Kontekst — profil atakowanego ubezpieczyciela
Nasz scenariusz opisuje atak na średniej wielkości polskiego ubezpieczyciela oferującego ubezpieczenia majątkowe, zdrowotne i na życie. Firma obsługuje 500 tysięcy klientów indywidualnych i 2 tysiące klientów korporacyjnych. Infrastruktura obejmuje systemy core insurance (on-premise), platformę claims management (hybrydowa), portale klienta i agenta (cloud) oraz integracje API z 15 brokerami i 3 porównywarkami.
Zespół IT liczy 40 osób, w tym 5 osób odpowiedzialnych za bezpieczeństwo. Firma posiada podstawowe rozwiązania bezpieczeństwa: firewall, antywirus, backup, ale nie ma dedykowanego SOC ani zaawansowanego monitoringu. Systemy legacy (core insurance sprzed 12 lat) koegzystują z nowoczesnymi rozwiązaniami chmurowymi.
To profil reprezentatywny dla wielu polskich ubezpieczycieli — niezbyt mały, aby być poza radarem atakujących, niezbyt duży, aby dysponować zasobami na zaawansowaną ochronę.
Dzień 1 — rekonesans i initial access
Atakujący — grupa APT specjalizująca się w sektorze finansowym — rozpoczyna od rekonesansu OSINT. LinkedIn ujawnia strukturę organizacyjną, nazwy systemów w ofertach pracy, technologie w profilach pracowników IT. Certyfikaty SSL i DNS records mapują infrastrukturę zewnętrzną.
Wektor wejścia: spearphishing na dział likwidacji szkód. Email spreparowany jako pilna korespondencja z kancelarii prawnej dotycząca dużego roszczenia zawiera załącznik PDF z exploitem. Likwidator otwiera dokument — to część jego codziennej pracy. Exploit instaluje backdoor na stacji roboczej.
Antywirus nie wykrywa zagrożenia — payload jest polimorficzny i wykorzystuje zero-day w parserze PDF. Brak EDR na stacjach roboczych oznacza, że backdoor może działać niezauważony. Atakujący uzyskuje initial foothold w sieci wewnętrznej ubezpieczyciela.
Dni 2-7 — lateral movement i eskalacja uprawnień
Przez kolejne dni atakujący porusza się po sieci, unikając wykrycia. Keylogger na stacji likwidatora przechwytuje dane logowania do systemu claims management. Skanowanie sieci wewnętrznej ujawnia brak segmentacji — stacja robocza w dziale likwidacji ma dostęp do systemów core insurance.
Atakujący exploituje podatność w niezałatanym serwerze Windows (CVE sprzed 8 miesięcy) i uzyskuje uprawnienia administratora domeny. Brak monitoringu logów Active Directory oznacza, że eskalacja uprawnień pozostaje niewykryta.
Kluczowy moment: atakujący uzyskuje dostęp do serwera bazy danych claims management. Sprawdza strukturę tabel — widzi dane roszczeń, dokumentację medyczną, numery PESEL, kwoty wypłat. To cel ataku: dane 500 tysięcy klientów z pełną historią roszczeń.
Równocześnie atakujący kompromituje konto VPN administratora IT, zapewniając sobie alternatywny kanał dostępu na wypadek wykrycia pierwotnego backdoora.
Dni 8-14 — eksfiltracja danych
Atakujący rozpoczyna systematyczną eksfiltrację danych. Aby uniknąć wykrycia, stosuje techniki slow exfiltration — kopiuje dane w małych porcjach, w godzinach normalnej aktywności biznesowej, tunelując ruch przez HTTPS do legalnie wyglądającej domeny.
Eksfiltrowane dane obejmują: pełną bazę klientów (dane osobowe, PESEL, adresy), historię roszczeń zdrowotnych z dokumentacją medyczną, aktywne polisy z sumami ubezpieczenia i składkami, modele cenowe i parametry aktuarialne oraz dane integracji brokerskich (klucze API, konfiguracje).
Brak DLP oznacza, że masowy transfer danych wrażliwych nie generuje żadnych alertów. Brak monitoringu NetFlow oznacza, że nietypowy ruch wychodzący do nieznanej domeny pozostaje niezauważony. Backup działa poprawnie, ale nikt nie monitoruje, czy dane nie są kopiowane poza zatwierdzone kanały.
Dzień 15 — odkrycie i eskalacja
Incydent zostaje przypadkowo odkryty, gdy administrator IT zauważa podejrzane konto w Active Directory podczas rutynowej konserwacji. Analiza ujawnia skalę kompromitacji — atakujący ma dostęp do krytycznych systemów od dwóch tygodni.
Zarząd zostaje poinformowany. Rozpoczyna się chaos: kto jest odpowiedzialny za incident response? Firma nie ma przetestowanego planu. Dział prawny pyta o obowiązki regulacyjne — KNF wymaga powiadomienia w 24 godziny, UODO w 72 godziny. Dział komunikacji nie wie, jak informować klientów.
Zespół IT próbuje izolować systemy, ale brak segmentacji oznacza, że izolacja jednego systemu wpływa na wszystkie. Systemy claims management zostają wyłączone — likwidacja szkód staje. Brokerzy tracą dostęp do API — nie mogą wystawiać polis. Klienci nie mogą logować się do portalu.
Czas od initial access do wykrycia: 14 dni. W tym czasie atakujący eksfiltrował dane setek tysięcy klientów.
Następstwa — koszty i konsekwencje
Bezpośrednie koszty obejmują: forensics i incident response (firma musi zatrudnić zewnętrznych ekspertów — 500 tysięcy złotych), odbudowa systemów i hardening (2 miliony złotych), komunikacja kryzysowa i powiadomienie klientów (300 tysięcy złotych), obsługa prawna (1 milion złotych).
Koszty regulacyjne: KNF nakłada karę za niedostateczne zabezpieczenia (wielokrotność minimalnych wymogów DORA). UODO nakłada karę za naruszenie RODO — brak DLP i monitoringu stanowi naruszenie zasady privacy by design. Łączne kary regulacyjne: 5-15 milionów złotych.
Koszty biznesowe: utrata klientów (szacunkowo 10-15% portfela w ciągu roku), utrata brokerów obawiających się o bezpieczeństwo integracji, wzrost składki reasekuracyjnej, obniżony rating ubezpieczeniowy.
Łączny koszt incydentu: 20-40 milionów złotych — wielokrotnie więcej niż inwestycja w kompleksowe cyberbezpieczeństwo, która mogłaby zapobiec atakowi.
Jak nFlo zapobiegłoby temu atakowi
Na każdym etapie ataku istniały punkty, w których rozwiązania nFlo wykryłyby i zatrzymały zagrożenie. EDR na stacji roboczej likwidatora wykryłby exploit w załączniku PDF i zablokował instalację backdoora — koniec ataku na etapie initial access.
Gdyby exploit przeszedł, segmentacja sieci uniemożliwiłaby lateral movement ze stacji roboczej do systemów core insurance. SOC nFlo wykryłby anomalie w Active Directory — eskalację uprawnień, tworzenie nowych kont, nietypowe logowania.
DLP zidentyfikowałoby masowy transfer danych wrażliwych i zablokował eksfiltrację. Monitoring NetFlow wykryłby tunelowanie danych do zewnętrznej domeny. Alert SOC uruchomiłby procedurę incident response w ciągu 15 minut — na długo przed eksfiltrracją danych.
Z nFlo czas wykrycia spadłby z 14 dni do minut. Koszt prewencji to ułamek kosztu incydentu. Skontaktuj się z nami, aby zabezpieczyć swoją firmę ubezpieczeniową.
Cyberbezpieczeństwo w Twojej branży
Dowiedz się więcej o cyberbezpieczeństwie w Twojej branży:
Tematy powiązane
Zobacz również:
Powiązane terminy
Sprawdź nasze usługi
- Incident Response - reagowanie na atak i eksfiltrację
- Usługi SOC - wczesna detekcja zagrożeń
