Lett adatszivárgás táplálja a csalásokat

Aki 2008 óta bármikor autót íratott be Lettországban, most számolhat a következményekkel. Támadók betörtek az ország közúti közlekedési hatóságának, a CSDD-nek a rendszerébe, és nagyjából 1,2 millió ember, valamint mintegy 150 000-200 000 cég fizetési bizonylataihoz kapcsolódó adatokat vittek el (LSM, BNN). Egy kétmilliónál kisebb országban ez a felnőtt lakosság jelentős részét lefedi.

Bankszámlákat nem ürítettek ki. A bűnözők ennél tartósabb alapanyagot szereztek: olyan adatokat, amelyekből hihető csalásokat lehet építeni. Ráadásul ezek nem avulnak el gyorsan, mert az iratok csaknem két évtizedre nyúlnak vissza.

Mit tud most egy csaló?

A megszerzett adatok személyre szabott dossziéként működnek. Nevek, személyi azonosító kódok, rendszámok, fizetett összegek, fizetési dátumok és az a lakcím szerepel bennük, amelyet az ügyfél az adott szolgáltatás igénybevételekor megadott (tezinas.lv, inbox.lv). Telefonszámokhoz, e-mail-címekhez, banki adatokhoz és belépési jelszavakhoz a hatóság szerint nem jutottak hozzá (NRA).

Ez elsőre megnyugtatóan hangzik, amíg az ember el nem képzeli a hívást: a vonal túlsó végén valaki bemondja a helyes személyi kódot, az autó rendszámát, a tavaly befizetett pontos díjat és azt a címet, ahol az ügyfél akkor lakott. Ilyenkor sokan nem teszik le azonnal a telefont.

A személyi azonosító kód önmagában nem nyitja ki Lettország digitális azonosítási rendszereit, például a Smart-ID-t vagy a Mobile-ID-t. Egy csaló azonban a kód birtokában elindíthat egy belépési kísérletet, amely jóváhagyási értesítést küld az áldozat telefonjára. Ezután felhívhatja őt a CSDD vagy a bank nevében, és miközben az áldozat a képernyőn látja a jóváhagyási kérést, ráveheti, hogy rányomjon az „engedélyezésre” (NRA).

A bejelentés után néhány nappal már megjelentek a CSDD nevében küldött hamis e-mailek és SMS-ek (Delfi, tezinas.lv). A csalási kockázat nem zárul le gyorsan: az adatok között olyanok is szerepelnek, akik 2008-ban regisztráltak autót, és azóta akár el is költöztek az országból (LSM).

Alapvető védelmek hiányoztak

A behatolás augusztus 7-8-i hétvégén kezdődött. Lettország nemzeti kiberbiztonsági incidenskezelő szervezetét, a CERT.LV-t csak augusztus 10-én, hétfő este értesítették (NRA). A CSDD augusztus 13-án közölte a nyilvánossággal, hogy támadás érte a honlapját. A teljes nagyságrend csak augusztus 18-án vált ismertté (eng.lsm.lv, LSM).

A hiba nem valamilyen különösen kifinomult technikában rejlett. Lett beszámolók szerint a CSDD több előírást sem teljesített azok közül, amelyek a legérzékenyebb kategóriába sorolt rendszerekre vonatkoznak, vagyis olyan rendszerekre, amelyekben a lakosság nagy részét érintő személyes adatok vannak. Hiányzott például a többfaktoros azonosítás, amelynél a jelszó mellett egy második megerősítés is kell a belépéshez. Nem végeztek penetrációs teszteket sem, vagyis olyan fizetett, ellenőrzött betörési próbákat, amelyek még a valódi támadók előtt feltárhatják a gyenge pontokat (BauskasDzīve/LETA, Delfi).

A CERT.LV januártól áprilisig hálózatfigyelő szenzorok telepítését ajánlotta fel. Ezek lényegében riasztóként működnek: a gyanús adatforgalmat jelzik. A rendszert csak az adatlopás után kezdték bevezetni (LA.lv).

A politikai következmény gyorsan megérkezett. Edgars Rinkēvičs államfő szerint a CSDD vezetése nem maradhat hivatalban, és az ügy kivizsgálását az ügyészségtől kérte. A CSDD igazgatósága és felügyelőtanácsa is lemondott (Delfi, Kauno diena).

A lett állami informatikai rendszerek megbízhatósága már korábban is politikai kérdéssé vált: a hónap elején egy külön informatikai hiba miatt le kellett zárni a Belarusz felé vezető pāternieki határátkelőt. A CSDD adatlopása ezt a vitát élezte tovább.

Nem kivétel, hanem minta

Lettország nincs egyedül. Litvániában az év elején hozták nyilvánosságra, hogy az ügyészek szerint több mint 600 000 rekordot másoltak ki illegálisan az országos ingatlan- és cégnyilvántartásból. Az illetéktelen belépések más intézmények kapcsolódó rendszerein keresztül történtek (LRT).

A támadás útvonala más volt, az eredmény ismerős: ellopott közigazgatási adatok, késve tisztázott nyilvános tájékoztatás, majd figyelmeztetés arra, hogy a bűnözők állami szervek nevében próbálhatnak csalni (LRT).

Az EU szabályai a közlekedési rendszereket és a központi nyilvántartásokat már a NIS2, vagyis az unió frissített kiberbiztonsági irányelve alapján is kritikus infrastruktúraként kezelik. A jogszabály gyors incidensjelentést ír elő, és végrehajtási jogosítványokat ad a felügyeleteknek (ENISA, The Record). Ha azonban nem magáncég, hanem állami szerv hibázik, a felelősségre vonás jellemzően nem bírságokon, hanem vizsgálatokon és politikai nyomáson keresztül működik.

A CSDD feltöréséhez a beszámolók alapján nem kellett állami szintű, különösen fejlett művelet. Elég volt egy interneten elérhető rendszer, amelyből hiányoztak az alapvető védelmek. Európa digitális állama ma egymásra kötött nyilvántartásokon fut, bennük évtizedekre visszanyúló közigazgatási adatokkal, miközben a kormányok egyre több bizalmat kérnek az állampolgároktól ezekhez a rendszerekhez.

Ez a bizalom most kevésbé az új digitális szolgáltatásokon múlik, mint azon, hogy működnek-e a kevésbé látványos kontrollok: a jelszavak, a hozzáférési naplók, a többfaktoros belépések és a gyanús forgalmat jelző szenzorok. Mire valaki élesben teszteli őket, már késő.