Miután 2018-ban az időközi polgármester-választáson Márki-Zay Pétert választották meg Hódmezővásárhely élére, a háttérben sokáig nem nyugodtak a kedélyek. Ennek a része lehetett az a támadássorozat is, amely 2018-ban, majd 2019-ben érte az önkormányzat informatikai rendszerét. Az ismétlődő hackertámadások szálai a város saját cégéhez, a HVSZ Zrt-hez vezettek, amelyet 2019 október 23-ig, vagyis az előző önkormányzati választásokig még ifj. Rapcsák András vezetett. A támadásokért végül őt a bíróság 2023-ban jogerősen 250 ezer Ft pénzbüntetésre ítélte. Márki-Zay Péter szerint a volt cégvezető nem saját hobbiból tette, amit tett – valaki utasíthatta őt.
2020 – Vádemelés
Információs rendszer és adat megsértésének bűntette miatt vádat emelt a Szegedi Járási Ügyészség ifj. Rapcsák András, a Hódmezővásárhelyi Vagyonkezelő (HVSZ) Zrt. korábbi vezetője ellen – mutatta be 2020-ban Márki-Zay Péter élő videóban a Szegedi Járási Ügyészség értesítését.
Hogyan kezdődött? – 2018
Az új polgármester, Márki-Zay Péter hivatalba lépése után a hivatal több informatikusa felmondott, így a Városháza egy időre a HVSZ-szel kötött szerződést a hivatal informatikai rendszerének üzemeltetésére. Ezt a szerződést a HVSZ azonban még ugyanezen év októberében felmondta, arra hivatkozva, hogy a feladatokat az önkormányzat immár saját, akkorra betanult informatikusai el tudják látni, az ő szolgálataikra nincsen szükség.
Alig néhány nap telt el a szerződés felmondása után, még ugyanebben a hónapban, 2018 októberében a hivatal egyik számítógépe vírust kapott, ami elkezdett terjedni az azzal hálózatba kötött eszközökön. A lenti levél tanulsága szerint a HVSZ, bár már szerződésfelmondás után, de besegített a károk elhárításába.
Átvilágítás: feketén szerzett programmal készítettek biztonsági mentéseket
Az októberi vírustámadás már rámutatott a városháza informatikai rendszerének sérülékenységére. Az önkormányzat ezért – a HVSZ szerződésfelmondása után – egy külsős céggel szerződött, hogy átvilágítsa a hivatal informatikáját.
Az átvilágításkor először csak törvényi hiányosságokat találtak. 2019. januárjában már bevontak egy adatmentő szoftverekkel foglalkozó céget is, akivel megvizsgáltatták a kötelező biztonsági mentéseket. Ilyet minden polgármesteri hivatalnak rendszeresen kell készíteni tárolt adatairól. Ebből egy példányt a város, egyet pedig a Belügyminisztérium őriz arra az esetre, ha például természeti katasztrófa miatt odaveszne a teljes informatikai állomány.
Ne nyúljatok semmihez, minden be van állítva!
A polgármesteri hivatalból távozó informatikusok állítólag azzal adták át a terepet 2018-ban, hogy az újak ne nyúljanak semmihez, „minden be van állítva”.
Szerencsére ezt a tanácsot az újak nem fogadták meg, kiderült ugyanis, hogy
2019 – Ha nincsenek résen, az egész adatvagyon megsemmisül
Teljes üzemzavar lett úrrá a hódmezővásárhelyi önkormányzaton 2019. március 19-én, kedden, ami egészen vasárnapig eltartott. Az ok: zsarolóvírust kaptak. Lényegében leállt a munka a hivatalban, erről akkor a nyilvánosság is értesülhetett, ugyanis a város abban az évben késve adta le az éves beszámolóját a Magyar Államkincstárnak, ami miatt az állami előfinanszírozásukat is felfüggesztették egy időre.
Szerencsére a biztonsági mentés átvilágításkor feltárt hiányosságait már rendezték, ezért a márciusi zsarolóvírusos támadáskor már volt használható biztonsági mentése a hivatalnak. Az önkormányzat nem fizetett a bűnözőknek, törölte a teljes számítógépes állományát és a legfrissebb biztonsági mentés alapján állították vissza a rendszert.
2019. július – újabb hekkelési kísérlet a választás előtt
Július 2-án a HVSZ Zrt. egyik gépéről is hekkertámadás érte a hivatal rendszerét. Az önkormányzat az ügyben a Nemzeti Nyomozó Irodánál tett feljelentést. Márki-Zay Péter az immár sorozatos informatikai támadásokról nem sokkal később facebook-posztban nyilatkozott:
A támadás során – a Nemzeti Kibervédelmi Intézet (NKI) jelentése alapján – a telepíteni próbált szoftverek között volt többek között
- a Cain & Abel elnevezésű, hálózati lehallgatást és különféle jelszavak feltörését biztosító szoftver;
- a Cain RDP Parser, egy lehallgatott távoli asztali kapcsolaton átvitt karakterek olvasható összeállításához használt program;
- és a DUBrute 2.2, mely egy távoli asztali kapcsolatok feltörésére használt eszköz;
- és RouterScan, amelyet a gyanú szerint a támadó a hivatal infrastruktúrájának külső letapogatására használt.
Információk szerint
Mindent tagadtak
A támadás idején még Ifj. Rapcsák András volt a Hódmezővásárhelyi Vagyonkezelő Zrt. vezetője. Márki-Zay 2019 szeptemberi nyilatkozatában már előállt a váddal: a HVSZ egyik gépéről érte támadás a polgármesteri hivatalt.
A HVSZ Zrt. akkori vezetése tagadta a vádakat, és azt jelezte, áll minden vizsgálat elé. Ifj. Rapcsák akkor közösségi oldalán azt írta, közel húsz évig vett részt a polgármesteri hivatal rendszerének üzemeltetésében, ami alatt több támadást is elhárítottak:
„A vádirat alapján, a szerződés felmondása után, meglévő jelszóval történt belépés a hivatal rendszerébe a HVSZ Zrt. rendszeréből, amelyért mint a társaság vezetője a teljes felelősséget vállalom és állok a tárgyalás elé. Álláspontom szerint bár a belépés fizikailag elképzelhető volt, de szándékosság bizonyosan nem volt benne, amit az is alátámaszt, hogy a polgármesteri hivatalt sem adatvédelmi, sem gazdasági, sem informatikai kár nem érte, mely álláspontom a bíróság előtt is képviselni fogom.„
A végén még gyorsan kilopták az ügyfeleket a HVSZ-ből
Ifj. Rapcsák András 2019. október 23-ig volt a HVSZ igazgatóságának elnöke. A 2020 máricusi, már az új vezetés által elvégzett átvilágításából kiderül, hogy az igazgatóság leváltását megelőző napon 2019. október 22-én több üzemeltetési, támogatási szerződést felmondtak (kórház, református egyház intézményei, tankerület, HSZC). A HVSZ hírportálunknak 2020-ban így nyilatkozott: „Érdekes módon ezen iratok kivétel nélkül 2019. október 24-én kerültek a HVSZ Zrt. iktatásába. Ezzel szinte egy időben került be annak a 4 munkatársnak a felmondása is, akik azóta Rapcsák Andrással közösen az Infolan Kft. keretein belül végzik ugyanezeknek a szervezeteknek az informatikai üzemeltetését” – aminek kapcsán a cég új vezetése utalt arra, hogy mindez közbeszerzéshez kötött tevékenység. „A korábbi cégvezetés így egyszerűbben fogalmazva kilopta az ügyfeleket mintegy havi 2.5 millió forint értékben és a munkatársakat a HVSZ Zrt.-ből. Az Infolan Kft. 2019. október 30-án alakult, de igen gyorsan sikerült ellátni megfelelő állami feladatokkal.” – írta a HVSZ új vezetése.
2020 – Vádemelés
Információs rendszer és adat megsértésének bűntette miatt vádat emelt a Szegedi Járási Ügyészség ifj. Rapcsák András, a Hódmezővásárhelyi Vagyonkezelő (HVSZ) Zrt. korábbi vezetője ellen. A Szegedi Járásbíróság 2021-ben büntetővégzéssel megállapította Ifj. Rapcsák András, a HVSZ Zrt. korábbi vezetőjének bűnösségét a hackertámadásért, és első fokon 3 évre próbaidőre bocsátotta – ez az egyik legenyhébb büntetés a magyar jogban. Az eljárás azonban folytatódott, mert az ügyészség pénzbüntetésért fellebbezett.
2023. június – jogerős ítélet ifj. Rapcsák András ellen
Az első fokú ítéletet „súlyosbítva”, annak egyéb részeit meghagyva immár jogerősen 250 ezer forint pénzbüntetésre ítélte a Szegedi Törvényszék ifjabb Rapcsák Andrást, amiért behatolt a hódmezővásárhelyi önkormányzat informatikai rendszerébe – írta meg 2023-ban a hvg.hu.
Az ítélet szerint a vásárhelyi önkormányzat rendszerébe a 2018-as időközi polgármester-választás – Márki-Zay Péter első győzelme – és a 2019-es önkormányzati választás között hatoltak be.
Az önkormányzati tulajdonú HVSZ Zrt-nek a városházával való együttműködését szerződés rögzítette. Miután ezt felmondták, a vádlott az ügyészség szerint már jogtalanul lépett be az önkormányzat rendszerébe. A vádirat szerint nem lehetett „szándékolatlan” a behatolás, mert a rendszeren belül létrejött egy „virtuális gép”, amelyre többek közt hálózati lehallgatásra és jelszófeltörésre alkalmas szoftvereket telepítettek.
Ifjabb Rapcsák ügyvédje többek között azzal érvelt, hogy a hivatal jelszavait mások is ismerték – azok megváltoztatására többször fel is szólította a hivatalt a vádlott –, és a támadásra használt laptop az adott időszakban a rendszergazda irodájában volt.
A bíróság a bizonyítékok alapján elutasította azt a védekezést, hogy a programok simán a rendszer üzemeltetését szolgálták volna, illetve, hogy a behatolással csak a védelmet szerette volna tesztelni a vádlott, vagy hogy gondatlanságból, véletlenül hatolt volna be a hálózatra.
Az ugyanakkor nem derült ki, hogy milyen adatokhoz szerettek volna hozzáférni.
Nem hobbiból tette, utasíthatta valaki
Márki-Zay szerint ifj. Rapcsák nem a saját belátása szerint cselekedett. „Annyira nem tartom ostobának, hogy ezt hobbiból tette volna. Szerintem valaki utasította és a legnagyobb csalódás nekem, hogy a motivációja nem derült ki – nyilatkozta az Azonnali.hu-nak az elsőfokú ítélet után a hódmezővásárhelyi polgármester, majd elmondta, hogy ennek ellenére nem szeretné, ha ifj. Rapcsák börtönbe kerülne.
A portál kérdésére, hogy szerinte ki utasíthatta ifj. Rapcsákot, Márki-Zay nem akart senkit megnevezni, de úgy fogalmazott: