Lotyšský únik živí podvody

Každý, kdo si v Lotyšsku od roku 2008 registroval auto nebo využil službu dopravního úřadu CSDD, má teď důvod k opatrnosti. Útočníci se dostali do systému lotyšské správy silniční dopravy a odnesli si údaje z platebních dokladů navázané zhruba na 1,2 milionu lidí a asi 150 000 až 200 000 firem (LSM, BNN). V zemi s méně než dvěma miliony obyvatel to znamená podstatnou část dospělé populace.

Bankovní účty lidem nezmizely. Útočníci ale získali něco, co může být pro podvodníky cennější: věrohodný materiál pro přesvědčivé telefonáty, e-maily a SMS. A protože databáze sahá téměř dvě desetiletí zpět, riziko se nevyčerpá během několika týdnů.

Co teď podvodník ví

Ukradená data připomínají osobní složku. Obsahují jména, lotyšská osobní identifikační čísla, registrační značky vozidel, výši plateb, data plateb a adresu, kterou měl úřad v evidenci v době využití služby (tezinas.lv, inbox.lv). Telefonní čísla, e-mailové adresy, bankovní údaje ani přihlašovací údaje podle dostupných informací neunikly (NRA).

To zní uklidňujícím dojmem jen do chvíle, než si člověk představí konkrétní scénář. Volající zná vaše správné osobní číslo, registrační značku auta, přesnou částku poplatku zaplaceného loni a adresu, na které jste tehdy bydleli. Takový hovor by mnoho lidí neukončilo hned.

Samotné osobní číslo nestačí k prolomení lotyšských nástrojů digitální identity, jako jsou Smart-ID nebo Mobile-ID. Podvodník, který toto číslo zná, ale může spustit pokus o přihlášení, čímž oběti přijde žádost o potvrzení do telefonu. Ve chvíli, kdy ji člověk vidí na displeji, může útočník zavolat jménem CSDD nebo banky a tlačit ho k potvrzení (NRA).

Falešné e-maily a SMS vydávající se za CSDD se podle lotyšských médií objevily už několik dní po zveřejnění incidentu (Delfi, tezinas.lv). Okno pro podvody přitom zůstane otevřené dlouho. V datech jsou i lidé, kteří si auto registrovali v roce 2008 a od té doby mohli Lotyšsko opustit (LSM).

Chyběly základní zámky

K průniku došlo o víkendu 7. a 8. srpna. Lotyšský národní tým pro kybernetické incidenty CERT.LV dostal oznámení až v pondělí večer 10. srpna (NRA). Veřejnosti CSDD 13. srpna sdělil, že jeho web čelil útoku. Plný rozsah se do veřejného prostoru dostal až 18. srpna (eng.lsm.lv, LSM).

Podle lotyšských zjištění nešlo o mimořádně exotickou techniku. CSDD nesplňoval několik požadavků pro systémy zařazené do nejvyšší úrovně citlivosti, tedy pro systémy, které drží dost osobních dat na to, aby se chyba dotkla většiny populace. Chybělo například vícefaktorové ověření, při němž k heslu přibývá ještě druhé potvrzení přihlášení. Neprobíhaly ani penetrační testy, tedy placené pokusy najít slabiny dříve než skuteční útočníci (BauskasDzīve/LETA, Delfi).

Od ledna do dubna CERT.LV nabízel instalaci síťových monitorovacích senzorů, tedy prakticky poplašných čidel pro podezřelý provoz. Zavádět se začaly až po úniku dat (LA.lv).

Politická reakce přišla rychle. Prezident Edgars Rinkēvičs prohlásil, že vedení CSDD by nemělo zůstat ve funkcích, a vyzval prokuraturu k prošetření případu. Rezignovalo představenstvo i rada CSDD (Delfi, Kauno diena). Užčátkem měsíce navíc jiný IT výpadek donutil Lotyšsko uzavřít hraniční přechod Pāternieki s Běloruskem. Odolnost státních informačních systémů tak byla politickým tématem už předtím, než ji případ CSDD posunul o kus výš.

Vzorec, ne výjimka

Lotyšsko v tom není samo. Litva letos oznámila, že podle prokurátorů bylo z jejího národního registru nemovitostí a právnických osob nelegálně zkopírováno více než 600 000 záznamů. Neoprávněná přihlášení podle vyšetřovatelů probíhala přes napojené systémy jiných institucí (LRT).

Cesta útoku byla jiná, výsledek podobný: odcizená administrativní data, opožděné veřejné vyjasnění rozsahu a varování, že se podvodníci budou vydávat za státní instituce (LRT).

Unijní pravidla už dopravní systémy i veřejné registry řadí mezi kritickou infrastrukturu. Směrnice NIS2, aktualizovaný rámec EU pro kybernetickou bezpečnost, vyžaduje rychlé hlášení incidentů a dává regulátorům vymáhací pravomoci (ENISA, The Record). Když ale selže státní úřad, odpovědnost se obvykle neřeší pokutou jako u soukromé firmy, nýbrž audity, kontrolami a politickým tlakem.

Únik z CSDD podle dostupných informací nevyžadoval sofistikovanou státní operaci. Stačil systém přístupný z internetu, v němž chyběly základní pojistky. Digitální stát v Evropě stojí na propojených registrech, které uchovávají desítky let administrativních údajů, a vlády od občanů dál chtějí, aby jim svěřovali další data. Důvěra proto nebude záviset hlavně na nových službách s moderním rozhraním, ale na obyčejných kontrolách: heslech, přístupových logách, vícefaktorovém ověření a síťových senzorech, které mají fungovat dřív, než je někdo vyzkouší v praxi.