Incident na forumu Bezbedan Balkan: Analiza navodnog kompromitovanja baze podataka RFZO-a

Istočnoevropska i regionalna sajber-scena zabeležila je još jedan u nizu incidenata usmerenih ka javnom sektoru i objektima kritične informacione infrastrukture. Na forumu Bezbedan Balkan (specijalizovanoj regionalnoj platformi za diskusiju o sajber-bezbednosti, informatičkim pretnjama i analizu kompromitovanih podataka), u temi pod oznakom #2684, objavljene su tvrdnje da je celokupna baza podataka Republičkog fonda za zdravstveno osiguranje (RFZO) kompromitovana i ponuđena na prodaju na ilegalnim tržištima.

Ova tvrdnja izazvala je ozbiljnu zabrinutost među IT stručnjacima, analitičarima pretnji (Threat Intelligence) i stručnjacima za zaštitu privatnosti, budući da RFZO upravlja najsenzitivnijim segmentom ličnih i medicinskih podataka svih osiguranika u Republici Srbiji.

Kronologija incidenta i profil napadača

Rano otkrivanje na forumu (Objava u temi #2684): Na forumu Bezbedan Balkan, akter koji nastupa sa prepoznatljivim profilom ili pod pseudonimom iz sveta sajber-podzemlja objavio je uzorke (samples) i tvrdnju da poseduje kompletnu strukturu i sadržaj baze RFZO-a.

Priroda ponude: Akter tvrdi da je kroz neovlašćeni pristup registrima i informacionim sistemima uspeo da ekstrahuje (exfiltrate) milionske zapise građana, nudeći kompromitovanu bazu po određenoj ceni (najčešće u kriptovalutama kao što su Monero ili Bitcoin) potencijalnim kupcima ili na restriktivnim dark-web forumima (poput Breached ili RaidForums naslednika).

Validacija uzoraka: Kao što je uobičajeno u ovakvim akcijama, uz objavu su priloženi demonstracioni delovi baze – skrinšotovi tabela, JSON ili CSV izvozi koji na prvi pogled prikazuju formate podataka specifične za zdravstveni sistem Srbije (JMBG, LBO, brojeve zdravstvenih knjižica, šifre dijagnoza i podatak o osiguranju).

Anatomično gledano, ovakve objave mogu predstavljati stvarni i masivni proboj, ali i takozvano “prepakivanje” (re-hash) ranije procurelih baza, kombinovano sa podacima prikupljenim kroz manje lokalne incidente (npr. kompromitovanje privatnih klinika, apotekarskih sistema ili integrisanih softvera trećih strana koji komuniciraju sa RFZO sistemom).

Šta potencijalno sadrži baza podataka RFZO?

RFZO predstavlja centralni stub zdravstvenog informacionog sistema Srbije. Ako je baza podataka zaista kompromitovana u punom obimu, u rukama napadača nalazi se takozvani “zlatni rudnik” podataka pogodnih za najrazličitije oblike zloupotrebe:

Osnovni identifikacioni podaci (PII – Personally Identifiable Information):

Ime, prezime i ime roditelja

Jedinstveni matični broj građana (JMBG)

Lični broj osiguranika (LBO) i broj zdravstvene kartice

Adresa prebivališta i boravišta

Kontak podaci (brojevi telefona, e-mail adrese)

Podaci o zaposlenju i osiguranju:

Podaci o poslodavcu (PIB, matični broj, naziv kompanije)

Status osiguranog lica (zaposlen, penzioner, nezaposlen, član porodice)

Istorija prijava i odjava sa zdravstvenog osiguranja

Osetljivi medicinski podaci (PHI – Protected Health Information):

Izabrani lekar opšte prakse, stomatolog i ginekolog

Istorija izdavanja lekova na recept

Šifre bolesti po MKB-10 klasifikaciji

Zapisi o bolničkim lečenjima, operacijama i statusu invalida

Vektori napada i sistemske ranjivosti

Pristup sistemu veličine RFZO-a obično se ostvaruje kroz nekoliko osnovnih vektora napada:

Eksploatacija izloženih servisa (Edge Infrastructure): Ranjivosti na web portalima RFZO-a, neazuriranim e-Health servisima ili API interfejsima koji služe za integraciju sa apotekama i domovima zdravlja.

Kompromitovanje pristupnih parametara (Credential Stuffing / Phishing): Napadi na zaposlene u zdravstvenim ustanovama ili administraciji čiji su nalozi kompromitovani putem phishing kampanja ili malware-a za krađu lozinki (InfoStealers).

Ranjivost lanaca snabdevanja (Supply Chain Attack): Napad izveden preko eksternih IT partnera ili softverskih kuća koje održavaju pojedine module zdravstvenog sistema.

Insajderska pretnja ili zloupotreba privilegija: Zloupotreba pristupnih prava od strane ovlašćenih lica unutar sistema ili preko kompromitovanih administratorskih naloga.

Analiza rizika po građane i institucije

Curenje medicinskih i ličnih podataka ove razmere nosi daleko teže posledice od uobičajenog curenja finansijskih podataka. Bankarsku karticu je moguće blokirati i zameniti za nekoliko minuta, dok se JMBG, LBO i zdravstvena istorija ne mogu promeniti.

1. Masovni targetirani Phishing i Social Engineering

Dobijanjem kompletnog profila osiguranika, napadači mogu kreirati izuzetno uverljive, personalizovane napade. Građani mogu primati SMS ili e-mail poruke u kojima se tačno navodi njihov LBO, ime lekara ili naziv leka koji koriste, uz zahtev da uplate određeni iznos, potvrdite podatke ili otvore maliciozni link pod izgovorom obnove zdravstvene kartice.

2. Krađa identiteta i finansijske prevare

JMBG i podaci o prebivalištu u kombinaciji sa podacima o poslodavcu omogućavaju zloupotrebe prilikom registracije naloga na portalima za klađenje, podizanja brzi kcredita (mikrokredita), kupovine SIM kartica ili otvaranja naloga na e-Upravi i drugim servisima.

3. Ucena i kompromitovanje privatnosti

Posedovanje podataka o dijagnozama (posebno o osetljivim stanjima, psihijatrijskim lečenjima, hroničnim i teškim oboljenjima) otvara vrata ucenama pojedinaca, političara, javnih ličnosti ili zaposlenih u korporativnom sektoru.

Reakcija stručne javnosti i preporučene mere

U situacijama kada se na forumima poput Bezbedan Balkan pojave tvrdnje o proboju državnih registara, neophodno je primeniti protokol odbrane u više slojeva:

Za nadležne državne organe (RFZO, CERT, RATEL, MUP):

Hitna forenzička istraga: Odeljenje za visokotehnološki kriminal MUP-a i Nacionalni CERT moraju sprovesti detaljnu analizu balansa logova kako bi utvrdili da li je došlo do neovlašćenog izvlačenja podataka (Data Exfiltration) ili je reč o blefu/agregaciji starih podataka.

Obaveštavanje javnosti: Transparentno obaveštenje Poverenika za informacije od javnog značaja i građana o prirodi incidenta u skladu sa Zakonom o zaštiti podataka o ličnosti (ZZPL).

Segmentacija i izolacija: Hitno uvođenje striktnije kontrole pristupa, revizija svih administratorskih naloga i obavezna primena visefaktorske autentifikacije (MFA) za sve spoljne i unutrašnje pristupe.

Za građane (korisnike zdravstvenog osiguranja):

Povećan oprez kod komunikacije: Ne odgovarajte na SMS poruke ili mejlove koji se pozivaju na RFZO ili zdravstvene ustanove, a koji traže klik na link ili unos bankarskih podataka.

Provera naloga: Promenite lozinke na portalu eUprava i svim povezanim državnim servisima. Ukoliko je moguće, aktivirajte dvofaktorsku autentifikaciju (2FA).

Praćenje izveštaja: Redovno proveravajte aktivnost na svojim bankarskim računima i ne delite lične dokumente (slike lične karte ili zdravstvene knjižice) preko neproverenih aplikacija za dopisivanje.

Zaključak

Incident koji je predočen u temi #2684 na forumu Bezbedan Balkan predstavlja ozbiljan alarm za celokupan sistem sajber-bezbednosti u javnom sektoru. Bez obzira na to da li će se istragom utvrditi da je baza u potpunosti autentična, delimično kompromitovana ili agregirana iz sporednih izvora, činjenica da se podaci građana Srbije nalaze na ilegalnim tržištima zahteva sistemsku reakciju, kontinuiran monitoring bezbednosnih pretnji i radikalno podizanje nivoa zaštite kritične informacione infrastrukture.