Latvijski proboj hrani prijevare

Tko je u Latviji registrirao vozilo bilo kada od 2008., sada ima problem koji neće brzo nestati. Napadači su provalili u sustav latvijske Uprave za sigurnost cestovnog prometa, CSDD-a, i preuzeli podatke iz potvrda o plaćanju povezane s oko 1,2 milijuna ljudi te približno 150.000 do 200.000 poduzeća (LSM, BNN). U zemlji s manje od dva milijuna stanovnika, to praktično obuhvaća većinu odraslog stanovništva. Nisu ispražnjeni bankovni računi. Kriminalci su dobili nešto trajnije: građu za uvjerljive prijevare, i to iz evidencija koje sežu gotovo dva desetljeća unatrag.

Što prevarant sada zna

Ukradeni podaci izgledaju kao osobni dosje. Imena, osobni identifikacijski brojevi, registarske oznake vozila, iznosi plaćanja, datumi plaćanja i adresa evidentirana u trenutku korištenja usluge (tezinas.lv, inbox.lv). Telefonski brojevi, adrese e-pošte, bankovni podaci i pristupne lozinke nisu preuzeti (NRA). To zvuči umirujuće samo dok se ne zamisli poziv u kojem nepoznata osoba navodi točan osobni broj, registarsku oznaku automobila, iznos pristojbe plaćene prošle godine i adresu na kojoj je korisnik tada živio. Malo bi ljudi takav poziv odmah prekinulo.

Sam osobni broj ne otključava latvijske alate za digitalni identitet, poput Smart-ID-ja ili Mobile-ID-ja. No prevarant koji ga zna može pokrenuti pokušaj prijave, izazvati zahtjev za odobrenje na mobitelu žrtve, a zatim se telefonom predstaviti kao CSDD ili banka i pritiskati osobu da potvrdi prijavu (NRA). Lažne poruke e-pošte i SMS-ovi s oznakama CSDD-a počeli su stizati već nekoliko dana nakon objave provale (Delfi, tezinas.lv). Prostor za prijevare ostat će otvoren dugo: među zapisima su i ljudi koji su automobil registrirali 2008., a u međuvremenu su napustili Latviju (LSM).

Nedostajale su osnovne zaštite

Upad je počeo tijekom vikenda 7. i 8. kolovoza. Latvijsko nacionalno tijelo za odgovor na kibernetičke incidente, CERT.LV, obaviješteno je tek u ponedjeljak navečer, 10. kolovoza (NRA). CSDD je javnost 13. kolovoza izvijestio da je njegova mrežna stranica napadnuta. Puni razmjeri provale postali su javni tek 18. kolovoza (eng.lsm.lv, LSM).

Problem nije bio tehnološki egzotičan. Latvijski mediji objavili su da CSDD nije ispunjavao više zahtjeva za sustave najviše osjetljivosti, odnosno sustave koji sadrže dovoljno osobnih podataka da mogu pogoditi većinu stanovništva. Nedostajala je višefaktorska autentifikacija, pri kojoj za prijavu nije dovoljna samo lozinka nego i dodatna potvrda. Nisu provedena ni penetracijska testiranja, plaćeni pokušaji proboja sustava prije nego što to učine stvarni napadači (BauskasDzīve/LETA, Delfi).

CERT.LV je od siječnja do travnja nudio postavljanje senzora za nadzor mrežnog prometa, praktično alarma za sumnjivo ponašanje u sustavu. Taj se sustav počeo uvoditi tek nakon provale (LA.lv).

Političke posljedice stigle su brzo. Predsjednik Edgars Rinkēvičs ocijenio je da vodstvo CSDD-a ne može ostati na dužnosti i zatražio da slučaj ispitaju tužitelji. Uprava i nadzorni odbor CSDD-a podnijeli su ostavke (Delfi, Kauno diena). Zaseban informatički kvar već je ranije ovoga mjeseca doveo do zatvaranja latvijskog graničnog prijelaza Pāternieki prema Bjelorusiji, pa je otpornost državnih informacijskih sustava postala političko pitanje i prije nego što ga je provala u CSDD dodatno zaoštrila.

Obrazac, a ne iznimka

Latvija nije usamljena. Litva je ranije ove godine objavila da tužitelji sumnjaju kako je iz nacionalnog registra nekretnina i pravnih osoba nezakonito kopirano više od 600.000 zapisa, pri čemu su neovlaštene prijave prolazile kroz povezane sustave drugih institucija (LRT). Put napada bio je drukčiji, ali ishod poznat: ukradeni administrativni podaci, zakašnjela javna jasnoća i upozorenja da će se kriminalci predstavljati kao državna tijela (LRT).

Europska pravila već tretiraju prometne sustave i javne registre kao kritičnu infrastrukturu u okviru NIS2, ažurirane direktive Europske unije o kibernetičkoj sigurnosti. Taj propis traži brzo prijavljivanje incidenata i regulatorima daje ovlasti za provedbu nadzora (ENISA, The Record). No kada propusti nastanu u državnoj agenciji, a ne u privatnoj tvrtki, odgovornost se češće svodi na revizije i politički pritisak nego na novčane kazne.

Za provalu u CSDD, prema dostupnim podacima, nije bila potrebna posebno sofisticirana državna operacija. Bio je dovoljan sustav dostupan preko interneta u kojem nisu radile osnovne zaštite. Europska digitalna država počiva na povezanim registrima u kojima se desetljećima gomilaju administrativni podaci, dok vlade od građana traže sve više povjerenja u te sustave. To povjerenje sada manje ovisi o novim digitalnim uslugama, a više o dosadnim kontrolama: lozinkama, evidencijama pristupa, nadzoru mreže i alarmima koji moraju proraditi prije nego što ih netko stvarno iskuša.