Kiberuzbrukumā Ceļu satiksmes drošības direkcijai (CSDD) noziedznieki ieguvuši 1,2 miljonu fizisko personu un aptuveni 200 tūkstošu juridisko personu datus. Noplūdes mērogs ir grūti aptverams – skarto cilvēku skaits atbilst aptuveni 65 procentiem no visiem Latvijas iedzīvotājiem un pārsniedz gan valstī nodarbināto, gan darbspējas vecumā esošo iedzīvotāju skaitu.
Uzbrucēji ieguvuši vēsturiskajās maksājumu kvītīs kopš 2008. gada uzkrāto informāciju, tādēļ datu kopā var būt arī ārvalstīs dzīvojošu cilvēku dati.
Pēc apjoma šī ir viena no smagākajām publiski zināmajām personas datu noplūdēm Latvijā.
Valsts prezidents Edgars Rinkēvičs notikušo nodēvējis par būtisku nacionālās drošības apdraudējumu un paziņojis, ka CSDD vadība pēc šāda incidenta nedrīkst turpināt darbu. Taču CSDD valdes priekšsēdētājs Aivars Aksenoks atkāpties negrasās un apgalvo, ka valdes “sirdsapziņa ir pilnīgi tīra”.
Nozagts daudz vairāk par vārdu un automašīnas numuru
CSDD apstiprinājusi, ka uzbrucēju rīcībā nonākuši dati no maksājumu kvītīm par direkcijas pakalpojumiem kopš 2008. gada.
Nopludinātā informācija var ietvert personas kodu vai uzņēmuma reģistrācijas numuru, cilvēka vārdu un uzvārdu vai uzņēmuma nosaukumu, maksājuma summu, maksājuma veikšanas datumu, transportlīdzekļa valsts reģistrācijas numuru, kā arī adresi, kas bija reģistrēta pakalpojuma saņemšanas dienā, piemēram, transportlīdzekļa reģistrācijas apliecībā norādīto adresi.
CSDD norāda, ka klientu tālruņu numuri, e-pasta adreses, lietotājvārdi un paroles nav skarti. Tāpat nav konstatēta banku kontu un maksājumu karšu informācijas noplūde. Adreses ne visos gadījumos esot pilnīgas.
Tas tomēr nenozīmē, ka nozagtie dati būtu noziedzniekiem nelietojami. Savienojot cilvēka vārdu, personas kodu, adresi, automašīnas numuru un reāla maksājuma datumu, krāpnieks var izveidot ļoti ticamu stāstu un radīt iespaidu, ka tiešām pārstāv CSDD, policiju, banku vai citu valsts iestādi.
Kā noziedznieki šos datus var izmantot
Kiberdrošības eksperts Elviss Strazdiņš, sociālajos tīklos pazīstams kā “Elnormous”, brīdina, ka galvenais jautājums vairs nav tikai par to, kas datus nozadzis, bet gan – pie kā tie nonāks tālāk.
Nozagtās datubāzes var tikt pārdotas melnajā tirgū datu brokeriem, kuri tās savukārt nodod krāpnieku grupējumiem. Informācija var cirkulēt un tikt izmantota vēl daudzus gadus, savā video stāsta Elviss.
Viens no ticamākajiem krāpnieku rīcības scenārijiem ir personalizēta īsziņa par it kā nenomaksātu sodu, tehnisko apskati, transportlīdzekļa nodokli vai citu CSDD pakalpojumu.
Ziņā var būt norādīts saņēmēja īstais vārds un viņa automašīnas reģistrācijas numurs. Tas rada uzticību un palielina iespēju, ka cilvēks nospiedīs krāpnieku atsūtīto saiti.
Turklāt īsziņas sūtītāja nosaukumu iespējams viltot. Krāpnieciskā ziņa telefonā var parādīties pat tajā pašā sarakstē, kurā iepriekš saņemti īsti CSDD paziņojumi.
Iegūto informāciju var izmantot arī viltus zvaniem CSDD, policijas, bankas vai apdrošinātāja vārdā, kā arī pikšķerēšanas e-pastu un īsziņu veidošanai ar konkrētai personai pielāgotu informāciju.
Tāpat krāpnieki var mēģināt panākt, lai cilvēks pats apstiprina viņu sāktu pieslēgšanos ar “Smart-ID” vai “eParaksts mobile”, vai izmantot datus cilvēku profilēšanai, savienojot CSDD informāciju ar citās noplūdēs iegūtiem datiem. Šādi iespējams sasaistīt automašīnas īpašnieku, adresi un transportlīdzekli vienotā profilā, kā arī iegūto informāciju tālāk pārdot organizētām noziedzības grupām.
Personas kods viens pats nedod piekļuvi internetbankai, e-CSDD, EDS vai citiem valsts pakalpojumiem. Taču tas bieži tiek izmantots kā lietotāja identifikators. Krāpnieks var sākt autentifikācijas mēģinājumu un pēc tam zvanīt upurim, mēģinot viņu pārliecināt apstiprināt telefonā saņemto pieprasījumu.
CERT.LV tādēļ aicina nekādā gadījumā neapstiprināt “Smart-ID” vai “eParaksts mobile” pieprasījumu, kuru cilvēks pats nav sācis. “eParaksts mobile” lietotājiem, kuru lietotāja numurs ir personas kods, ieteikts apsvērt tā nomaiņu pret nejauši ģenerētu septiņu ciparu kombināciju.
CSDD savulaik atteikusies no CERT.LV uzraudzības
Izmeklēšanā noskaidrots, ka uzbrucēji izmantojuši ievainojamību internetam pieejamā CSDD informācijas sistēmā. Turklāt, pēc CERT.LV sniegtās informācijas, CSDD nebija ievērojusi vairākas A klases informācijas sistēmām obligātās kiberdrošības prasības, tostarp prasības par daudzfaktoru autentifikāciju un regulāriem ielaušanās testiem.
Vēl satraucošāks ir fakts, ka
CSDD bija atteikusies no CERT.LV uzraudzības pakalpojumiem, savu izvēli pamatojot ar direkcijas pašas spējām kontrolēt sistēmu drošību.
CERT.LV pārstāvjiem tādēļ nebija redzamības CSDD infrastruktūrā un iespējas laikus pamanīt aizdomīgās darbības. Premjers Andris Kulbergs (AS) atklājis, ka CERT.LV četrus mēnešus centusies vienoties ar CSDD par drošības sensoru izvietošanu, taču direkcija šo iespēju nav izmantojusi.
Uzbrukums sācies naktī uz 8. augustu, bet CERT.LV par incidentu informēta tikai 10. augusta vakarā. Uzbrucēji CSDD sistēmā darbojās līdz 10. augustam ieskaitot.
Premjers situāciju raksturojis daudz skarbāk nekā pati CSDD, norādot, ka problēma sākotnēji mēģināta mazināt un “piesegt pēcpuses”. Viņš uzdevis satiksmes ministram Rihardam Kozlovskim izvērtēt gan CSDD valdes, gan padomes locekļu atbilstību amatiem.
Valsts policija par kiberuzbrukumu sākusi kriminālprocesu. Uzbrucēji pagaidām nav identificēti, un nozagtie dati publiski nav parādījušies. Tādēļ netiek izslēgts arī Latvijai naidīgas valsts īstenots hibrīduzbrukums kritiskajai infrastruktūrai.
Rinkēvičs: CSDD vadība nedrīkst turpināt darbu
Pēc noplūdes patiesā mēroga atklāšanas Valsts prezidents Edgars Rinkēvičs paziņoja, ka CSDD reputācija un sabiedrības uzticība iestādei ir iedragāta.
“Šādos apstākļos CSDD vadība nedrīkst tālāk turpināt darbu,” uzsvēra prezidents, aicinot pilnībā izmeklēt notikušo, maksimāli ātri novērst sekas un radikāli uzlabot CSDD informācijas sistēmu drošību.
Satiksmes ministrs Rihards Kozlovskis ierosinājis dienesta pārbaudi, kurā vērtēs CSDD valdes un padomes atbildību. Pārbaudes rezultāti ministram jāiesniedz septembra sākumā.
Aksenoks atkāpties negrasās: “Sirdsapziņa ir pilnīgi tīra”
Neraugoties uz Valsts prezidenta paziņojumu un premjera aso vērtējumu, CSDD valdes priekšsēdētājs Aivars Aksenoks atkāpties neplāno. Viņš apgalvo, ka no valdes puses pārkāpumus nesaskata.
Aksenoks Latvijas Televīzijai atzina, ka valde ir atbildīga par visu, kas notiek uzņēmumā, taču vienlaikus uzsvēra, ka CSDD kiberdrošībai esot veltījusi lielu uzmanību.
“Ja par šo runā, mūsu sirdsapziņa ir pilnīgi tīra,” paziņoja Aksenoks.
Šāda visai izaicinoša atbilde izskanējusi situācijā, kad CERT.LV jau publiski norādījusi uz obligāto drošības prasību neievērošanu, atteikšanos no valsts piedāvātās uzraudzības un novēlotu ziņošanu par incidentu.
CSDD padome tikmēr uzdevusi piesaistīt neatkarīgu ārējo IT drošības auditoru un sākusi iekšējo pārbaudi. Tomēr rodas jautājums – cik neatkarīgi iespējams izvērtēt atbildību, ja iestādes vadītājs jau pirms pārbaužu beigām paziņo, ka valdes sirdsapziņa esot tīra un pārkāpumi neesot saskatāmi.
Kas iedzīvotājiem jādara
Ikvienam ir tiesības pieprasīt CSDD informāciju par to, vai kiberuzbrukumā skarti viņa personas dati un tieši kuras datu kategorijas ir noplūdušas.
Saņemot aizdomīgu ziņu vai zvanu, vispirms nekādā gadījumā nevajadzētu klikšķināt uz atsūtītām saitēm vai atvērt pielikumus, jo tie var novest uz krāpnieciskām vietnēm.
Tāpat nedrīkst atklāt internetbankas kodus, paroles vai PIN, kā arī apstiprināt jebkādus “Smart-ID” vai “eParaksts mobile” pieprasījumus, kurus pats neesat iniciējis.
Ja rodas šaubas, informāciju vienmēr drošāk ir pārbaudīt pašam, manuāli atverot e.csdd.lv vai CSDD lietotni, nevis paļaujoties uz saņemtajā ziņā norādītajām saitēm.
Ja kāds zvana un uzdodas par iestādes darbinieku, saruna ir jāpārtrauc un pašam jāsazinās ar attiecīgo iestādi, izmantojot tās oficiālajā mājaslapā norādīto tālruņa numuru.
Jāatceras arī, ka tas vien, ka zvanītājs zina jūsu personas kodu, adresi vai automašīnas numuru, vairs nav nekāds pierādījums viņa uzticamībai.
Avoti: CSDD, LTV, YouTube
Puaro.lv sadaļā “WHO IS WHO” esam apkopojuši politiķu CV. Šeit varat uzzināt, cik izglītoti ir Saeimas deputāti un ministri, kā arī valsts amatpersonas, viņu parādsaistību apjomu, iepriekšējo pieredzi, partiju maiņu un citus sasniegumus.
Savukārt to, kurš patiesībā nosaka, kas notiek Latvijā, kurš ir ietekmīgs, kurš bagāts, bet kurš gan viens, gan otrs, uzziniet mūsu jaunajā sadaļā “Ietekme un nauda”.
Izsakiet savu viedokli komentāros un sekojiet mums Facebook , Twitter, Youtube un Instagram!
turības indusi un IT…nu tāds iznākums, blakšains
nu, parasta viduvējība, Varēja jau uzlikt MI , lai pārbauda sistēmu, bet, ja vakaros skatās ltv glups vēl glupāks un sportu..
Nodeva visu Latviju un atkāpās villā
Manuprāt, premjers bīda uz separātismu. Par 9 miljoniem apgūti līdzekļi, bet rezultāts- lai pieslēgtos csdd lapai, par ko ir jau samaksāts, liek cilvēkiem kļūt par kādu tur banku klientiem, vai izmantot digitālās ierīces, caur kurām, kā izrādās, brīvi operē krāpnieki. Vai tagad tie maksātāji, kuri nevar piekļūt jau apmaksātajai informācijas ieguvei, var vienpusēji noteikt, kad tie ies skati savām mašīnām, cik bieži to darīs, purva malā pie līkā bērza vai baznīcas stāvlaukumā? Nemaz smieklīgi nešķiet Kuršu ķoniņu pēcteces izrādītā attieksme, jo tagad Kulberga jēlā rīcība, neizlēmība un faktiskā atļauja mainīt noteikumus, par kuriem ir samaksāti miljoni, sadala csdd pakalpojuma saņēmējus… lasīt vēl »
Vai tad šitam ķerlim jau sen nevajadzēja būt pensijā?
vēl viens palīgskolas audzēknis ar roku
sluruks- ari teica ka Vjetnamas dejotajs un Ritas dels ir arhivos aiz Maskavas!
Latvija ir atpalikusi digitālajās tehnoloģijās. Bezatbildīga naudas dalīšana nejēdzīgiem digitalizācijas projektiem tikai padziļinājusi parādus. Bija jāizglīto un tad jādod nauda, nevis otrādi. Projektiem, kuriem tiešām nepieciešamas finanses – piemēram precīzijas medicīnas attīstīšanā un ieviešanā naudas vairs nav… Realitātē digitalizācijas projekts ir izgāzies.
Pag, bet CSDD ir pat valdes locekle Dace Benhena, kuras atbildības joma ir INFORMĀCIJU TEHNOLOĢIJAS!! Viņas atbildību šeit neviens nesaredz?!?
Jaunie IT “ģēniji” nievājoši izturas pret veciem datu glabāšanas paņēmieniem, kur modernie risinājumi ir veidoti no palieliem “ķieģeļiem” un tiem ne vienmēr ir zināms viss ko tāds realizē.
Tieši tas CSDD notika.Vietējie IT uzpasētāji mierīgi dzēra brīvdienas, kamēr par skaistiem cipariem nolīgtais TETs un tā speci uzraudzīja sistēmu.Hakers ielīda serverī , uzlika datu kopēšanu tādā kapacitātē, lai neizskatās aizdomīgi un nenostrādā signalizācija, un arī sāka dzert brīvdienas.Pirmdien no rīta izrādījās, ka TETa apkalpotāji arī dzēruši brīvdienas, jo neviens pat nebija painteresējies, kāpēc no servera nonstopā visu laiku tiek kačāti dati.Nu tad CSDD specs pēc ierašanās darbā ieraudzīja notiekošo un izrāva štepseli.Hakeris bija ticis līdz 2008.gadam.Kozlovskis pieņēma lēmumu atlaist Aksenoku un 2 sētniekus kaut kur Krāslavā.
Kurš ir redzējis līgumu par to kas bij tam TET jāatbild? Jo ir sajūta ka paši CSDD nesaprot kurš ko atbildēja un par ko maksāja. Pirms kādu vainot būtu jārdz detaļas. Pagaidām viens tik skaidrs – valde ir vairāk kā vainīgi, tur nevis jāatlaiž bet jāsēž. Jo ir ne zemnieka Anša Pļepaka dati noplūda, bet arī visi par armijas un visādu specdienestu mašīnām.
Prezidenta loģika – dariet jebko tikai pēc tam atkāpjaties? KAUNS PAR KLAUNU.
Pidaru – Daugavā! Bez pensijas
Par personīgo atbildību, lai domā “īpašnieks” vai drošibas struktūras. Kas kompesēs iespējamos zaudējumus tiem, kas izvietoja bez altenatīvas iespējas savus datus valsts noteiktajā vietā un veidā? Šis pirmkārt prasa politisko atbildību – indivīdu tiesības pārkāptas brutālākajā veidā.
Nekas traks nav noticis.Krāpnieki tuvāko 5-6 gadu laikā izkrāps no Latvijas iedzīvotājiem 40-50 miljonus vairāk, kā būtu izkrāpuši bez CSDD maksājumu kvītīm.Pārējais bez izmaiņām.Valsts institūciju prestižs turas uz masu informācijas līdzekļos izplatītajiem apgalvojumiem, par kuru publicēšanu valsts maksā masu medijiem ikgadēju maksu.
Nav pārliecības, ka indivīda datu, ko jāsargā valstij, nolūde būtu būtu tolerējama lieta.. Priekš tiem, kas pat negrib uzticēties savai valstīj un uztver to kā mūžam neietekmējamu, jāturpina izbaudīt “mūžīgā urpura” loma. Tāda izvēle.
Padome, valde, figurēšana, imitēšana un nulles atbikldība. Kas tas par svešvārdu – sirdsapziņa- tāda nav darba līgumā puisim un te stašts ir beidzies. Un ja vēla r velo brauc bez ķiveres, tad vispār
Nākamo vajadzētu uzlauzt IeM datubāzi.
To vienu pašu vienīgo, ja?
Tu zini cik viņu tur ir?
Tur ir tāds bardaks….
Pilnīgi pietiktu ar faktu, ka kāda no IeM datubāzēm ir uzlauzta.
domāju, ka to noslēps no sabiedrības