Grupa ransomware World Leaks umieściła w ciemnej sieci ogromną bazę plików związanych z największą elektrownią jądrową w Indiach, w tym rzekome plany części jej obiektów i dane dostawców – informacje, które oznaczyła jako pochodzące od Reliance Group.
Elektrownia jądrowa Kudankulam, zlokalizowana w południowym stanie Tamil Nadu, jest największą z siedmiu elektrowni jądrowych w Indiach i ma kluczowe znaczenie dla ambitnych planów premiera Narendry Modiego dotyczących zwiększenia mocy atomowej kraju.
Indyjski biznesmen Anil Ambani, Reliance Group, jeden z wykonawców elektrowni, powiedział agencji Reuters w oświadczeniu, że doszło do „częściowego naruszenia” jego danych na serwerze hostowanym przez zewnętrznego indyjskiego dostawcę usług centrum danych Yotta oraz że rząd został poinformowany o incydencie.
Reliance nie ujawniło, jakie dane zostały naruszone.
Naruszenie danych może stanowić „poważne” ryzyko dla bezpieczeństwa elektrowni, mówi Nickolas Roth, starszy dyrektor w Inicjatywie na rzecz Zagrożenia Nuklearnego, która doradza rządom i bada poziom gotowości krajów w zakresie bezpieczeństwa nuklearnego. Naruszenie podkreśla również, że ataki hakerskie stały się coraz powszechniejsze w Indiach, gdzie wiele firm nie jest przygotowanych do radzenia sobie z takimi zagrożeniami.
Reuters sprawdził dokumenty datowane na okres od 2016 r. do połowy 2025 r., ale nie mógł zweryfikować ich autentyczności. Oprócz niektórych planów i szczegółów dostawcy rzekomo przedstawiają protokoły spotkań i inspekcji, recenzje sprzętu i polisy ubezpieczeniowe.
19 000 plików wydawało się najbardziej wrażliwymi z łącznej liczby 858 000 plików Reliance znajdujących się w witrynie World Leaks.
Jedna ze spółek zależnych konglomeratu, Reliance Infrastructure, wygrała w 2018 roku kontrakt na zaprojektowanie i budowę infrastruktury dla bloku 3 i bloku 4 elektrowni. Oba bloki, będące wciąż w budowie, mają zostać oddane do użytku do 2027 r. i mają zapewnić łączną moc 2000 megawatów.
World Leaks, dobrze znana grupa zajmująca się oprogramowaniem ransomware, która wcześniej atakowała Nike i indyjską Grupę Tata, nie odpowiedziała na zapytania Reutersa w sprawie naruszenia danych Reliance. Grupa zazwyczaj publikuje na swojej stronie internetowej skradzione dane firmowe, gdy firmy odmawiają zapłaty żądanego okupu. Dostęp do jej strony internetowej można uzyskać wyłącznie za pomocą specjalistycznej przeglądarki.
W czerwcu World Leaks poinformował Reuters, że zażądał okupu w wysokości 1,5 miliona dolarów za pliki Grupy Tata zawierające poufne projekty podzespołów klientów Apple i Tesli, dodając, że opublikował te dane po tym, jak Tata „zignorowała” jego żądanie.
Podejrzana aktywność na serwerze w maju
Indyjska korporacja Nuclear Power Corporation, która zleca i obsługuje krajowe elektrownie jądrowe, komunikuje się z Reliance w sprawie naruszenia, a główna indyjska agencja ds. cyberbezpieczeństwa — Indyjski Zespół Reagowania na Kryzysy Komputerowe (CERT-In) — bada incydent, według źródła zaznajomionego z tą sprawą. Źródło odmówiło podania ze względu na drażliwość problemu.
Prezes Nuclear Power Corporation Rajesh Veeraraghavan, CERT-In i główne biuro prasowe rządu nie odpowiedzieli na wielokrotne prośby o komentarz.
Yotta stwierdziła w oświadczeniu, że 29 maja zauważyła podejrzaną aktywność na serwerze należącym do Reliance Infrastructure. Stwierdzono, że działanie zostało natychmiast zakończone i że zapobieżono podejrzanemu wykonaniu oprogramowania ransomware, ale pod koniec czerwca firma Reliance Infrastructure poinformowała ją, że pojawiły się doniesienia o naruszeniu danych dokonanym przez „zewnętrzne podmioty zagrażające”.
Yotta stwierdziła, że nie była w stanie zweryfikować twierdzeń „podmiotu zagrażającego”, ale dodała, że podzieliła się szczegółowym dochodzeniem technicznym z Reliance Infrastructure i wspiera trwające dochodzenie.
Indyjski Departament Energii Atomowej odmówił komentarza, a biuro Modiego nie odpowiedziało na zapytania Reutersa.
Plany i polisy ubezpieczeniowe
Nie wydaje się, aby dokumenty opublikowane w World Leaks dotyczyły podstawowych systemów reaktorów jądrowych, które dostarcza rosyjski państwowy Rosatom.
Zawierały rzekome plany systemów wentylacji i chłodzenia używanych w bloku 3 i 4, a także coś, co wyglądało na kompletny układ piętra „wspólnej sterowni”.
Akta zawierały także coś, co wyglądało na propozycje dostawców, listę zatwierdzonych dostawców oraz zapis spotkania w 2024 r. dotyczącego wspólnej inspekcji przeprowadzonej przez Nuclear Power Corporation i Reliance, wraz ze zdjęciami sprzętu.
Inny dokument rzekomo wskazuje, że Reliance Infrastructure i Nuclear Power Corporation wykupiły polisę ubezpieczeniową, która uprawnia je do wypłaty 112 milionów dolarów na wypadek, gdyby Jednostka 3 lub Jednostka 4 doświadczyła aktu terroryzmu.
Zdaniem naukowców pliki znajdujące się w rękach podejrzanych podmiotów można teoretycznie wykorzystać do mapowania systemów wsparcia zakładu, identyfikowania dostawców i wskazywania słabych punktów w łańcuchu bezpieczeństwa.
Mogłyby „pokazać przeciwnikowi nie tylko, kto ma dostęp do projektu, ale także do jakich systemów ten dostęp dociera” – stwierdził Roth z inicjatywy Nuclear Threat Initiative.
Według firmy zajmującej się cyberbezpieczeństwem Surfshark Indie zajmują trzecie miejsce na liście krajów, w których doszło do największej liczby naruszeń danych – w zeszłym roku naruszono 28,9 mln kont, ustępując jedynie Stanom Zjednoczonym i Francji.
Z zeszłorocznego raportu Indyjskiej Rady Bezpieczeństwa Danych i firmy Seqrite zajmującej się bezpieczeństwem cybernetycznym wynika, że spośród 204 organizacji ankietowanych w całych Indiach około 73 procent „nie wiedziało, czy kiedykolwiek zostały zaatakowane”, a 57 procent nie przestrzegało zasad higieny cybernetycznej.
To także drugi raz, kiedy elektrownię w Kudankulam powiązano z incydentem cybernetycznym, w ramach którego w 2019 r. w sieci administracyjnej elektrowni wykryto szkodliwe oprogramowanie powiązane z północnokoreańską grupą hakerów. Korporacja Nuclear Power Corporation oświadczyła wówczas, że sprawa została natychmiast zbadana i nie miało to wpływu na systemy elektrowni.