Latvijski vdor odpira vrata prevaram

Kdor je v Latviji od leta 2008 registriral vozilo, ima zdaj težavo. Napadalci so vdrli v latvijsko direkcijo za varnost cestnega prometa CSDD in odnesli podatke iz plačilnih potrdil, povezane s približno 1,2 milijona ljudi ter okoli 150.000 do 200.000 podjetji (LSM, BNN). V državi z manj kot dvema milijonoma prebivalcev to zajema velik del odraslega prebivalstva. Bančnih računov niso izpraznili. Kriminalci so dobili nekaj drugega: gradivo za prepričljive prevare, ki ne bo hitro zastaralo, saj podatki segajo skoraj dve desetletji nazaj.

Kaj zdaj ve goljuf

Ukradeni podatki delujejo kot osebni dosje. Vključujejo imena, nacionalne identifikacijske številke, registrske oznake vozil, zneske plačil, datume plačil in naslov, ki je bil v evidenci ob uporabi storitve (tezinas.lv, inbox.lv). Telefonskih številk, elektronskih naslovov, bančnih podatkov in prijavnih poverilnic po navedbah pristojnih niso odnesli (NRA). To zveni pomirjujoče, dokler si ne predstavljamo klica, v katerem sogovornik navede pravilno osebno številko, registrsko oznako avtomobila, točen znesek lanske pristojbine in naslov, na katerem je človek takrat živel. Marsikdo takega klica ne bi takoj prekinil.

Osebna številka sama po sebi ne odklene latvijskih orodij za digitalno identiteto, kot sta Smart-ID ali Mobile-ID. Lahko pa goljuf z njo sproži poskus prijave, zaradi česar se na telefonu pojavi zahteva za potrditev. Nato pokliče žrtev, se predstavi kot CSDD ali banka in jo med gledanjem tega poziva pritisne, naj pritisne »potrdi« (NRA). Lažna elektronska sporočila in kratka sporočila v imenu CSDD so se pojavila že nekaj dni po razkritju (Delfi, tezinas.lv). Tveganje ne bo hitro izginilo: med podatki so tudi ljudje, ki so vozilo registrirali leta 2008 in so se od takrat morda že odselili iz države (LSM).

Manjkale so osnovne varovalke

Vdor se je začel konec tedna, 7. in 8. avgusta. Latvijsko nacionalno telo za odzivanje na kibernetske incidente CERT.LV je bilo obveščeno šele v ponedeljek zvečer, 10. avgusta (NRA). CSDD je javnost 13. avgusta obvestil, da je bilo njegovo spletno mesto tarča napada. Celoten obseg dogodka je postal javno znan šele 18. avgusta (eng.lsm.lv, LSM).

Težava ni bila tehnično nenavadna. Latvijski mediji so poročali, da CSDD ni izpolnjeval več zahtev za sisteme najvišje občutljivosti, torej za sisteme, ki hranijo toliko osebnih podatkov, da lahko incident prizadene večino prebivalstva. Manjkala je večfaktorska avtentikacija, pri kateri geslo ni dovolj in je za prijavo potrebna še druga potrditev. Prav tako ni bilo penetracijskih testov, plačanih poskusov vdora, s katerimi organizacija šibke točke poišče prej kot resnični napadalci (BauskasDzīve/LETA, Delfi).

CERT.LV je od januarja do aprila ponujal namestitev senzorjev za spremljanje omrežja, neke vrste alarmov za sumljiv promet. Sistem so začeli vzpostavljati šele po vdoru (LA.lv).

Politične posledice so prišle hitro. Predsednik Edgars Rinkēvičs je dejal, da vodstvo CSDD ne bi smelo ostati na položaju, in tožilstvo pozval, naj primer preuči. Odstopila sta tako uprava kot svet CSDD (Delfi, Kauno diena). Ločena informacijska okvara je že prej v tem mesecu prisilila Latvijo, da je zaprla mejni prehod Pāternieki z Belorusijo, zato je bila odpornost državnih informacijskih sistemov politično vprašanje že pred razkritjem vdora v CSDD.

Vzorec, ne izjema

Latvija ni osamljen primer. Litva je letos razkrila, da po oceni tožilcev iz nacionalnega registra nepremičnin in pravnih oseb nezakonito kopirali več kot 600.000 zapisov, pri čemer naj bi nepooblaščeni dostopi potekali prek povezanih sistemov drugih institucij (LRT). Pot napada je bila drugačna, rezultat pa znan: ukradeni administrativni podatki, zapoznela jasnost za javnost in opozorila, da bodo kriminalci posnemali državne organe (LRT).

Pravila Evropske unije že zdaj obravnavajo prometne sisteme in javne registre kot kritično infrastrukturo po direktivi NIS2, posodobljenem evropskem okviru za kibernetsko varnost. Ta zahteva hitro poročanje o incidentih in regulatorjem daje izvršilna pooblastila (ENISA, The Record). Kadar odpove državni organ in ne zasebno podjetje, pa odgovornost pogosteje poteka prek revizij, političnega pritiska in zamenjav vodstva kot prek glob.

Za vdor v CSDD očitno ni bila potrebna posebej izpopolnjena operacija na ravni države. Zadostoval je sistem, odprt proti internetu, v katerem niso delovale osnovne varovalke. Evropska digitalna država temelji na medsebojno povezanih registrih, ki hranijo desetletja administrativnih podatkov, hkrati pa od državljanov zahteva vse več zaupanja. To zaupanje bo manj odvisno od novih digitalnih storitev in bolj od dolgočasnih, a odločilnih mehanizmov: gesel, dostopnih dnevnikov, večfaktorske avtentikacije in senzorjev, ki zaznajo nevarnost, preden jo izkoristi napadalec.