CSDD datu noplūde baro krāpniekus

Ikvienam, kurš Latvijā kopš 2008. gada reģistrējis automašīnu vai maksājis par CSDD pakalpojumiem, tagad jārēķinās ar paaugstinātu krāpšanas risku. Uzbrucēji iekļuva Ceļu satiksmes drošības direkcijas sistēmās un ieguva maksājumu kvīšu datus par aptuveni 1,2 miljoniem cilvēku un 150 000–200 000 uzņēmumu (LSM, BNN). Valstī, kurā dzīvo mazāk nekā divi miljoni iedzīvotāju, tas aptver lielāko daļu pieaugušo. Banku konti ar šo uzbrukumu nav iztukšoti. Taču nozagts ir kas cits: pietiekami precīzi dati, lai krāpšana izklausītos ticama. Turklāt šie dati ātri nenoveco, jo ieraksti sniedzas gandrīz divdesmit gadu pagātnē.

Ko tagad zina krāpnieks

Noplūdušie dati izskatās pēc personalizētas lietas mapes: vārds, uzvārds, personas kods, transportlīdzekļa reģistrācijas numurs, maksājuma summa, maksājuma datums un adrese, kas bija norādīta pakalpojuma izmantošanas brīdī (tezinas.lv, inbox.lv). Telefona numuri, e-pasta adreses, banku dati un piekļuves paroles neesot iegūtas (NRA). Tas skan mierinoši tikai līdz brīdim, kad jāiztēlojas zvans: cilvēks nosauc pareizu personas kodu, automašīnas numuru, precīzu pērn samaksāto summu un adresi, kur dzīvojāt maksājuma brīdī. Daudzi šādu sarunu nepārtrauktu uzreiz.

Personas kods viens pats neļauj piekļūt Latvijas digitālās identitātes rīkiem, piemēram, Smart-ID vai Mobile-ID. Taču krāpnieks, zinot personas kodu, var sākt pieslēgšanās mēģinājumu un izraisīt apstiprinājuma pieprasījumu telefonā. Pēc tam viņš var zvanīt, uzdodoties par CSDD vai banku, un spiest cilvēku apstiprināt darbību brīdī, kad ekrānā jau redzams pieprasījums (NRA). Dažu dienu laikā pēc informācijas publiskošanas krāpnieki jau sūtīja viltus e-pastus un īsziņas CSDD vārdā (Delfi, tezinas.lv). Krāpšanas risks nepazudīs ātri: datu kopā ir arī cilvēki, kuri auto reģistrējuši 2008. gadā un kopš tā laika, iespējams, aizbraukuši no Latvijas (LSM).

Pietrūka pamatkontroļu

Ielaušanās sākās 7.–8. augusta nedēļas nogalē. Latvijas nacionālā kiberdrošības incidentu novēršanas institūcija CERT.LV par to tika informēta tikai pirmdienas vakarā, 10. augustā (NRA). CSDD 13. augustā publiski paziņoja, ka tās tīmekļvietnei noticis kiberuzbrukums. Pilns mērogs sabiedrībai kļuva zināms tikai 18. augustā (eng.lsm.lv, LSM).

Pēc publiski ziņotā, problēma nebija tehnoloģiski sarežģīts uzbrukums. Latvijas mediji vēstījuši, ka CSDD nebija izpildījusi vairākas prasības, kas attiecas uz augstākās jutības sistēmām, proti, sistēmām ar tādu personas datu apjomu, kas var skart lielu sabiedrības daļu. Nebija daudzfaktoru autentifikācijas, kur piekļuvei nepietiek tikai ar paroli, bet vajadzīgs vēl viens apstiprinājums. Nebija arī ielaušanās testu jeb apmaksātu mēģinājumu atrast ievainojamības pirms īstiem uzbrucējiem (Bauskas Dzīve/LETA, Delfi).

CERT.LV no janvāra līdz aprīlim bija piedāvājusi uzstādīt tīkla uzraudzības sensorus, kas darbojas kā agrīnās brīdināšanas sistēma aizdomīgai datu plūsmai. Tos sāka ieviest tikai pēc datu noplūdes (LA.lv).

Politiskās sekas bija ātras. Valsts prezidents Edgars Rinkēvičs paziņoja, ka CSDD vadība nedrīkst turpināt darbu, un aicināja prokuratūru vērtēt notikušo. No amata atkāpās gan CSDD valde, gan padome (Delfi, Kauno diena). Jau pirms CSDD incidenta Latvijas valsts IT noturība bija kļuvusi par politisku jautājumu: atsevišķa IT kļūme mēneša sākumā lika slēgt Pāternieku robežšķērsošanas vietu ar Baltkrieviju.

Nevis izņēmums, bet pazīme

Latvija šajā ziņā nav viena. Lietuvā šogad tika atklāts, ka prokuratūras ieskatā no valsts nekustamā īpašuma un juridisko personu reģistra nelikumīgi nokopēti vairāk nekā 600 000 ierakstu; nesankcionēta piekļuve notikusi caur citu institūciju pieslēgtajām sistēmām (LRT). Uzbrukuma ceļš bija cits, bet iznākums līdzīgs: nozagti administratīvie dati, sabiedrība skaidru informāciju saņēma ar kavēšanos, un iedzīvotājiem bija jābrīdina par krāpniekiem, kas var uzdoties par valsts iestādēm (LRT).

ES noteikumi transporta sistēmas un publiskos reģistrus jau uzskata par kritisko infrastruktūru. To paredz NIS2, atjauninātā ES kiberdrošības direktīva, kas prasa ātru ziņošanu par incidentiem un dod regulatoriem plašākas uzraudzības pilnvaras (ENISA, The Record). Taču, ja kļūda notiek valsts iestādē, atbildība parasti izpaužas nevis naudassodos, bet pārbaudēs, auditos un politiskā spiedienā.

CSDD datu noplūdei, pēc pieejamās informācijas, nebija vajadzīga valsts līmeņa kiberoperācija. Pietika ar internetam pieslēgtu sistēmu, kurā nebija nostrādājušas pamatlietas. Eiropas digitālā pārvalde balstās savienotos reģistros, kuros glabājas gadu desmitiem krāti administratīvie dati, un valstis arvien vairāk prasa iedzīvotājiem uzticēties šīm sistēmām. Šī uzticēšanās tagad mazāk ir atkarīga no jauniem digitāliem pakalpojumiem, bet vairāk no vienkāršām kontrolēm: parolēm, piekļuves žurnāliem, daudzfaktoru autentifikācijas un agrīnās brīdināšanas sensoriem, kam jāstrādā pirms uzbrucējs pārbauda sistēmu.