Breșa din Letonia alimentează fraudele

Oricine a înmatriculat o mașină în Letonia începând din 2008 are acum un risc concret. Atacatorii au intrat în sistemele autorității letone pentru siguranța traficului rutier, CSDD, și au copiat evidențe ale chitanțelor de plată legate de aproximativ 1,2 milioane de persoane și circa 150.000–200.000 de companii (LSM, BNN). Într-o țară cu mai puțin de două milioane de locuitori, asta înseamnă o mare parte din populația adultă. Nu au fost golite conturi bancare. Datele furate sunt însă materia primă pentru fraude credibile, iar valoarea lor nu dispare repede, pentru că arhivele acoperă aproape două decenii.

Ce știe acum un escroc

Datele furate arată ca un dosar personalizat. Nume, coduri naționale de identificare, numere de înmatriculare, sume plătite, datele plăților și adresa de domiciliu din evidențe la momentul folosirii serviciului (tezinas.lv, inbox.lv). Nu au fost obținute numere de telefon, adrese de e-mail, date bancare sau parole (NRA). Pare liniștitor până când apare apelul: cineva îți spune corect codul de identificare, numărul mașinii, taxa exactă plătită anul trecut și adresa la care locuiai atunci. Mulți oameni nu ar închide imediat.

Codul de identificare, singur, nu deschide instrumentele de identitate digitală din Letonia, precum Smart-ID sau Mobile-ID. Dar un fraudator care îl cunoaște poate porni o încercare de autentificare, ceea ce declanșează o cerere de aprobare pe telefon, apoi poate suna pretinzând că reprezintă CSDD sau banca, exact în timp ce victima se uită la acea notificare, insistând să apese „approve” (NRA). La câteva zile după anunțarea breșei, escrocii trimiteau deja e-mailuri și SMS-uri false în numele CSDD (Delfi, tezinas.lv). Fereastra de risc va rămâne deschisă mult timp: înregistrările includ și persoane care au înmatriculat o mașină în 2008 și au plecat între timp din țară (LSM).

Lipseau măsuri elementare de protecție

Intrarea în sistem a avut loc în weekendul 7–8 august. CERT.LV, organismul național de răspuns la incidente cibernetice, a fost notificat abia luni seara, pe 10 august (NRA). CSDD a anunțat public pe 13 august că site-ul său fusese atacat. Dimensiunea reală a breșei a devenit publică abia pe 18 august (eng.lsm.lv, LSM).

Problema nu a fost una exotică. Presa letonă a relatat că CSDD nu îndeplinea mai multe cerințe aplicabile sistemelor încadrate la cel mai ridicat nivel de sensibilitate, adică sisteme care conțin suficiente date personale pentru a afecta cea mai mare parte a populației. Lipsea autentificarea multifactor, mecanismul prin care o parolă trebuie dublată de o confirmare separată la conectare. Lipseau și testele de penetrare, adică încercări plătite de spargere a sistemului înainte ca atacatorii reali să o facă (BauskasDzīve/LETA, Delfi).

CERT.LV oferise, din ianuarie până în aprilie, instalarea unor senzori de monitorizare a rețelei, echivalentul unor alarme de fum pentru traficul suspect. Sistemul era instalat abia după breșă (LA.lv).

Reacția politică a venit rapid. Președintele Edgars Rinkēvičs a spus că conducerea CSDD nu ar trebui să rămână în funcție și a cerut procurorilor să examineze cazul. Atât consiliul de administrație, cât și consiliul CSDD au demisionat (Delfi, Kauno diena). O altă defecțiune IT forțase deja, la începutul lunii, închiderea punctului de frontieră Pāternieki dintre Letonia și Belarus, astfel că reziliența sistemelor informatice ale statului leton era deja o temă politică înainte ca breșa CSDD să o facă mai apăsătoare.

Un tipar, nu o excepție

Letonia nu este un caz izolat. Lituania a anunțat la începutul acestui an că, potrivit procurorilor, peste 600.000 de înregistrări au fost copiate ilegal din registrul național al proprietăților și persoanelor juridice, prin autentificări neautorizate făcute prin sistemele conectate ale altor instituții (LRT). Calea tehnică a atacului a fost diferită, dar rezultatul seamănă: date administrative furate, claritate publică întârziată și avertismente că infractorii vor pretinde că reprezintă instituții ale statului (LRT).

Regulile UE tratează deja atât sistemele de transport, cât și registrele publice drept infrastructură critică prin NIS2, directiva actualizată de securitate cibernetică a blocului. Legea cere raportarea rapidă a incidentelor și le oferă autorităților de reglementare puteri de sancționare (ENISA, The Record). Când instituția care a eșuat este însă o agenție de stat, răspunderea se mută de obicei spre audituri și presiune politică, mai degrabă decât spre amenzi.

Breșa CSDD nu pare să fi cerut o operațiune sofisticată la nivel statal. A fost suficient un sistem expus online în care măsurile de bază lipseau. Administrația digitală europeană funcționează pe registre interconectate, care păstrează decenii de date administrative, iar guvernele le cer cetățenilor să aibă tot mai multă încredere în aceste registre. Acea încredere depinde acum mai puțin de servicii digitale noi și lucioase și mai mult de controale banale care chiar funcționează: parole, jurnale de acces, autentificare în doi pași și senzori care să observe traficul suspect înainte ca cineva să testeze sistemul.