Letlands datalæk driver svindel

Enhver, der har registreret en bil i Letland siden 2008, har nu et konkret problem. Angribere brød ind hos landets vejtrafikmyndighed, CSDD, og fik adgang til betalingskvitteringer knyttet til omkring 1,2 millioner personer og cirka 150.000-200.000 virksomheder (LSM, BNN). I et land med færre end to millioner indbyggere rammer det størstedelen af den voksne befolkning. Ingen bankkonti blev tømt. Men svindlere fik noget, der i praksis kan være næsten lige så brugbart: oplysninger, som gør bedrageri troværdigt. Og de mister ikke hurtigt værdi, fordi registrene går næsten 20 år tilbage.

Hvad en svindler nu ved

De stjålne data ligner et personligt sagsnotat. Navne, nationale identitetskoder, nummerplader, betalingsbeløb, betalingsdatoer og den adresse, der stod i systemet, da borgeren brugte en CSDD-tjeneste (tezinas.lv, inbox.lv). Telefonnumre, mailadresser, bankoplysninger og loginoplysninger blev ifølge myndighederne ikke stjålet (NRA). Det lyder beroligende, indtil man forestiller sig opkaldet: En person nævner dit korrekte ID-nummer, din bils nummerplade, det præcise gebyr, du betalte sidste år, og den adresse, du boede på, da betalingen blev registreret. Mange ville lytte et øjeblik for længe.

Identitetskoden alene giver ikke adgang til Letlands digitale ID-løsninger som Smart-ID eller Mobile-ID. Men en svindler, der kender koden, kan forsøge at starte et login. Det udløser en godkendelse på telefonen. Derefter kan svindleren ringe og udgive sig for at være CSDD eller banken, mens offeret ser godkendelsen på skærmen, og presse personen til at trykke "godkend" (NRA). Få dage efter offentliggørelsen blev der allerede sendt falske mails og sms'er i CSDD's navn (Delfi, tezinas.lv). Risikoen forsvinder ikke med næste nyhedscyklus: Materialet omfatter også personer, der registrerede en bil i 2008 og siden har forladt landet (LSM).

Grundlæggende låse manglede

Indbruddet begyndte i weekenden 7.-8. august. Letlands nationale cyberberedskab, CERT.LV, blev først orienteret mandag aften 10. august (NRA). CSDD oplyste 13. august offentligheden om, at myndighedens hjemmeside var blevet angrebet. Først 18. august blev omfanget kendt (eng.lsm.lv, LSM).

Fejlen var ikke teknisk eksotisk. Lettiske medier har afdækket, at CSDD ikke levede op til flere krav for systemer i den højeste følsomhedsklasse, altså systemer med så mange personoplysninger, at et brud kan berøre størstedelen af befolkningen. Krav som flerfaktorgodkendelse, hvor et login kræver både adgangskode og en ekstra bekræftelse, manglede. Det samme gjorde penetrationstest, hvor betalte specialister forsøger at bryde ind, før rigtige angribere gør det (BauskasDzīve/LETA, Delfi).

CERT.LV havde fra januar til april tilbudt at installere netværkssensorer, i praksis røgalarmer for mistænkelig trafik. Systemet var først ved at blive sat op efter datalækket (LA.lv).

Det politiske efterspil kom hurtigt. Præsident Edgars Rinkēvičs sagde, at CSDD's ledelse ikke burde fortsætte, og bad anklagemyndigheden undersøge sagen. Både CSDD's direktion og råd trak sig (Delfi, Kauno diena). Tidligere på måneden havde et separat IT-nedbrud allerede tvunget Letland til at lukke Pāternieki-grænseovergangen til Belarus. Derfor var statens digitale robusthed allerede et politisk spørgsmål, før CSDD-sagen gjorde det mere akut.

Et mønster, ikke en undtagelse

Letland står ikke alene. Litauen oplyste tidligere i år, at anklagere mener, at mere end 600.000 registreringer ulovligt blev kopieret fra landets nationale ejendoms- og virksomhedsregister. De uautoriserede login skete gennem andre institutioners tilkoblede systemer (LRT). Angrebsvejen var en anden, men resultatet ligner: stjålne administrative data, forsinket offentlig klarhed og advarsler om svindlere, der udgiver sig for at være myndigheder (LRT).

EU-regler behandler allerede både transportsystemer og offentlige registre som kritisk infrastruktur under NIS2, unionens opdaterede cybersikkerhedsdirektiv. Loven kræver hurtig indberetning af hændelser og giver tilsynsmyndigheder håndhævelsesbeføjelser (ENISA, The Record). Men når den svigtende aktør er en statslig myndighed og ikke en privat virksomhed, kommer ansvaret oftere gennem revisioner og politisk pres end gennem bøder.

CSDD-lækket krævede efter de foreliggende oplysninger ikke en avanceret statsstyret operation. Det krævede et internetvendt system, hvor basale kontroller ikke var på plads. Europas digitale forvaltning bygger på sammenkoblede registre med årtiers administrative data, samtidig med at regeringer beder borgerne lægge stadig mere tillid i dem. Den tillid afhænger nu mindre af nye digitale tjenester med pæne brugerflader og mere af det kedelige arbejde: adgangskoder, flerfaktorgodkendelse, logning, test og sensorer, der faktisk virker, før nogen prøver dem af.