Dataintrång i Lettland driver bedrägerier

Den som har registrerat en bil i Lettland någon gång sedan 2008 har fått ett nytt problem. Angripare tog sig in hos landets trafiksäkerhetsmyndighet CSDD och kom över betalningskvitton kopplade till omkring 1,2 miljoner personer och ungefär 150 000-200 000 företag (LSM, BNN). I ett land med färre än två miljoner invånare omfattar det en stor del av den vuxna befolkningen. Inga bankkonton tömdes. Det angriparna fick var i stället råmaterial för trovärdiga bedrägerier, och värdet försvinner inte snabbt eftersom uppgifterna sträcker sig nästan två decennier bakåt.

Vad en bedragare nu vet

Det stulna materialet liknar ett personligt registerutdrag. Där finns namn, personkoder, registreringsnummer, betalningsbelopp, betalningsdatum och den bostadsadress som fanns registrerad när tjänsten användes (tezinas.lv, inbox.lv). Telefonnummer, e-postadresser, bankuppgifter och inloggningsuppgifter kom inte ut (NRA). Det låter lugnande tills man föreställer sig samtalet: en person anger din korrekta personkod, din bils registreringsnummer, den avgift du betalade förra året och adressen där du bodde då. Många skulle stanna kvar i luren.

Personkoden räcker inte för att ta sig in i Lettlands digitala identitetstjänster, som Smart-ID eller Mobile-ID. Men en bedragare som känner till koden kan starta ett inloggningsförsök, få en godkännandefråga att dyka upp i offrets telefon och samtidigt ringa upp under förevändning att företräda CSDD eller banken. Målet är att pressa personen att trycka på "godkänn" medan prompten redan ligger på skärmen (NRA). Redan inom några dagar efter offentliggörandet skickades falska mejl och sms i CSDD:s namn (Delfi, tezinas.lv). Risken är inte kortvarig: materialet omfattar personer som registrerade bil 2008 och därefter har lämnat landet (LSM).

Grundläggande skydd saknades

Intrånget inleddes under helgen den 7-8 augusti. Lettlands nationella cybersäkerhetsmyndighet CERT.LV underrättades först på måndagskvällen den 10 augusti (NRA). CSDD meddelade den 13 augusti att myndighetens webbplats hade utsatts för en attack. Först den 18 augusti blev omfattningen offentlig (eng.lsm.lv, LSM).

Bristerna var inte tekniskt avancerade. Lettisk rapportering visar att CSDD inte uppfyllde flera krav för system i den högsta känslighetsklassen, alltså system som rymmer så mycket persondata att en incident kan beröra större delen av befolkningen. Flerfaktorsautentisering, där inloggning kräver både lösenord och en andra bekräftelse, saknades. Det gjorde även penetrationstester, kontroller där inhyrda specialister försöker bryta sig in innan riktiga angripare gör det (BauskasDzīve/LETA, Delfi).

CERT.LV hade från januari till april erbjudit sig att installera nätverkssensorer, i praktiken brandvarnare för misstänkt datatrafik. Systemet började införas först efter intrånget (LA.lv).

Det politiska ansvarsutkrävandet kom snabbt. President Edgars Rinkēvičs sade att CSDD:s ledning inte borde sitta kvar och bad åklagare granska fallet. Både myndighetens styrelse och råd avgick (Delfi, Kauno diena). Tidigare under månaden hade ett separat it-fel redan tvingat Lettland att stänga gränsövergången Pāternieki mot Belarus. Frågan om statens digitala motståndskraft var därför politiskt levande redan innan CSDD-intrånget skärpte den.

Ett mönster, inte ett undantag

Lettland är inte ensamt. Litauen meddelade tidigare i år att åklagare bedömer att fler än 600 000 poster olagligt kopierades från landets register över fastigheter och juridiska personer. Enligt uppgifterna skedde obehöriga inloggningar via andra institutioners anslutna system (LRT). Angreppsvägen var en annan, men utfallet bekant: administrativa data stals, den offentliga klarheten dröjde och myndigheterna varnade för bedrägerier där kriminella utger sig för att företräda staten (LRT).

EU:s regler behandlar redan både transportsystem och offentliga register som kritisk infrastruktur enligt NIS2, unionens uppdaterade cybersäkerhetsdirektiv. Direktivet kräver snabb incidentrapportering och ger tillsynsmyndigheter verktyg för att ingripa (ENISA, The Record). När den som brister är en statlig myndighet snarare än ett privat företag sker ansvarsutkrävandet ändå oftare genom revisioner och politiskt tryck än genom böter.

CSDD-intrånget krävde enligt den rapportering som finns inte någon avancerad statlig operation. Det krävde ett internetexponerat system där grundskydd saknades. Europas digitala förvaltning bygger på sammankopplade register med årtionden av administrativa uppgifter, samtidigt som medborgare uppmanas att anförtro staten mer data. Det förtroendet vilar mindre på nya digitala tjänster än på att vardagliga kontroller fungerar: lösenord, behörigheter, loggar och sensorer som larmar innan någon annan gör testet.