Ceļu satiksmes drošības direkcija (CSDD) piedzīvojusi mērķtiecīgu un tehniski sarežģītu kiberuzbrukumu, kurā nozagti vēsturiskie maksājumu kvīšu dati. Uzbrucēju rīcībā varētu būt nonākuši cilvēku vārdi, uzvārdi, personas kodi, adreses, automašīnu reģistrācijas numuri, kā arī informācija par veiktajiem maksājumiem.
Notikušais liek atcerēties kādu neērtu epizodi CSDD vēsturē. Pirms vairākiem gadiem par nopietnu ievainojamību direkcijas informācijas sistēmā CSDD brīdināja radioinženieris un izgudrotājs Raimonds Skuruls. Pateicības vai atlīdzības vietā drošības nepilnības atklājējs “nonāca “nopelnīja” kriminālprocesu un tika tiesāts par izspiešanu.
Pašlaik gan nav pierādījumu, ka Skurula 2018. gadā atklātā ievainojamība būtu jebkādi saistīta ar tagad notikušo datu zādzību. Tomēr šis gadījums aktualizē plašāku jautājumu – vai Latvijas valsts institūcijas prot sadarboties ar cilvēkiem, kuri laikus norāda uz sistēmu ievainojamībām, vai arī šādi ziņotāji riskē paši nonākt apsūdzēto lomā?
Nozagti personas kodi, adreses un automašīnu numuri
CSDD informēja, ka augusta sākumā tās informācijas sistēma tikusi pakļauta komplicētam kiberuzbrukumam. Uzbrucējiem izdevies daļēji piekļūt sistēmai un nesankcionēti iegūt vēsturiskos maksājumu kvīšu datus par CSDD sniegtajiem pakalpojumiem.
Nozagtajos dokumentos varēja būt norādīts personas kods vai uzņēmuma reģistrācijas numurs, personas vārds un uzvārds vai uzņēmuma nosaukums, adrese, maksājuma summa un datums, kā arī automašīnas reģistrācijas numurs.
CSDD klientu lietotājvārdi un paroles uzbrukumā neesot skarti. Arī klātienes pakalpojumu un e-CSDD darbība nav traucēta.
Uzbrukums sadarbībā ar CERT.LV esot apturēts, bet izmantotie kanāli bloķēti. Tomēr izmeklēšana turpinās, un precīzs nozagto datu apjoms vēl tiek noskaidrots. CERT.LV vadītājas vietnieks Varis Teivāns Latvijas Televīzijai atzina, ka iegūto datu apjoms ir liels. Pagaidām neesot signālu, ka informācija jau būtu izmantota ļaunprātīgi, taču nav zināma arī uzbrucēju motivācija.
CERT.LV brīdina, ka nozagtā informācija var tikt izmantota mērķētiem krāpniecības mēģinājumiem. Zinot cilvēka vārdu, personas kodu, adresi, automašīnas numuru un informāciju par konkrētu maksājumu, krāpnieki var sagatavot daudz ticamākas īsziņas, e-pastus vai telefona zvanus, uzdodoties par CSDD, policiju, apdrošinātāju vai citu iestādi.
CSDD par notikušo ir informējusi Datu valsts inspekciju, kas vērtēs uzbrukuma cēloņus, ietekmēto personas datu apjomu un to, vai direkcija bija veikusi pietiekamus tehniskos un organizatoriskos drošības pasākumus. Valsts policija sākusi resorisko pārbaudi.
Par drošības “caurumu” paziņoja jau 2018. gadā
Tagadējā incidenta kontekstā īpašu uzmanību piesaista Raimonda Skurula lieta.
2018.gada oktobrī Skuruls, izmantojot e-CSDD pakalpojumus, konstatēja iespējamu autorizācijas mehānisma ievainojamību Transportlīdzekļu un to vadītāju valsts reģistrā. Viņš pats sazinājās ar CSDD, nosauca savu vārdu un informēja direkciju par atklāto problēmu.
Turpmākajā saziņā tika iesaistīts CSDD piesaistītais uzņēmums “WeAreDots”. Publiski pieejamā informācija liecina, ka Skuruls ar uzņēmumu noslēdza līgumu par ievainojamības tehniskās informācijas nodošanu. Ja informācija apstiprinātos, viņam par paveikto bija paredzēts samaksāt 1000 eiro.
Skurula skatījumā tā bija atlīdzība par drošības pārbaudei patērēto laiku, zināšanām un tehnisko darbu. Žurnālam “Ir” viņš skaidroja, ka piedāvājis noslēgt sadarbības līgumu un palīdzēt sistēmu sakārtot – līdzīgi kā jebkurš cits speciālists par profesionālu palīdzību saņem samaksu.
Apsūdzība notikušo vērtēja citādi. Tā norādīja, ka Skuruls pieprasījis 1000 eiro un draudējis neizmaksāšanas gadījumā par ievainojamību informēt plašsaziņas līdzekļus. Tas tika kvalificēts kā izspiešana, piedraudot radīt būtisku kaitējumu.
Tādējādi centrālais strīds nebija par to, vai ievainojamība pastāvēja – tā bija reāla, bet gan par to, vai samaksas prasīšana par ievainojamības tehnisko aprakstu un iespējamās publiskošanas pieminēšana uzskatāma par profesionāla darba atlīdzības pieprasīšanu vai izspiešanu.
Tiesas lēmumi vairākkārt mainīti
Skurula lietas izskatīšana ilgst jau gadiem.
2021.gadā pirmās instances tiesa viņu atzina par vainīgu. Apelācijas instances tiesa 2022. gadā Skurulu attaisnoja, taču pēc prokurora protesta Senāts šo spriedumu atcēla. Izskatot lietu atkārtoti, apgabaltiesa viņu atkal atzina par vainīgu, piemēroja naudassodu un uzlika pienākumu atlīdzināt CSDD prasītos 3459,52 eiro.
2022.gada jūnijā Senāts lietu vēlreiz nodeva izskatīšanai Latgales apgabaltiesā. Senāts īpaši norādīja, ka Skuruls nebija radījis sistēmas ievainojamību – viņš to bija atklājis. Turklāt CSDD, nevis Skurulam, bija pienākums uzturēt informācijas sistēmas drošību un novērst tās trūkumus. Tādēļ bez pierādītas cēloņsakarības Skurulam nevarēja uzlikt pienākumu segt CSDD izdevumus par pašas sistēmas pārbaudi un ievainojamības novēršanu.
Tātad Skurula lietu nevar vienkāršoti raksturot kā galīgi noslēgtu notiesāšanu: dažādu instanču spriedumi ir mainījušies, un Senāts lietu atkārtoti nosūtīja apelācijas tiesai.
Drošības speciālisti: prasītā summa bija atlīdzība par darbu
Drošības profesionāļu asociācija publiski nostājās Skurula pusē, CSDD attieksmi nosaucot par nepieņemamu. Asociācijas ieskatā Skuruls vispirms bija godprātīgi informējis pašu sistēmas pārzini un tikai vēlāk prasījis atlīdzību par ievainojamības tehnisko aprakstu un tās atrašanai patērēto laiku.
Asociācija uzsvēra, ka atklājums pēc starptautiski izmantotās OWASP metodoloģijas bija vērtējams kā bojāta piekļuves kontrole – viens no kritiskākajiem tīmekļa sistēmu drošības riskiem. Tā arī brīdināja, ka šāda rīcība pret drošības pētnieku var atturēt citus speciālistus no ziņošanas par ievainojamībām.
“CSDD prakse neveicina Latvijas kiberdrošību,” secināja asociācija, aicinot reabilitēt Skurulu. Vienlaikus tā norādīja, ka viņš nav asociācijas biedrs un pats pēc atbalsta nebija vērsies. (Drošības profesionāļu asociācijas paziņojums)
Šis viedoklis, protams, neatceļ apsūdzības argumentu, ka samaksas prasība bijusi sasaistīta ar draudiem informāciju publiskot. Taču tas ļauj uz lietu paraudzīties arī citādi: iespējams, Skuruls nevis mēģināja izspiest naudu, bet neveiksmīgi formulēja prasību samaksāt par profesionāli paveiktu darbu.
Vai valsts prot sadarboties ar “baltajiem hakeriem”?
Tagad CSDD savā tīmekļvietnē aicina nekavējoties ziņot par atklātām IT drošības nepilnībām un sola visus ziņojumus izskatīt. Publiski pieejamajā ziņošanas kārtībā gan nav norādīta ne atlīdzības programma, ne skaidri “drošās ostas” nosacījumi, kas godprātīgu pētnieku pasargātu no krimināltiesiskiem vai civiltiesiskiem riskiem.
Tieši šādu noteikumu trūkums rada bīstamu pelēko zonu. Drošības pētniekam jāzina, ko viņš drīkst pārbaudīt, kādā veidā jāpaziņo par atrasto, cik ilgs laiks iestādei tiek dots problēmas novēršanai un vai par vērtīgu atklājumu iespējams saņemt atlīdzību. Savukārt iestādei jābūt drošai, ka pētnieks iegūto informāciju neizmantos ļaunprātīgi.
Ja šādas sistēmas nav, valsts riskē saņemt mazāk brīdinājumu no godprātīgiem speciālistiem, bet vairāk īstu uzbrukumu no noziedzniekiem, kuri neko neprasa un par atrasto drošības “caurumu” iepriekš nebrīdina.
Šoreiz uzbrucēji CSDD informāciju nenodeva apmaiņā pret 1000 eiro un nepiedāvāja palīdzēt sistēmu sakārtot. Viņi datus vienkārši nozaga.
Avoti: LSM, Cert.lv
Puaro.lv sadaļā “WHO IS WHO” esam apkopojuši politiķu CV. Šeit varat uzzināt, cik izglītoti ir Saeimas deputāti un ministri, kā arī valsts amatpersonas, viņu parādsaistību apjomu, iepriekšējo pieredzi, partiju maiņu un citus sasniegumus.
Savukārt to, kurš patiesībā nosaka, kas notiek Latvijā, kurš ir ietekmīgs, kurš bagāts, bet kurš gan viens, gan otrs, uzziniet mūsu jaunajā sadaļā “Ietekme un nauda”.
Izsakiet savu viedokli komentāros un sekojiet mums Facebook , Twitter, Youtube un Instagram!