Az incidensről a Hotel Ózon vendégei adatvédelmi tájékoztató e-mailből értesültek. A levél szerint a szálloda augusztus 1-jén, 0:10-kor észlelte, hogy jogosulatlan harmadik fél szerzett hozzáférést az informatikai rendszeréhez. Az incidens a 2022. november 1. és 2026. július 31. között rögzített foglalási adatokat érinthette, köztük a vendégek nevét, e-mail-címét, telefonszámát, lakcímét, születési helyét és idejét, személyi igazolványának számát, gépjárműve rendszámát, tartózkodásának időtartamát és nemzetiségét.
„A kiberbűnözők nem egyszerűen hozzáfértek a rendszerünkhöz: a tűzfalak mögé bejutva a szálloda saját szerverein titkosították az adatállományokat, így azokhoz a munkatársak sem fértek hozzá. Leállt a front office rendszer, a könyvelés és a levelezés is. Egy ideig a rendszerből azt sem tudtuk megállapítani, hogy kik laknak éppen a házban, és kik érkeznek másnap.”
„A támadók egyetlen megnyitható fájlt hagytak hátra: ebben közölték, hogy 25 ezer euróért adják át a titkosítás feloldásához szükséges kulcsot. Nem fizettük ki a váltságdíjat"- mondta Hoffmann Henrik, az Ózon Hotel igazgatója, aki az eset után etikus hackerekkel, informatikai és adatvédelmi szakemberekkel is konzultált, akik állították: a fizetés egyébként sem jelentett volna garanciát az adatok visszaszerzésére. A szakemberektől kapott becslések szerint három-négy fizető áldozatból nagyjából egy kapja valóban vissza az adatait, írja cikkében a turizmus.com.
Hoffmann hangsúlyozta, hogy nem egy elhanyagolt informatikai rendszert ért a támadás: három hónappal korábban mintegy 15 millió forintból újították fel a szerverparkot. Többszintű biztonsági mentés is működött, az egyik szerver percenként mentette az adatokat, egy másik félóránként tükrözte a mentett állományt. Az elkövetők azonban először éppen a mentési szervereket titkosították. Mire elérték az aktív szervert – aminek a megtámadását már azonnal észlelték –, a mögötte lévő friss mentések is hozzáférhetetlenné váltak.
Ez mutatta meg a rendszer egyik legfontosabb gyenge pontját: a hotelnek nem minden létfontosságú adatbázisáról volt olyan friss mentése, amely a megtámadott hálózattól fizikailag függetlenül, például felhőben vagy leválasztott adathordozón azonnal rendelkezésre állt volna.
Mivel nem fizettek a támadóknak, régebbi mentésekből kellett újraépíteniük a rendszert, ami hetekig tartott. A szálloda közben nem zárt be, a munkatársak kézi és rögtönzött megoldásokkal tartották fenn a működést. A szombaton távozó, mintegy 25-30 szoba vendégeinek esetében a hotel még azt sem tudta a rendszerből megállapítani, pontosan mennyivel tartoznak. Őket ezért fizetés nélkül engedték el azzal, hogy utólag kapják meg a számlát. Az éttermi és bárfogyasztásokat sem lehetett a szobaszámlákra terhelni, ezért közvetlen készpénzes vagy bankkártyás fizetésre álltak át. A NAV-os pénztárgépek nem tartoztak az érintett hálózathoz, így azok tovább működtek.
Vasárnap már papíron összesítették a távozó vendégek költségeit, és a Számlázz.hu rendszeréből állították ki a számlákat, hétfőre pedig a szállodai rendszer egy része is újra működött. A könyvelés kiesése a bérfizetést is érintette. Augusztus 10-én úgy kellett fizetést adniuk, hogy az aktuális bérszámfejtéshez nem fértek hozzá. Átmenetileg ezért minden munkavállaló az előző havi fizetésének megfelelő összeget kapta, majd az adatok helyreállítása után újraszámolták a béreket és rendezték a különbözeteket.
Az eset adatvédelmi incidensnek minősült, amit a szálloda bejelentett a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH), emellett rendőrségi feljelentést is tett. Az érintett vendégeket szintén értesíteni kellett – csakhogy kezdetben éppen azokhoz az adatbázisokhoz nem fértek hozzá, amelyekben az elérhetőségeik szerepeltek. A címlistát ezért külső szolgáltatóknál meglévő hírlevél-adatbázisokból és más hozzáférhető forrásokból kellett összeállítani. Hoffmann szerint végül mintegy 40 ezer vendéget értesítettek.
A behatolás pontos módját még vizsgálják. Közvetlenül a támadás után elsőként a szálloda működését kellett helyreállítani, és csak ezután kezdődhetett meg annak részletes feltárása, hogyan jutott be a kártevő. Több lehetőség felmerült, még az is, hogy valamely új eszköz eleve fertőzötten érkezett, ezt azonban kevésbé tartják valószínűnek. A szakemberek jelenlegi feltételezése szerint nagyobb eséllyel egy, a munkatársak által használt távoli asztali kapcsolaton keresztül, egy megnyitott fájllal kerülhetett a kártevő a rendszerbe. Hoffmann hangsúlyozta, hogy ez egyelőre feltételezés, a vizsgálat nem zárult le.
Az incidens után a Hotel Ózon átalakítja adatmentési gyakorlatát. A különböző adatbázisokat és virtuális szervereket jobban elkülönítik egymástól, emellett felhőalapú mentéseket és olyan fizikai biztonsági másolatokat is alkalmaznak majd, amelyeket a mentés után leválasztanak a hálózatról.
Hoffmann Henrik szerint az eset legfontosabb tanulsága nem az, hogy létezhet-e olyan informatikai rendszer, amelybe soha senki nem tud betörni. Sokkal inkább az, hogy egy támadás után milyen gyorsan lehet visszaállítani a működést. Ha rendelkezésre áll az előző napi, a hálózattól független mentés, legfeljebb egy napnyi adatot kell rekonstruálni. Az Ózon esetében most egy teljes hónapét kellett.A támadás így jelentős „tanulópénz” lett a szálloda számára: a helyreállítás és a túlmunka költségei mellett további informatikai fejlesztésekre is szükség lesz.
