Kiberuzbrukumā Ceļu satiksmes drošības direkcijai (CSDD) noziedznieki ieguvuši 1,2 miljonu fizisko personu un aptuveni 200 tūkstošu juridisko personu datus. Noplūdes mērogs ir grūti aptverams – skarto cilvēku skaits atbilst aptuveni 65 procentiem no visiem Latvijas iedzīvotājiem un pārsniedz gan valstī nodarbināto, gan darbspējas vecumā esošo iedzīvotāju skaitu.
Uzbrucēji ieguvuši vēsturiskajās maksājumu kvītīs kopš 2008. gada uzkrāto informāciju, tādēļ datu kopā var būt arī ārvalstīs dzīvojošu cilvēku dati.
Pēc apjoma šī ir viena no smagākajām publiski zināmajām personas datu noplūdēm Latvijā.
Valsts prezidents Edgars Rinkēvičs notikušo nodēvējis par būtisku nacionālās drošības apdraudējumu un paziņojis, ka CSDD vadība pēc šāda incidenta nedrīkst turpināt darbu. Taču CSDD valdes priekšsēdētājs Aivars Aksenoks atkāpties negrasās un apgalvo, ka valdes “sirdsapziņa ir pilnīgi tīra”.
Nozagts daudz vairāk par vārdu un automašīnas numuru
CSDD apstiprinājusi, ka uzbrucēju rīcībā nonākuši dati no maksājumu kvītīm par direkcijas pakalpojumiem kopš 2008. gada.
Nopludinātā informācija var ietvert personas kodu vai uzņēmuma reģistrācijas numuru, cilvēka vārdu un uzvārdu vai uzņēmuma nosaukumu, maksājuma summu, maksājuma veikšanas datumu, transportlīdzekļa valsts reģistrācijas numuru, kā arī adresi, kas bija reģistrēta pakalpojuma saņemšanas dienā, piemēram, transportlīdzekļa reģistrācijas apliecībā norādīto adresi.
CSDD norāda, ka klientu tālruņu numuri, e-pasta adreses, lietotājvārdi un paroles nav skarti. Tāpat nav konstatēta banku kontu un maksājumu karšu informācijas noplūde. Adreses ne visos gadījumos esot pilnīgas.
Tas tomēr nenozīmē, ka nozagtie dati būtu noziedzniekiem nelietojami. Savienojot cilvēka vārdu, personas kodu, adresi, automašīnas numuru un reāla maksājuma datumu, krāpnieks var izveidot ļoti ticamu stāstu un radīt iespaidu, ka tiešām pārstāv CSDD, policiju, banku vai citu valsts iestādi.
Kā noziedznieki šos datus var izmantot
Kiberdrošības eksperts Elviss Strazdiņš, sociālajos tīklos pazīstams kā “Elnormous”, brīdina, ka galvenais jautājums vairs nav tikai par to, kas datus nozadzis, bet gan – pie kā tie nonāks tālāk.
Nozagtās datubāzes var tikt pārdotas melnajā tirgū datu brokeriem, kuri tās savukārt nodod krāpnieku grupējumiem. Informācija var cirkulēt un tikt izmantota vēl daudzus gadus, savā video stāsta Elviss.
Viens no ticamākajiem krāpnieku rīcības scenārijiem ir personalizēta īsziņa par it kā nenomaksātu sodu, tehnisko apskati, transportlīdzekļa nodokli vai citu CSDD pakalpojumu.
Ziņā var būt norādīts saņēmēja īstais vārds un viņa automašīnas reģistrācijas numurs. Tas rada uzticību un palielina iespēju, ka cilvēks nospiedīs krāpnieku atsūtīto saiti.
Turklāt īsziņas sūtītāja nosaukumu iespējams viltot. Krāpnieciskā ziņa telefonā var parādīties pat tajā pašā sarakstē, kurā iepriekš saņemti īsti CSDD paziņojumi.
Iegūto informāciju var izmantot arī viltus zvaniem CSDD, policijas, bankas vai apdrošinātāja vārdā, kā arī pikšķerēšanas e-pastu un īsziņu veidošanai ar konkrētai personai pielāgotu informāciju.
Tāpat krāpnieki var mēģināt panākt, lai cilvēks pats apstiprina viņu sāktu pieslēgšanos ar “Smart-ID” vai “eParaksts mobile”, vai izmantot datus cilvēku profilēšanai, savienojot CSDD informāciju ar citās noplūdēs iegūtiem datiem. Šādi iespējams sasaistīt automašīnas īpašnieku, adresi un transportlīdzekli vienotā profilā, kā arī iegūto informāciju tālāk pārdot organizētām noziedzības grupām.
Personas kods viens pats nedod piekļuvi internetbankai, e-CSDD, EDS vai citiem valsts pakalpojumiem. Taču tas bieži tiek izmantots kā lietotāja identifikators. Krāpnieks var sākt autentifikācijas mēģinājumu un pēc tam zvanīt upurim, mēģinot viņu pārliecināt apstiprināt telefonā saņemto pieprasījumu.
CERT.LV tādēļ aicina nekādā gadījumā neapstiprināt “Smart-ID” vai “eParaksts mobile” pieprasījumu, kuru cilvēks pats nav sācis. “eParaksts mobile” lietotājiem, kuru lietotāja numurs ir personas kods, ieteikts apsvērt tā nomaiņu pret nejauši ģenerētu septiņu ciparu kombināciju.
CSDD savulaik atteikusies no CERT.LV uzraudzības
Izmeklēšanā noskaidrots, ka uzbrucēji izmantojuši ievainojamību internetam pieejamā CSDD informācijas sistēmā. Turklāt, pēc CERT.LV sniegtās informācijas, CSDD nebija ievērojusi vairākas A klases informācijas sistēmām obligātās kiberdrošības prasības, tostarp prasības par daudzfaktoru autentifikāciju un regulāriem ielaušanās testiem.
Vēl satraucošāks ir fakts, ka
CSDD bija atteikusies no CERT.LV uzraudzības pakalpojumiem, savu izvēli pamatojot ar direkcijas pašas spējām kontrolēt sistēmu drošību.
CERT.LV pārstāvjiem tādēļ nebija redzamības CSDD infrastruktūrā un iespējas laikus pamanīt aizdomīgās darbības. Premjers Andris Kulbergs (AS) atklājis, ka CERT.LV četrus mēnešus centusies vienoties ar CSDD par drošības sensoru izvietošanu, taču direkcija šo iespēju nav izmantojusi.
Uzbrukums sācies naktī uz 8. augustu, bet CERT.LV par incidentu informēta tikai 10. augusta vakarā. Uzbrucēji CSDD sistēmā darbojās līdz 10. augustam ieskaitot.
Premjers situāciju raksturojis daudz skarbāk nekā pati CSDD, norādot, ka problēma sākotnēji mēģināta mazināt un “piesegt pēcpuses”. Viņš uzdevis satiksmes ministram Rihardam Kozlovskim izvērtēt gan CSDD valdes, gan padomes locekļu atbilstību amatiem.
Valsts policija par kiberuzbrukumu sākusi kriminālprocesu. Uzbrucēji pagaidām nav identificēti, un nozagtie dati publiski nav parādījušies. Tādēļ netiek izslēgts arī Latvijai naidīgas valsts īstenots hibrīduzbrukums kritiskajai infrastruktūrai.
Rinkēvičs: CSDD vadība nedrīkst turpināt darbu
Pēc noplūdes patiesā mēroga atklāšanas Valsts prezidents Edgars Rinkēvičs paziņoja, ka CSDD reputācija un sabiedrības uzticība iestādei ir iedragāta.
“Šādos apstākļos CSDD vadība nedrīkst tālāk turpināt darbu,” uzsvēra prezidents, aicinot pilnībā izmeklēt notikušo, maksimāli ātri novērst sekas un radikāli uzlabot CSDD informācijas sistēmu drošību.
Satiksmes ministrs Rihards Kozlovskis ierosinājis dienesta pārbaudi, kurā vērtēs CSDD valdes un padomes atbildību. Pārbaudes rezultāti ministram jāiesniedz septembra sākumā.
Aksenoks atkāpties negrasās: “Sirdsapziņa ir pilnīgi tīra”
Neraugoties uz Valsts prezidenta paziņojumu un premjera aso vērtējumu, CSDD valdes priekšsēdētājs Aivars Aksenoks atkāpties neplāno. Viņš apgalvo, ka no valdes puses pārkāpumus nesaskata.
Aksenoks Latvijas Televīzijai atzina, ka valde ir atbildīga par visu, kas notiek uzņēmumā, taču vienlaikus uzsvēra, ka CSDD kiberdrošībai esot veltījusi lielu uzmanību.
“Ja par šo runā, mūsu sirdsapziņa ir pilnīgi tīra,” paziņoja Aksenoks.
Šāda visai izaicinoša atbilde izskanējusi situācijā, kad CERT.LV jau publiski norādījusi uz obligāto drošības prasību neievērošanu, atteikšanos no valsts piedāvātās uzraudzības un novēlotu ziņošanu par incidentu.
CSDD padome tikmēr uzdevusi piesaistīt neatkarīgu ārējo IT drošības auditoru un sākusi iekšējo pārbaudi. Tomēr rodas jautājums – cik neatkarīgi iespējams izvērtēt atbildību, ja iestādes vadītājs jau pirms pārbaužu beigām paziņo, ka valdes sirdsapziņa esot tīra un pārkāpumi neesot saskatāmi.
Kas iedzīvotājiem jādara
Ikvienam ir tiesības pieprasīt CSDD informāciju par to, vai kiberuzbrukumā skarti viņa personas dati un tieši kuras datu kategorijas ir noplūdušas.
Saņemot aizdomīgu ziņu vai zvanu, vispirms nekādā gadījumā nevajadzētu klikšķināt uz atsūtītām saitēm vai atvērt pielikumus, jo tie var novest uz krāpnieciskām vietnēm.
Tāpat nedrīkst atklāt internetbankas kodus, paroles vai PIN, kā arī apstiprināt jebkādus “Smart-ID” vai “eParaksts mobile” pieprasījumus, kurus pats neesat iniciējis.
Ja rodas šaubas, informāciju vienmēr drošāk ir pārbaudīt pašam, manuāli atverot e.csdd.lv vai CSDD lietotni, nevis paļaujoties uz saņemtajā ziņā norādītajām saitēm.
Ja kāds zvana un uzdodas par iestādes darbinieku, saruna ir jāpārtrauc un pašam jāsazinās ar attiecīgo iestādi, izmantojot tās oficiālajā mājaslapā norādīto tālruņa numuru.
Jāatceras arī, ka tas vien, ka zvanītājs zina jūsu personas kodu, adresi vai automašīnas numuru, vairs nav nekāds pierādījums viņa uzticamībai.
Avoti: CSDD, LTV, YouTube
Puaro.lv sadaļā “WHO IS WHO” esam apkopojuši politiķu CV. Šeit varat uzzināt, cik izglītoti ir Saeimas deputāti un ministri, kā arī valsts amatpersonas, viņu parādsaistību apjomu, iepriekšējo pieredzi, partiju maiņu un citus sasniegumus.
Savukārt to, kurš patiesībā nosaka, kas notiek Latvijā, kurš ir ietekmīgs, kurš bagāts, bet kurš gan viens, gan otrs, uzziniet mūsu jaunajā sadaļā “Ietekme un nauda”.
Izsakiet savu viedokli komentāros un sekojiet mums Facebook , Twitter, Youtube un Instagram!
Nākamo vajadzētu uzlauzt IeM datubāzi.