczną inteligencję.

Według informacji przekazanych Sekurakowi, po początkowym etapie ataku doszło do gwałtownego przyspieszenia działań. W krótkim czasie wykonywano operacje na wielu zasobach, a w momencie blokowania kolejnych dróg dostępu napastnicy bardzo szybko zmieniali strategię działania. Firma wskazała również na użycie narzędzi tworzonych doraźnie, dostosowanych do konkretnego środowiska Autopay.

Kluczowym aspektem ataku jest sposób poruszania się sprawców po infrastrukturze. Atakujący nie koncentrowali się na infekowaniu stacji roboczych typowymi złośliwym oprogramowaniem. Zamiast tego przechodzili pomiędzy poszczególnymi częściami infrastruktury przez systemy, którym środowisko z założenia ufa. Były to mechanizmy monitorowania, potoki CI/CD (ciągła integracja i dostarczanie), automatyzacja wdrożeń oraz systemy zarządzania hasłami.

Co szczególnie istotne, duża część operacji była wykonywana przy wykorzystaniu legalnych poświadczeń oraz narzędzi administracyjnych. Cyberataki zazwyczaj polegają na wprowadzeniu do systemu czegoś obcego: nietypowego programu, podejrzanego pliku, dziwnego procesu lub komunikacji, która uruchamia alarmy bezpieczeństwa. Znacznie trudniej dostrzec przeciwnika, który korzysta z narzędzi przeznaczonych dla administratorów i dysponuje poprawnymi poświadczeniami.

Pojedyncze działanie takiego ataku może wyglądać zupełnie normalnie. Dopiero połączenie dziesiątek podobnych operacji, analiza ich kolejności, tempa oraz szerszego kontekstu pozwala dostrzec nieprawidłowości. Według relacji Autopay właśnie dlatego poszczególne ruchy napastników nie musiały uruchamiać typowych alertów. Każda z nich z osobna przypominała zwyczajną operację administracyjną.

Po wykryciu zdarzenia Autopay zablokował nieuprawniony dostęp, zabezpieczył systemy i uruchomił dodatkowe mechanizmy monitorowania. W dodatkowej informacji dla Sekuraka firma podała, że zidentyfikowane kanały dostępu zostały odcięte, poświadczenia unieważniono, a zaatakowane serwery odizolowano i zabezpieczono na potrzeby dalszego postępowania. Trwać ma również wymiana kluczy z partnerami oraz analiza powłamaniowa, prowadzona ze wsparciem zewnętrznych podmiotów. Usługi, których dostępność została ograniczona, zostały przywrócone do pełnego działania.

O incydencie powiadomiono Prezesa Urzędu Ochrony Danych Osobowych (PUODO), Policję oraz CSIRT KNF, czyli zespół odpowiedzialny za reagowanie na incydenty bezpieczeństwa w sektorze rynku finansowego. Najważniejsza praca przed firmą dopiero trwa. Analiza powłamaniowa musi odpowiedzieć przede wszystkim na pytania: do czego dokładnie uzyskali dostęp atakujący, co z tym dostępem zrobili i czy jakiekolwiek informacje opuściły infrastrukturę firmy. Dopiero wówczas będzie można odpowiedzialnie ocenić skalę całego zdarzenia.

Z punktu widzenia przeciętnego klienta sytuacja jest obecnie niewdzięczna. Brak informacji pozwalających dokładnie stwierdzić, jakie dane mogły zostać narażone, utrudnia sporządzenie uniwersalnej listy czynności, które powinien wykonać każdy użytkownik. Autopay wskazuje jednak na dwa kluczowe zalecenia.

Głośne cyberataki są idealnym paliwem dla phishingu. Przestępca nie musi przekonywać ofiary, że wydarzyło się coś niepokojącego – wydarzyło się naprawdę i można to sprawdzić w Internecie. Wystarczy podszyć się pod Autopay lub bank i wykorzystać powstałe zamieszanie jako pretekst do nawiązania kontaktu. Wiadomość w rodzaju „w związku z ostatnim incydentem bezpieczeństwa musisz pilnie zweryfikować swoje konto” powinna zapalać czerwoną lampkę, szczególnie jeśli prowadzi do logowania, podawania danych lub wykonania jakiejś operacji.

Autopay informuje jednocześnie, że osoby, których dane mogą dotyczyć zdarzenia, są powiadamiane bezpośrednio i otrzymują informacje o konkretnych krokach ograniczających ryzyko.

Incydent ten pokazuje, że sztuczna inteligencja nie musi nagle nauczyć się przełamywać najlepszych zabezpieczeń świata, aby stać się potężnym narzędziem ofensywnym. Wystarczy, że pozwoli człowiekowi wykonywać tę samą pracę nieporównanie szybciej. To mniej widowiskowe od wizji AI samodzielnie włamującej się do banków, ale dla osób po drugiej stronie jest prawdopodobnie znacznie bardziej problematyczne. Systemy zabezpieczeń mogą działać zgodnie z projektem i nadal przegrywać, jeżeli przeciwnik potrafi błyskawicznie zmieniać strategię oraz korzystać z tych samych zaufanych narzędzi co administrator.

W całym incydencie Autopay warto uważać na dwie przesady. Pierwszą jest bagatelizowanie zdarzenia tylko dlatego, że firma nie potwierdziła jeszcze skopiowania danych. Drugą jest ogłaszanie katastrofalnego wycieku danych finansowych milionów Polaków, gdy na razie nie ma informacji, które pozwalałyby coś takiego stwierdzić. Fakty są wystarczająco poważne bez ich podkręcania: doszło do cyberataku, był nieautoryzowany dostęp do infrastruktury i części danych związanych z płatnościami, trwa ustalanie pełnej skali zdarzenia, a Autopay bezpośrednio informuje osoby, których może ono dotyczyć.

Teraz warto patrzeć nie tylko na własną historię transakcji, ale również na kolejne komunikaty spółki. To one powinny odpowiedzieć na najważniejsze pytanie pozostające po tym ataku: co właściwie udało się zdobyć napastnikom.

S.Gorski--GL