Amikor a kibervédelem világában az új típusú, mesterséges intelligenciával támogatott fenyegetésekről beszélünk, hajlamosak vagyunk megfeledkezni a digitális infrastruktúrák mélyén csendben meghúzódó, évtizedes kártevőkről. A 2026 augusztusának végén végrehajtott nemzetközi bűnüldözési akció, amely a hírhedt Sality botnet infrastruktúráját bénította meg, pontosan erre a veszélyre irányította rá a figyelmet. A magyar, amerikai, bolgár és román hatóságok, valamint olyan iparági szereplők, mint a CrowdStrike és a Shadowserver Foundation közös fellépése egy huszonhárom éve aktív hálózatot kapcsolt le. Ez a technológiai bravúr azonban a hazai kis- és középvállalkozások, valamint az informatikai vezetők számára nem pusztán egy izgalmas bűnügyi hír, hanem súlyos figyelmeztetés is. Rávilágít ugyanis arra a tényre, hogy a céges hálózatokban lévő eszközök jelentős része akár éveken át észrevétlenül fertőzött maradhat, ha hiányzik a valós idejű rálátás az infrastruktúrára.
A Sality rendkívüli túlélőképessége a felépítésében és a terjedési mechanizmusában gyökerezett. A kártevő még 2003-ban jelent meg, és ahelyett, hogy egyetlen, könnyen lekapcsolható központi parancskiszolgálóra támaszkodott volna, decentralizált, egyenrangú csomópontokból álló hálózatot hozott létre. Ez a peer-to-peer architektúra azt jelentette, hogy a fertőzött gépek közvetlenül egymással kommunikáltak, folyamatosan frissítve az utasításokat és a lopási célpontokat. A kártevő polimorf fájlfertőzőként működött, ami azt jelentette, hogy a helyi hálózaton elérhető megosztásokon és a cégben kézről kézre járó pendrive-okon található futtatható állományokhoz kapcsolta magát. Ennek köszönhetően a Sality képes volt folyamatosan újratermelni önmagát anélkül, hogy a támadóknak újabb és újabb adathalász leveleket vagy sérülékenység-kihasználó készleteket kellett volna bevetniük. Az elmúlt nyolc évben a hálózat elsősorban az EggJagger nevű eszközt terjesztette, amely a vágólap tartalmát manipulálva a másolt kriptovaluta-tárcacímeket a támadók saját címeire cserélte, és ezzel bizonyítottan legalább százötvenezer dollárnyi digitális vagyont tulajdonított el.
A nemzetközi hatóságok végül a Sality saját belső protokolljának gyenge pontját kihasználva számolták fel a hálózatot 2026. augusztus 31-én. A rendszer tagjai ugyanis feltétel nélkül, valódi hitelesítés nélkül megbíztak a hálózat többi csomópontjában, így a kutatók képesek voltak speciális csapdaszervereket, úgynevezett sinkhole-okat beilleszteni a kommunikációs láncba, amelyek elvágták a fertőzött gépeket a bűnözők irányításától. A beavatkozás több mint tizenötezer, de egyes becslések szerint harmincháromezernél is több érintett eszközt némított el globálisan. A történet legfontosabb üzleti tanulsága azonban az akció korlátaiban rejlik. A művelet megszakította a kapcsolatot a botok és az operátorok között, de magát a rosszindulatú kódot nem távolította el a fertőzött számítógépekről. A helyi gépeken a kártevő mindaddig aktív és kártékony marad, amíg az érintett vállalatok saját maguk el nem végzik a manuális vagy automatizált tisztítást, ami sok esetben évekig elmarad.
Ez a helyzet pontosan megmutatja, miért válnak a vállalati eszközök a kiberbűnözők tartós menedékévé. A probléma gyökere a hiányos vagy teljesen elavult eszközleltár, amely miatt az informatikai csapatok egyszerűen nincsenek tisztában azzal, hogy pontosan milyen hardverek és szoftverek futnak a belső hálózaton. Egy elfeledett, raktárban működő címkenyomtató vezérlőgép, egy korábbi kolléga fiókban hagyott tesztlaptopja vagy egy gyártósori terminál könnyen a fertőzés kiindulópontjává válhat. Ha egy ilyen eszköz nem kapja meg a szükséges biztonsági frissítéseket, és nincs rajta korszerű védelmi szoftver, a polimorf kártevők folyamatosan képesek visszafertőzni a már kitisztított korszerű gépeket is. A vállalati környezetben a vakfoltok jelentik a legnagyobb fenyegetést, hiszen amit nem látunk, azt megvédeni sem tudjuk.
A hatékony védekezés megteremtése egy jól strukturált folyamatot igényel, amelynek első lépése a teljes körű és dinamikus eszközleltár felállítása. Nem elegendő egy félévente frissített táblázatot vezetni a beszerzett számítógépekről, hanem olyan hálózati felderítő eszközöket kell alkalmazni, amelyek automatikusan azonosítanak minden új csatlakozó eszközt a szerverektől az okostelefonokon át egészen az okos nyomtatókig. Amint az eszközpark láthatóvá válik, azonnal be kell vezetni a kockázatalapú javításkezelést. Ez a gyakorlatban azt jelenti, hogy az informatikai döntéshozók nem várnak hetekig a gyártói javítócsomagok tesztelésével, hanem a kritikus, internet felől közvetlenül elérhető sebezhetőségeket a megjelenésük utáni órákban vagy napokban automatizáltan telepítik az összes érintett végpontra.
A folyamat következő elengedhetetlen eleme a hagyományos, kizárólag ismert vírusmintákra támaszkodó vírusirtók leváltása korszerű végpontvédelmi és incidensfelderítési, azaz EDR rendszerekre. Mivel az olyan kártevők, mint a Sality, képesek a saját kódjukat folyamatosan módosítani a felismerés elkerülése érdekében, a statikus szignatúrák ma már hatástalanok. Az EDR megoldások ezzel szemben a folyamatok viselkedését, a memóriában zajló gyanús műveleteket és a szokatlan hálózati kommunikációt figyelik valós időben, így azonnal képesek elszigetelni a fertőzött gépet, mielőtt az a belső megosztásokon keresztül szétterjedne. Mindezzel párhuzamosan elengedhetetlen a támogatás nélküli, elavult rendszerek kezelése is. A régi Windows vagy Linux verziókat futtató eszközöket tervszerűen ki kell vonni a forgalomból, vagy ha ez üzletileg pillanatnyilag kivitelezhetetlen, szigorúan szegmentált, a vállalati hálózat többi részétől és az internettől teljesen elzárt virtuális hálózatba kell őket terelni.
A technológiai lépések mellett ma már a jogi és szabályozási környezet is megköveteli ezt a fajta fegyelmet a hazai vállalkozásoktól. A 2025. évi LXXV. törvény keretében Magyarországon is életbe lépett NIS2 irányelv szigorú információbiztonsági kötelezettségeket ró a stratégiai és kiemelten kockázatos ágazatokban működő cégekre. A szabályozás egyik legfontosabb újdonsága, hogy a kiberbiztonsági mulasztásokért a cégvezetés immár személyes, akár saját vagyonra kiterjedő felelősséggel tartozik, amennyiben nem teszi meg a minimálisan elvárható védelmi intézkedéseket.
A kiberbiztonság így a technikai kérdéskörből mára board-szintű üzletmenet-folytonossági és kockázatkezelési prioritássá vált. A 2025-2026-os trendek világosan mutatják, hogy a mesterséges intelligenciával vezérelt támadások, a mélyhamisításokon alapuló átverések és a szofisztikált ellátási lánc elleni akciók korában a régi botnetek struktúrái új életre kelhetnek. A statisztikák szerint ráadásul az incidensek több mint nyolcvan százaléka emberi hibából indul ki, ami azt jelenti, hogy a Zero Trust, azaz a zéró bizalom elvét a belső folyamatokban és a munkavállalói jogosultságok kezelésében is következetesen érvényesíteni kell.
Gyakori hiba a hazai kis- és középvállalkozások körében, hogy a kiberbiztonságot egyszeri projektnek tekintik, amelyet egyetlen szoftverlicenc megvásárlásával letudottnak hisznek. Szintén tipikus buktató az adminisztrátori jogosultságok ellenőrizetlen kiosztása, a hálózati megosztások korlátozás nélküli írhatósága, valamint az automatikus mentések tesztelésének elhanyagolása. Ha egy vállalat nem rendelkezik dedikált információbiztonsági vezetővel vagy kellően képzett belső csapattal, érdemes külső, akkreditált szakértő partnert bevonni legalább a felmérési és auditálási szakaszban. Egy független biztonsági átvilágítás és a rendszeres behatolásvizsgálat gyorsan feltárja azokat a rejtett zugokat, ahol a Sality-hez hasonló kártevők évekig háborítatlanul képesek lennének meghúzódni.
A biztonságos működés megteremtése nem jelent lehetetlen pénzügyi vagy szervezési terhet, de megköveteli a tudatos és folyamatos odafigyelést a vezetők részéről. A húszéves botnetek leállítása emlékeztet minket arra, hogy az internet nem felejt, és a nem megfelelően karbantartott eszközök végtelen ideig hordozhatják a fertőzést. Ha a vállalkozás pontosan ismeri az eszközeit, fegyelmezetten frissíti a rendszereit, modern viselkedéselemző védelmet használ és rendszeresen oktatja munkatársait, olyan ellenálló védelmi vonalat hozhat létre, amely a régi és az új generációs kiberfenyegetésekkel szemben egyaránt stabil védelmet biztosít.
