Zsarolóvírus támadás Hotel Ózon ellen: Így veszélyezteti a digitális kiberbűnözés a magyar vállalkozásokat
A mátraházi Hotel Ózont augusztus elején komoly kibertámadás érte. A történet nem csupán egy szálloda informatikai problémája, hanem riasztó jelenségről szól, amely egyre gyakoribbá válik Magyarországon és egész Európában. A támadók 25 ezer euró váltságdíjat követeltek azért, hogy visszaadják a hotel titkosított adatait. Az eset mélyreható kérdéseket vet fel: mennyire védettek a magyar vállalkozások és milyen szerepe van ebben az Európai Uniónak?
A támadás menete: teljes informatikai összeomlás
Augusztus 1-jén hajnalban történt a támadás. A hackerek – valószínűleg egy távoli asztali kapcsolat felhasználásával – bejutottak a hotel belső hálózatába. Nem csak a napi működéshez szükséges adatokat titkosították, hanem a többszintű biztonsági mentéseket is megtámadták. Ez volt a legnagyobb probléma. A hotel igazgatója, Hoffmann Henrik elmondta, hogy néhány hónappal korábban jelentős informatikai fejlesztést hajtottak végre és úgy vélték, a mentési rendszerük megbízható. A támadók azonban pontosan tudták, hol keresni a legnagyobb sebezhetőséget: először a mentések szervereit támadták meg.
A helyzet drámai volt. Elérhetetlenné vált a foglalási rendszer, a könyvelés, a levelezés. Egy ideig a hotel dolgozói azt sem tudták, hogy pontosan kik tartózkodnak a szállodában vagy kik várhatóak a következő napokban. A legsúlyosabb időszak mintegy 36 órán át tartott, de a hotel nem zárta be kapuit. Papíralapú nyilvántartásokkal, ideiglenes megoldásokkal próbálták fenntartani a működést. Vendégeket engedtek el azonnali fizetés nélkül, mert a pontos fogyasztásukat nem tudták megállapítani. A bérszámfejtés is problémás volt: az alkalmazottak először az előző havi bérrel megegyező összeget kaptak, a különbözetet csak később tudták rendezni.
A válasz: nem fizettek váltságdíjat, de hónapokig tart a helyreállítás
A hotel vezetése egyértelmű döntést hozott: nem fizetnek a zsarolóknak. Ez erkölcsileg és gyakorlatilag is a helyes lépés volt. Az Europol, az Európai Rendőrségi Hivatal és a Nemzeti Kiberbűnözés Elleni Központ is mindig azt tanácsolja, hogy ne fizessenek váltságdíjat. Ennek több oka van:
- nem garantálja az adatok visszajuttatását
- további támadásokra ösztönzi a bűnözőket
- pénzelteti a kiberbűnözői hálózatokat
- gyakran nemzetközi szervezett bűnözés részét képezik
- más vállalkozások is célponttá válhatnak
- csökkenti a helyreállítási költségeket
A nemfizetés azonban komoly következményekkel járt. Mivel a legfrissebb mentéseket is titkosították, a rendszert egy június végi állapotból kellett helyreállítani. Ez azt jelentette, hogy egy teljes hónapnyi adatot – foglalásokat, számlákat, könyvelési tételeket – kellett manuálisan, kézzel rekonstruálni. Ez óriási adminisztratív terhet rótt a személyzetre és anyagi veszteségeket is okozott.
Az adatvédelmi incidens miatt a hotel bejelentést tett a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH) és rendőrségi feljelentést is tett. A szálloda becslése szerint a kitettség akár több évnyi foglalási adatot érinthetett, ami mintegy 40 ezer vendéget jelentett. Mindenkit meg kellett keresniük és tájékoztatniuk, ami óriási logisztikai feladat volt. A foglalási rendszer leállása miatt ehhez külső adatbázisokat és korábbi hírlevéllistákat is fel kellett használniuk.
A kiberbiztonság európai kérdés – mit tesz az EU?
Ez az eset nem csak egy izolált magyar eset. A zsarolóvírus-támadások – más néven ransomware-támadások – valódi európai járvánnyá váltak. Az Europol 2024-es kiberbűnözési jelentése szerint a kis- és középvállalkozások (KKV-k) egyre gyakoribb célpontok, mivel gyakran kevésbé védettek, mint a nagyvállalatok. A támadások gyakran kereskedelmi megszakadást, anyagi veszteséget és hosszú helyreállítási időt okoznak.
Az Európai Unió több fronton is harcol a kiberfenyegetések ellen. 2022 decemberében lépett hatályba a második, úgynevezett NIS2 irányelv, amelyet a tagállamoknak 2024 októberéig be kell építeniük a nemzeti jogrendszerükbe. Magyarországon ez a feladat a Nemzeti Információs Infrastruktúra Védelmi Hivatalára (NIIH) hárul. Az NIS2 irányelv lényegesen kiterjeszti a szabályozás körét. Korábban csak a kritikus infrastruktúrákat érintette (pl. energia, közlekedés, egészségügy), most azonban sok más szektort is, így a digitális szolgáltatásokat, a gyártóipart és – ami nagyon fontos – a közepes méretű vállalkozásokat is.
Ez gyakorlatilag azt jelenti, hogy sok magyar vállalkozásnak, beleértve a szállodákat is, kötelezővé válhat a kiberbiztonsági kockázatelemzés végzése, incidenskezelési terv kidolgozása és a jelentős kiberesemények bejelentése a hatóságok felé. A cselekvés hiánya szankciókkal járhat.
Emellett működik az EU Kiberbiztonsági Ügynökség (ENISA), amely segítséget nyújt, iránymutatásokat ad és koordinálja a tagállamok közötti együttműködést. Az Europol pedig rendőrségi szinten dolgozik a kiberbűnözői hálózatok feltörésén. Nemrégiben, 2024 tavaszán sikeres nemzetközi akciót hajtottak végre egy nagy ransomware-hálózat ellen, amely többek között magyar céget is megtámadott.
Mi a tanulság? Felkészülés a helyreállításra
Hoffmann Henrik, a Hotel Ózon igazgatója egy lényeges tanulságot vont le az esetből: a legfontosabb nem a betörések teljes kizárására kell készülni – bár az is fontos – hanem arra, hogy egy sikeres támadás után milyen gyorsan lehet helyreállítani a működést. Ez az úgynevezett „cyber resilience” vagy kiberrugalmasság elve. A hotel most felülvizsgálja teljes informatikai biztonsági stratégiáját. A jövőben a szervereket jobban elkülönítik egymástól és olyan biztonsági mentési rendszert építenek ki, amely egyrészt felhőalapú, másrészt fizikailag is leválasztott a fő hálózatról. Ez azt jelenti, hogy a mentett adatok akkor is biztonságban vannak, ha a fő rendszereket teljesen elfoglalják a támadók.
A magyar vállalkozások számára az EU egyre szigorúbb kereteket állít fel, de egyben forrásokat és tudást is kínál. Az NIIH weboldalán találhatóak ingyenes útmutatók és önvizsgálati eszközök kismicrovállalkozások számára. Az Európai Bizottság „Digital Europe” programja keretében pedig támogatások is elérhetőek a digitális biztonság fejlesztésére.
A Hotel Ózon esete egy ébresztő csengő. Megmutatja, hogy a kiberbűnözés nem egy távoli, elvont fenyegetés, hanem konkrét veszély, amely megbéníthatja egy vállalkozás mindennapi életét. A védekezés kulcsa a felkészültség, a megfelelő technikai védelem és – ahogy azt az EU szabályozása is hangsúlyozza – a tudatosság. Minden vállalkozásnak gondolnia kell arra: mi történik, ha holnap reggelre minden adatunk titkosított lesz? A válasz erre a kérdésre ma már nem csupán üzleti, hanem jogi kötelezettség is Európában.
