Latvijos duomenų nutekėjimas maitina sukčius

Latvijoje automobilį nuo 2008 m. registravę žmonės dabar turi praktinę riziką, kuri greitai neišnyks. Įsilaužus į šalies Kelių eismo saugumo direkcijos CSDD sistemas, užpuolikai gavo mokėjimo kvitų duomenis, susijusius su maždaug 1,2 mln. žmonių ir apie 150 000–200 000 įmonių (LSM, BNN). Šalyje, kurioje gyvena mažiau nei 2 mln. žmonių, tai apima didžiąją dalį suaugusiųjų. Banko sąskaitos dėl šio incidento neištuštėjo, bet nusikaltėliai gavo kitą vertingą medžiagą: duomenis, leidžiančius įtikinamai apsimesti institucija ar paslaugų teikėju. Kadangi įrašai siekia beveik du dešimtmečius, ši rizika nebus trumpalaikė.

Ką dabar žino sukčius

Nutekinti duomenys primena asmeninę bylą: vardai, pavardės, asmens kodai, transporto priemonių valstybiniai numeriai, mokėjimų sumos, datos ir tuo metu sistemoje buvęs gyvenamosios vietos adresas (tezinas.lv, inbox.lv). Telefonų numeriai, el. pašto adresai, banko duomenys ir prisijungimo slaptažodžiai, kaip skelbiama, nebuvo paimti (NRA). Tai skamba raminamai tik tol, kol neįsivaizduojamas konkretus skambutis: žmogus kitame laido gale pasako teisingą asmens kodą, automobilio numerį, pernai sumokėtą rinkliavą ir adresą, kuriuo gyvenote mokėjimo metu. Tokį pokalbį nutrauktų ne kiekvienas.

Pats asmens kodas neatveria Latvijoje naudojamų skaitmeninės tapatybės priemonių, tokių kaip „Smart-ID“ ar „Mobile-ID“. Tačiau jį žinantis sukčius gali pradėti prisijungimo bandymą, dėl kurio telefone pasirodo patvirtinimo užklausa, ir tuo pat metu paskambinti apsimesdamas CSDD ar banku. Žmogui žiūrint į užklausą, spaudimas paspausti „patvirtinti“ tampa gerokai įtikinamesnis (NRA). Per kelias dienas po incidento paviešinimo jau buvo siunčiami netikri CSDD vardu pasirašyti el. laiškai ir SMS žinutės (Delfi, tezinas.lv). Sukčiavimo langas neužsidarys greitai: tarp įrašų — ir 2008 m. automobilį registravę žmonės, kurie vėliau išvyko iš šalies (LSM).

Trūko bazinių apsaugos priemonių

Įsilaužimas prasidėjo rugpjūčio 7–8 d. savaitgalį. Latvijos nacionalinis reagavimo į kibernetinius incidentus centras CERT.LV apie jį informuotas tik pirmadienio, rugpjūčio 10 d., vakarą (NRA). Rugpjūčio 13 d. CSDD viešai pranešė, kad jos svetainė patyrė ataką. Visas mastas visuomenei paaiškėjo tik rugpjūčio 18 d. (eng.lsm.lv, LSM).

Pirminė problema neatrodo technologiškai išskirtinė. Latvijos žiniasklaidos duomenimis, CSDD neatitiko dalies reikalavimų, taikomų aukščiausio jautrumo sistemoms, kuriose laikomi tokie asmens duomenų kiekiai, galintys paveikti didelę visuomenės dalį. Nebuvo daugiaveiksnio tapatumo patvirtinimo, kai prisijungimui neužtenka vien slaptažodžio ir reikia papildomo patvirtinimo. Nebuvo atlikti ir įsilaužimo testai — kontroliuojami bandymai pralaužti sistemą anksčiau, nei tai padaro tikri užpuolikai (BauskasDzīve/LETA, Delfi).

CERT.LV nuo sausio iki balandžio siūlė įdiegti tinklo stebėsenos jutiklius — iš esmės pavojaus signalus, fiksuojančius įtartiną duomenų srautą. Sistema pradėta diegti tik po duomenų nutekėjimo (LA.lv).

Politinė reakcija buvo greita. Prezidentas Edgaras Rinkevičius pareiškė, kad CSDD vadovybė neturėtų likti pareigose, ir paprašė prokuratūros įvertinti atvejį. Atsistatydino ir CSDD valdyba, ir taryba (Delfi, Kauno diena). Valstybės IT sistemų atsparumas Latvijoje jau buvo tapęs politiniu klausimu: anksčiau šį mėnesį dėl atskiro IT sutrikimo teko uždaryti Paterniekų pasienio punktą su Baltarusija. CSDD incidentas šį klausimą tik paaštrino.

Tai ne išimtis, o modelis

Latvija šiuo požiūriu ne viena. Lietuvoje šiemet pranešta, kad, prokurorų vertinimu, iš nacionalinio nekilnojamojo turto ir juridinių asmenų registro neteisėtai nukopijuota daugiau kaip 600 000 įrašų, o neteisėti prisijungimai vyko per kitų institucijų prijungtas sistemas (LRT). Atakos kelias buvo kitoks, bet rezultatas pažįstamas: pavogti administraciniai duomenys, vėluojantis aiškumas visuomenei ir perspėjimai, kad nusikaltėliai gali apsimesti valstybės institucijomis (LRT).

ES taisyklės transporto sistemas ir viešuosius registrus jau priskiria kritinei infrastruktūrai pagal NIS2 — atnaujintą bloko kibernetinio saugumo direktyvą. Ji reikalauja greitai pranešti apie incidentus ir suteikia priežiūros institucijoms vykdymo užtikrinimo priemones (ENISA, The Record). Tačiau kai pažeidimą patyrusi organizacija — valstybės institucija, o ne privati bendrovė, atsakomybė dažniau juda per auditus, politinį spaudimą ir vadovybės kaitą, o ne per baudas.

CSDD incidentui, pagal dabar viešai žinomą informaciją, nereikėjo sudėtingos valstybės lygmens operacijos. Užteko prie interneto prijungtos sistemos, kurioje trūko bazinių kontrolės priemonių. Europos skaitmeninė valstybė remiasi tarpusavyje sujungtais registrais, kaupiančiais dešimtmečių administracinius duomenis, o valdžios institucijos prašo gyventojų patikėti jiems vis daugiau informacijos. Tas pasitikėjimas dabar priklauso ne nuo naujų skaitmeninių paslaugų blizgesio, o nuo nuobodžių, bet būtinų dalykų: slaptažodžių politikos, prieigos žurnalų, daugiaveiksnio tapatumo patvirtinimo ir tinklo stebėsenos, veikiančių dar prieš sistemą išbandant užpuolikams.