Läti andmeleke toidab pettusi

Igaühel, kes on Lätis alates 2008. aastast auto registreerinud, on nüüd praktiline risk. Ründajad pääsesid Läti maanteeameti CSDD süsteemidesse ja said kätte maksekviitungite andmed, mis on seotud umbes 1,2 miljoni inimesega ning ligikaudu 150 000–200 000 ettevõttega (LSM, BNN). Alla kahe miljoni elanikuga riigis tähendab see suurt osa täiskasvanud elanikkonnast. Pangakontosid ei tühjendatud. Kurjategijad said midagi muud: piisavalt täpse andmestiku usutavateks petukõnedeks ja -kirjadeks. Need andmed ei aegu kiiresti, sest kirjed ulatuvad ligi kahe aastakümne taha.

Mida pettur nüüd teab

Lekkinud andmed meenutavad isiklikku toimikut. Seal on nimed, isikukoodid, sõidukite registreerimismärgid, maksesummad, maksekuupäevad ja aadress, mis oli teenuse kasutamise ajal registris (tezinas.lv, inbox.lv). Telefoninumbreid, e-posti aadresse, pangaandmeid ega sisselogimisandmeid ründajad kätte ei saanud (NRA). See kõlab rahustavalt seni, kuni kujutleda kõnet, kus helistaja nimetab õige isikukoodi, auto numbri, mullu makstud täpse tasu ja toonase elukoha aadressi. Paljud ei katkesta sellist kõnet kohe.

Ainuüksi isikukoodiga ei saa Lätis Smart-ID või Mobile-ID kaudu inimese digitaalse identiteedi vahenditesse sisse. Küll saab pettur isikukoodi teades algatada sisselogimiskatse, mis saadab ohvri telefoni kinnitusteate. Seejärel saab ta helistada CSDD või panga nimel ja survestada inimest kinnitust vajutama (NRA). Võltsitud CSDD e-kirjad ja SMS-id liikusid juba mõni päev pärast lekke avalikustamist (Delfi, tezinas.lv). Pettuserisk ei kao kiiresti: andmestikus on ka inimesi, kes registreerisid auto 2008. aastal ja on hiljem riigist lahkunud (LSM).

Põhilukud olid puudu

Sissetung algas 7.–8. augusti nädalavahetusel. Läti riiklik küberintsidentidele reageerimise asutus CERT.LV sai teate alles esmaspäeva, 10. augusti õhtul (NRA). CSDD ütles avalikkusele 13. augustil, et asutuse veebilehte on rünnatud. Täielik ulatus jõudis avalikkuseni alles 18. augustil (eng.lsm.lv, LSM).

Probleem ei olnud tehniliselt haruldane. Läti meedia andmetel ei täitnud CSDD mitut nõuet, mis kehtivad kõrgeima tundlikkustasemega süsteemidele ehk süsteemidele, kus hoitakse sedavõrd palju isikuandmeid, et leke puudutab enamikku elanikkonnast. Puudus mitmeteguriline autentimine, kus parooli kõrval on vaja teist kinnitust. Puudusid ka läbistustestid ehk tellitud katsed süsteemi enne pärisründajaid sisse murda (BauskasDzīve/LETA, Delfi).

CERT.LV pakkus jaanuarist aprillini CSDD-le võrguseire andureid, mis toimivad kahtlase liikluse varajase häiresüsteemina. Neid hakati paigaldama alles pärast andmeleket (LA.lv).

Poliitiline reaktsioon tuli kiiresti. President Edgars Rinkēvičs ütles, et CSDD juhtkond ei saa ametis jätkata, ja palus prokuratuuril juhtumit uurida. CSDD juhatus ja nõukogu astusid tagasi (Delfi, Kauno diena). Läti riigi IT vastupidavus oli poliitiline küsimus juba enne CSDD leket: eraldi IT-rike sundis sel kuul sulgema Pāternieki piiripunkti Valgevene piiril.

Muster, mitte erand

Läti ei ole erand. Leedu teatas tänavu, et prokuratuuri hinnangul kopeeriti ebaseaduslikult üle 600 000 kirje riiklikust kinnisvara- ja juriidiliste isikute registrist. Volitamata sisselogimised toimusid teiste asutuste ühendatud süsteemide kaudu (LRT). Rünnakutee oli teine, tulemus tuttav: varastatud haldusandmed, hilinenud avalik selgus ja hoiatused, et kurjategijad hakkavad riigiasutusi matkima (LRT).

EL-i reeglid käsitlevad nii transpordisüsteeme kui ka avalikke registreid kriitilise taristuna NIS2 direktiivi alusel. See on EL-i uuendatud küberturvalisuse raamistik, mis nõuab kiiret intsidentidest teatamist ja annab järelevalveasutustele jõustamisvolitused (ENISA, The Record). Kui läbikukkuja on eraettevõtte asemel riigiasutus, liigub vastutus enamasti auditite ja poliitilise surve, mitte trahvide kaudu.

CSDD andmeleke ei eeldanud keerukat riikliku taseme operatsiooni. Piisas internetist ligipääsetavast süsteemist, kus põhilised kontrollid ei töötanud. Euroopa digiriik tugineb omavahel ühendatud registritele, kuhu on kogunenud aastakümnete haldusandmed. Valitsused paluvad kodanikel neid registreid üha rohkem usaldada. See usaldus sõltub nüüd vähem uutest nähtavatest digiteenustest ja rohkem igavatest kontrollidest: paroolidest, ligipääsulogidest, võrguseirest ja kinnitustest, mis peavad töötama enne, kui keegi neid ründega proovib.