Cyberatak a opóźnienia lotów. Linie z ulgą
Nowe zasady zmieniają odpowiedzialność linii lotniczych przy cyberatakach. Pasażerowie mogą stracić część świadczeń, ale pojawi się też więcej jasności.
Cyberatak może nie oznaczać hotelu ani posiłku
Jeśli lot zostanie odwołany lub opóźniony przez cyberatak, linie lotnicze w Stanach Zjednoczonych mogą nie być już zobowiązane do zapewnienia pasażerom bonów na jedzenie czy noclegu. To efekt nowej regulacji opublikowanej przez Departament Transportu, która zacznie obowiązywać w przyszłym miesiącu.
Zmiana wpisuje cyberataki do szerszej kategorii zdarzeń uznanych za „niekontrolowalne” przez przewoźnika. W praktyce oznacza to, że jeśli linia spełnia odpowiednie wymogi bezpieczeństwa, może ograniczyć swoją odpowiedzialność wobec klientów po zakłóceniach wywołanych takim incydentem.
Nowa kategoria w raportowaniu opóźnień
Regulacja nie dotyczy wyłącznie świadczeń dla pasażerów. Wprowadza też osobną kategorię w statystykach opóźnień, dzięki której urzędnicy mają lepiej odróżniać zdarzenia możliwe i niemożliwe do kontrolowania przez przewoźnika.
Wśród 10 nowych przypadków znalazły się m.in.:
- cyberataki,
- niespodziewane prace serwisowe,
- inne zdarzenia uznane za pozostające poza kontrolą linii.
Departament Transportu podkreśla, że chodzi o dokładniejsze dane i bardziej precyzyjne raportowanie zakłóceń.
Warunek: zgodność z przepisami bezpieczeństwa
Nowe zasady nie dają liniom lotniczym pełnej dowolności. Zwolnienie z części obowiązków ma działać tylko wtedy, gdy przewoźnik przestrzega obowiązujących regulacji cyberbezpieczeństwa.
Jeżeli nie będzie w stanie wykazać takiej zgodności, nadal mogą go obowiązywać standardowe wymogi wobec pasażerów.
Eksperci zwracają uwagę, że zapis o „właściwych regulacjach cyberbezpieczeństwa” jest szeroki i ma uwzględniać różne scenariusze ataku. To ważne, bo skutki incydentu mogą zależeć od tego, jakie systemy zostały naruszone i jak bardzo wpłynęło to na operacje lotnicze.
Pasażerowie zyskają czy stracą?
Reakcje branży i organizacji konsumenckich są mieszane.
Z jednej strony pojawia się argument, że regulacja może zwiększyć przejrzystość. Pasażerowie mają wiedzieć z wyprzedzeniem, jakie zasady obowiązują niezależnie od tego, z jaką linią lecą. Dzięki temu łatwiej będzie ocenić, czy opóźnienie rzeczywiście wynikało z czegoś poza kontrolą przewoźnika.
Z drugiej strony obawy budzi możliwość nadużyć. Szczególnie niejasna wydaje się jedna z kategorii, czyli niespodziewana konserwacja, która w praktyce mogłaby stać się wygodnym uzasadnieniem dla unikania odszkodowań lub świadczeń.
Cyberataki w lotnictwie to nie nowość
Lotnictwo już wcześniej mierzyło się z incydentami cybernetycznymi. W przeszłości ataki uderzały zarówno bezpośrednio w linie lotnicze, jak i w podmioty z nimi współpracujące. Głośne zakłócenia w Europie wywołał choćby atak na Collins Aerospace, a osobny problem stanowiły też awarie IT, które nie były cyberatakiem, ale i tak blokowały loty.
W 2023 roku administracja USA wprowadziła już regulacje cyberbezpieczeństwa dla portów lotniczych, właścicieli statków powietrznych i operatorów, wskazując na utrzymujące się zagrożenia w tym sektorze.
Równolegle zapadł wyrok w sprawie Conti
Na drugim planie tego samego tygodnia amerykański wymiar sprawiedliwości poinformował o wyroku wobec Oleksii Lytvynenko, obywatela Ukrainy i członka grupy ransomware Conti.
Mężczyzna został skazany na cztery lata więzienia. Przyznał się wcześniej do spisku w celu popełnienia oszustwa wire fraud. Według ustaleń dołączył do Conti we wrześniu 2021 roku, tworzył złośliwe oprogramowanie i przechowywał dane co najmniej 12 ofiar, w tym ośmiu z USA.
Prokuratura podała też, że wraz ze współpracownikami wyłudził około 634 tys. dolarów w Bitcoinach od dwóch ofiar w stanie Tennessee. Jedną z nich był nieujawniony podmiot rządowy, a skutki ataku objęły m.in. biuro szeryfa, lokalne pogotowie i policję.
W osobnym epizodzie grupa miała też ujawnić dane jednej z tennesseeńskich ofiar, gdy ta odmówiła zapłaty 3 mln dolarów okupu.
Conti i jego dziedzictwo
Conti był jedną z najbardziej aktywnych grup ransomware na świecie. Przed rozpadnięciem w 2022 roku zaatakował ponad 1000 organizacji globalnie, w tym podmioty infrastruktury krytycznej.
Po wycieku rozmów członków grupy w 2022 roku część jej struktur przetrwała i została podzielona na kolejne odłamy. Z czasem pojawiły się nazwy takie jak Zeon, Black Basta, Quantum, a później także Royal i BlackSuit.
Sprawa Lytvynenki pokazuje, że mimo rozpadu znanych marek ransomware odpowiedzialność karna za udział w takich operacjach nadal może dosięgnąć ich członków — również poza granicami kraju, w którym działali.
