Пробив в Латвия захрани измами

Всеки, който е регистрирал автомобил в Латвия след 2008 г., вече има конкретен риск. Нападатели са проникнали в латвийската дирекция за пътна безопасност CSDD и са изнесли записи от платежни разписки, свързани с около 1,2 млн. души и приблизително 150 000–200 000 компании (LSM, BNN). В държава с под два милиона жители това обхваща голяма част от пълнолетното население. Банкови сметки не са били източени. Престъпниците обаче са получили нещо по-трайно: суров материал за убедителни измами, който няма да остарее бързо, защото записите обхващат почти две десетилетия.

Какво вече знае един измамник

Откраднатите данни приличат на персонално досие. В тях има имена, национални идентификационни кодове, регистрационни номера на автомобили, платени суми, дати на плащанията и адреса, посочен при използването на съответната услуга (tezinas.lv, inbox.lv). Телефонни номера, имейл адреси, банкови данни и пароли не са били откраднати (NRA). Това звучи успокояващо само докато човек не си представи обаждането: глас отсреща цитира правилния ви идентификационен код, номера на автомобила, точната такса, платена миналата година, и адреса, на който сте живели тогава. Малцина биха затворили веднага.

Самият идентификационен код не отключва латвийските инструменти за електронна идентичност като Smart-ID или Mobile-ID. Но измамник, който знае кода, може да започне опит за вход, така че на телефона на жертвата да се появи искане за потвърждение. След това може да се обади, представяйки се за CSDD или за банка, докато човекът гледа това съобщение, и да го притисне да натисне „одобрявам“ (NRA). Още в дните след разкриването на пробива измамници вече са изпращали фалшиви имейли и есемеси от името на CSDD (Delfi, tezinas.lv). Прозорецът за измами няма да се затвори скоро: записите включват и хора, които са регистрирали автомобил през 2008 г. и оттогава са напуснали страната (LSM).

Липсвали са базови защити

Проникването е започнало през уикенда на 7–8 август. Националният орган за киберреакция на Латвия CERT.LV е бил уведомен едва в понеделник вечерта, 10 август (NRA). CSDD съобщи публично на 13 август, че сайтът ѝ е бил атакуван. Пълният мащаб стана ясен за обществото едва на 18 август (eng.lsm.lv, LSM).

Проблемът не е бил сложна или рядка уязвимост. Според латвийски медии CSDD не е изпълнявала няколко изисквания за системи, класифицирани с най-висока степен на чувствителност, тоест системи, които държат достатъчно лични данни, за да засегнат голяма част от населението. Липсвала е многофакторна автентикация, при която за вход не стига само парола, а е нужно и второ потвърждение. Не са правени и тестове за проникване — платени проверки, при които специалисти се опитват да пробият системата преди истинските нападатели (BauskasDzīve/LETA, Delfi).

CERT.LV е предлагал от януари до април да инсталира сензори за наблюдение на мрежата — на практика аларми за подозрителен трафик. Системата започнала да се въвежда едва след пробива (LA.lv).

Политическата реакция беше бърза. Президентът Едгарс Ринкевичс заяви, че ръководството на CSDD не трябва да остава на постовете си, и поиска прокуратурата да провери случая. Управителният съвет и надзорният съвет на CSDD подадоха оставки (Delfi, Kauno diena). Отделен срив в информационна система вече беше принудил Латвия по-рано този месец да затвори граничния пункт Патерниеки с Беларус. Така устойчивостта на държавните информационни системи вече беше политически въпрос още преди пробивът в CSDD да го изостри.

Модел, а не изключение

Латвия не е сама. По-рано тази година Литва съобщи, че според прокуратурата над 600 000 записа са били незаконно копирани от националния регистър на имотите и юридическите лица. Неоторизираните влизания са ставали през свързани системи на други институции (LRT). Пътят на атаката е бил различен, но резултатът е познат: откраднати административни данни, забавена публична яснота и предупреждения, че престъпници ще се представят за държавни органи (LRT).

Правилата на ЕС вече третират и транспортните системи, и публичните регистри като критична инфраструктура по NIS2 — актуализираната директива на блока за киберсигурност. Тя изисква бързо докладване на инциденти и дава на регулаторите правомощия за контрол и санкции (ENISA, The Record). Когато обаче провалът е в държавна агенция, а не в частна компания, отчетността по-често минава през одити и политически натиск, отколкото през глоби.

Пробивът в CSDD не е изисквал операция на държавно ниво. Достатъчна е била публично достъпна през интернет система, в която липсват основни защити. Европейското електронно управление работи върху свързани регистри с десетилетия административни данни, а правителствата искат от гражданите да им поверяват още повече информация. Това доверие вече зависи по-малко от нови лъскави електронни услуги и повече от скучните контроли: пароли, права за достъп, логове и сензори за подозрителен трафик, които трябва да работят преди някой друг да ги тества.