Latvian tietovuoto ruokkii huijauksia

Latviassa lähes jokaisella vuoden 2008 jälkeen auton rekisteröineellä on nyt syytä olla tavallista varovaisempi. Maan tieliikenneviranomaisen CSDD:n järjestelmiin murtauduttiin, ja hyökkääjät saivat haltuunsa maksukuittitietoja noin 1,2 miljoonasta ihmisestä ja arviolta 150 000–200 000 yrityksestä (LSM, BNN). Alle kahden miljoonan asukkaan maassa se kattaa suuren osan aikuisväestöstä.

Pankkitilejä ei tyhjennetty. Rikolliset saivat silti jotakin, mikä voi olla käytännössä yhtä vaarallista: uskottavan huijauksen rakennusaineet. Tiedot ulottuvat lähes kahden vuosikymmenen ajalle, joten ongelma ei poistu nopeasti.

Mitä huijari nyt tietää

Vuotanut aineisto muistuttaa henkilökohtaista asiakirjakansiota. Siinä on nimiä, henkilötunnuksia, ajoneuvojen rekisterinumeroita, maksumääriä, maksupäiviä ja osoitteita, jotka olivat viranomaisen tiedossa palvelua käytettäessä (tezinas.lv, inbox.lv). Puhelinnumeroita, sähköpostiosoitteita, pankkitietoja tai kirjautumistunnuksia ei saatu haltuun (NRA).

Rauhoittava tieto riittää vain paperilla. Puhelimessa tilanne näyttää toiselta, jos soittaja osaa kertoa oikean henkilötunnuksen, auton rekisterinumeron, viime vuonna maksetun maksun ja osoitteen, jossa maksuhetkellä asui. Moni ei katkaisisi puhelua heti.

Latvian henkilötunnus ei yksin avaa digitaalisia tunnistusvälineitä, kuten Smart-ID:tä tai Mobile-ID:tä. Se voi kuitenkin auttaa käynnistämään kirjautumisyrityksen, joka lähettää hyväksymispyynnön uhrin puhelimeen. Sen jälkeen huijari voi soittaa CSDD:n tai pankin nimissä ja painostaa hyväksymään pyynnön juuri, kun se näkyy ruudulla (NRA).

Väärennettyjä CSDD:n nimissä lähetettyjä sähköposteja ja tekstiviestejä alkoi liikkua jo muutamassa päivässä tietovuodon julkistamisen jälkeen (Delfi, tezinas.lv). Huijausriski jatkuu pitkään, koska aineistossa on myös ihmisiä, jotka rekisteröivät auton vuonna 2008 ja ovat sittemmin muuttaneet pois Latviasta (LSM).

Perussuojaukset puuttuivat

Murto alkoi viikonloppuna 7.–8. elokuuta. Latvian kansallinen kyberturvakeskus CERT.LV sai ilmoituksen vasta maanantai-iltana 10. elokuuta (NRA). CSDD kertoi yleisölle 13. elokuuta, että sen verkkosivustoon oli kohdistunut hyökkäys. Tietovuodon koko mittakaava tuli julkisuuteen vasta 18. elokuuta (eng.lsm.lv, LSM).

Kyse ei Latvian tiedotusvälineiden mukaan ollut poikkeuksellisen hienostuneesta hyökkäyksestä. CSDD ei ollut täyttänyt useita vaatimuksia, joita sovelletaan korkeimman herkkyystason järjestelmiin. Tällaisissa järjestelmissä on niin paljon henkilötietoja, että vuoto voi koskea suurta osaa väestöstä.

Puuttuvien toimien joukossa oli monivaiheinen tunnistautuminen, jossa pelkkä salasana ei riitä kirjautumiseen. Myös tunkeutumistestit, eli etukäteen tehdyt maksulliset murtoyritykset järjestelmän heikkouksien löytämiseksi, olivat jääneet tekemättä (BauskasDzīve/LETA, Delfi).

CERT.LV oli tarjonnut CSDD:lle tammikuusta huhtikuuhun verkkoliikennettä valvovia sensoreita, käytännössä hälyttimiä epäilyttävän liikenteen havaitsemiseksi. Järjestelmää alettiin ottaa käyttöön vasta tietomurron jälkeen (LA.lv).

Poliittinen seuraus tuli nopeasti. Presidentti Edgars Rinkēvičsin mukaan CSDD:n johto ei voinut jatkaa tehtävissään, ja hän pyysi syyttäjiä tutkimaan tapauksen. Sekä CSDD:n hallitus että neuvosto erosivat (Delfi, Kauno diena).

Latvian valtion IT-järjestelmien toimintavarmuus oli noussut poliittiseksi kysymykseksi jo ennen CSDD:n tapausta. Erillinen tietotekninen häiriö oli aiemmin tässä kuussa pakottanut sulkemaan Pāterniekin rajanylityspaikan Valko-Venäjän vastaisella rajalla.

Kyse on rakenteesta, ei poikkeuksesta

Latvia ei ole yksin. Liettua kertoi aiemmin tänä vuonna, että syyttäjien mukaan maan kiinteistö- ja yritysrekisteristä oli kopioitu laittomasti yli 600 000 tietuetta. Luvattomat kirjautumiset tapahtuivat muiden viranomaisten kytkettyjen järjestelmien kautta (LRT).

Hyökkäysreitti oli eri, mutta lopputulos tuttu: hallinnollista tietoa päätyi vääriin käsiin, yleisö sai kokonaiskuvan viiveellä ja viranomaiset varoittivat valtion nimissä tehdyistä huijauksista (LRT).

EU:n NIS2-direktiivi, eli unionin päivitetty kyberturvasääntely, luokittelee sekä liikennejärjestelmät että julkiset rekisterit kriittiseksi infrastruktuuriksi. Sääntely edellyttää nopeaa poikkeamailmoittamista ja antaa valvojille täytäntöönpanovaltaa (ENISA, The Record). Kun epäonnistuja on yksityisen yrityksen sijaan valtion viranomainen, vastuu kulkee kuitenkin useammin tarkastusten ja poliittisen paineen kuin sakkojen kautta.

CSDD:n tietomurto ei näyttänyt vaativan valtiollista huippuoperaatiota. Se vaati verkkoon näkyvän järjestelmän, josta puuttuivat perustason suojaukset. Euroopan digitaalinen hallinto nojaa toisiinsa kytkettyihin rekistereihin, joihin on kertynyt vuosikymmenten hallinnollinen historia. Samalla valtiot pyytävät kansalaisia luottamaan näihin rekistereihin yhä enemmän.

Luottamus ei riipu seuraavasta näyttävästä digipalvelusta. Se riippuu salasanoista, käyttöoikeuksista, lokitiedoista ja hälytysjärjestelmistä, joiden pitää toimia ennen kuin joku ulkopuolinen testaa niitä.