Lets datalek voedt fraudegolf

Wie sinds 2008 in Letland een auto heeft geregistreerd, heeft nu een probleem. Aanvallers drongen binnen bij de Letse verkeersautoriteit CSDD en namen betaalbewijzen mee die te herleiden zijn tot ongeveer 1,2 miljoen mensen en circa 150.000 tot 200.000 bedrijven (LSM, BNN). In een land met minder dan twee miljoen inwoners raakt dat een groot deel van de volwassen bevolking. Er is geen bankrekening leeggehaald. Wat criminelen wel kregen, is de grondstof voor geloofwaardige fraude. Die gegevens verouderen bovendien langzaam, omdat de administratie bijna twintig jaar teruggaat.

Wat een oplichter nu weet

De buitgemaakte gegevens lezen als een persoonlijk dossier. Het gaat om namen, nationale identificatienummers, kentekens, betaalde bedragen, betaaldatums en het woonadres dat geregistreerd stond op het moment dat iemand een dienst gebruikte (tezinas.lv, inbox.lv). Telefoonnummers, e-mailadressen, bankgegevens en inloggegevens zijn volgens de autoriteiten niet buitgemaakt (NRA). Dat klinkt geruststellend, totdat iemand belt en moeiteloos uw juiste identificatienummer noemt, het kenteken van uw auto, het precieze bedrag dat u vorig jaar betaalde en het adres waar u toen woonde. Veel mensen zouden dan niet meteen ophangen.

Met alleen zo'n identificatienummer kan een oplichter de Letse digitale identiteitssystemen, zoals Smart-ID of Mobile-ID, niet openen. Maar hij kan wel een inlogpoging starten, waardoor er op de telefoon van het slachtoffer een goedkeuringsmelding verschijnt. Daarna kan hij bellen namens CSDD of de bank, precies op het moment dat die melding in beeld staat, en druk zetten om op "approve" te tikken (NRA). Binnen enkele dagen na de bekendmaking verstuurden fraudeurs al valse e-mails en sms'jes uit naam van CSDD (Delfi, tezinas.lv). Dit frauderisico verdwijnt niet snel: in de bestanden staan ook mensen die in 2008 een auto registreerden en Letland inmiddels hebben verlaten (LSM).

Basale sloten ontbraken

De inbraak begon in het weekend van 7 en 8 augustus. De nationale Letse cyberdienst CERT.LV werd pas op maandagavond 10 augustus ingelicht (NRA). Op 13 augustus meldde CSDD aan het publiek dat zijn website was aangevallen. Pas op 18 augustus werd de volledige omvang duidelijk (eng.lsm.lv, LSM).

Wat misging, was niet bijzonder ingewikkeld. Letse media meldden dat CSDD niet voldeed aan meerdere eisen voor systemen in de hoogste gevoeligheidscategorie: systemen dus die genoeg persoonsgegevens bevatten om een groot deel van de bevolking te raken. Meerfactorauthenticatie, waarbij naast een wachtwoord ook een tweede bevestiging nodig is, ontbrak. Penetratietests, betaalde pogingen om het systeem te kraken voordat echte aanvallers dat doen, waren er evenmin (BauskasDzīve/LETA, Delfi).

CERT.LV had tussen januari en april aangeboden netwerkmonitoringsensoren te installeren, in feite rookmelders voor verdacht dataverkeer. Dat systeem werd pas na de inbraak ingevoerd (LA.lv).

De politieke nasleep kwam snel. President Edgars Rinkēvičs zei dat de leiding van CSDD niet kon aanblijven en vroeg het Openbaar Ministerie de zaak te onderzoeken. Zowel het bestuur als de raad van CSDD stapten op (Delfi, Kauno diena). Een afzonderlijke IT-storing had eerder deze maand al geleid tot de sluiting van de Letse grensovergang Pāternieki met Belarus. Daardoor was de weerbaarheid van Letse overheidssystemen al een politiek onderwerp voordat het CSDD-lek die discussie verder verscherpte.

Een patroon, geen uitzondering

Letland staat hierin niet alleen. Litouwen maakte eerder dit jaar bekend dat aanklagers vermoeden dat meer dan 600.000 records illegaal zijn gekopieerd uit het nationale register voor vastgoed en rechtspersonen. De ongeautoriseerde logins liepen via gekoppelde systemen van andere instellingen (LRT). De route was anders, de uitkomst herkenbaar: gestolen administratieve gegevens, late publieke duidelijkheid en waarschuwingen dat criminelen zich zouden voordoen als overheidsdiensten (LRT).

EU-regels behandelen zowel transportsystemen als publieke registers al als kritieke infrastructuur onder NIS2, de vernieuwde Europese cyberbeveiligingsrichtlijn. Die wet verplicht snelle incidentmelding en geeft toezichthouders handhavingsbevoegdheden (ENISA, The Record). Maar wanneer de falende organisatie een overheidsdienst is en geen privaat bedrijf, loopt verantwoording doorgaans via audits en politieke druk, niet via boetes.

Voor de CSDD-inbraak was geen geavanceerde operatie op statelijk niveau nodig. Er was een systeem nodig dat vanaf internet bereikbaar was en waarin de basis ontbrak. De digitale overheid in Europa draait op gekoppelde registers met decennia aan administratieve gegevens. Tegelijk vragen overheden burgers steeds vaker om juist die registers meer te vertrouwen. Dat vertrouwen hangt nu minder af van glimmende nieuwe digitale diensten dan van saaie controles die gewoon moeten werken: wachtwoorden, toegangslogboeken, rookmelders voor dataverkeer. Liefst voordat iemand ze test.