Cyberatak na łotewski urząd komunikacji — wyciekły dane 1,2 miliona osób

W wyniku cyberataku na łotewską Dyrekcję Bezpieczeństwa Ruchu Drogowego (CSDD) przestępcy uzyskali dostęp do danych osobowych 1,2 miliona osób oraz około 200 tysięcy podmiotów prawnych — poinformował zastępca kierownika instytucji odpowiedzialnej za zapobieganie incydentom cybernetycznym, Cert.lv, Varis Teivāns. Jak dotąd nie ustalono, w jakim celu dane zostały pozyskane.

Przebieg incydentu

Teivāns podkreślił, że do ataku doszło w nocy z piątku na sobotę, 8 sierpnia, jednak CSDD poinformowała o nim Cert.lv dopiero wieczorem w poniedziałek, 10 sierpnia — co tłumaczono tym, że incydent miał miejsce w weekend. Zaznaczył jednocześnie, że Cert.lv nie miał możliwości monitorowania sytuacji w tej infrastrukturze, ponieważ CSDD zrezygnowała wcześniej z usług tej instytucji. Jak wyjaśnił Teivāns, decyzja ta wynikała z możliwości organizacyjnych CSDD, przez co z perspektywy państwa wczesne wykrycie ataku było niemożliwe.

Przyczyną cyberataku była luka bezpieczeństwa w dostępnym z internetu systemie informatycznym CSDD, która nie została wcześniej usunięta ani, według obecnie dostępnych informacji, wykryta. Teivāns wskazał, że w toku dochodzenia ustalono naruszenie kilku wymogów określonych przez Radę Ministrów — między innymi dla systemów klasy A wymagane są testy penetracyjne oraz stosowanie uwierzytelniania wieloskładnikowego, czego CSDD nie zapewniła.

Jakie dane wyciekły i jakie ryzyko grozi kierowcom

Dane pozyskane przez przestępców pochodziły z informacji o płatnościach realizowanych na rzecz dyrekcji w ciągu ostatnich 18 lat. Obejmują one kod osobowy lub numer rejestracyjny przedsiębiorstwa, imię i nazwisko lub nazwę firmy, kwotę i datę płatności, numer rejestracyjny pojazdu oraz adres zarejestrowany w dniu skorzystania z usługi — na przykład adres wskazany w dowodzie rejestracyjnym pojazdu.

Teivāns zaznaczył, że nie wykryto wycieku danych płatniczych, takich jak numery kont bankowych, ani innych informacji stwarzających bezpośrednie zagrożenie dla społeczeństwa, na przykład ryzyka utraty pieniędzy. Zastrzegł jednak, że dostęp przestępców do wyciekłych danych wiąże się z realnym ryzykiem. Jako przykład wskazał konieczność zachowania ostrożności przy korzystaniu z narzędzi uwierzytelniania takich jak eParaksts czy Smart-ID, gdzie nazwą użytkownika często jest właśnie kod osobowy — mieszkańcy powinni zwracać uwagę na sytuacje, w których na urządzeniu mobilnym uruchamia się proces uwierzytelniania, którego sami nie zainicjowali.

„Nie ma bezpośredniego zagrożenia wycieku dodatkowych danych, ale może ono powstać, jeśli oszuści spróbują przejść uwierzytelnienie zamiast was, na przykład w systemie e-CSDD lub na innych zasobach. Zwracajcie uwagę na tego rodzaju żądania. Jeśli sami nie uruchomiliście procesu uwierzytelniania, nie potwierdzajcie go” — podkreślił Teivāns.

CSDD i Cert.lv zaapelowały do społeczeństwa o zachowanie szczególnej ostrożności wobec wiadomości, e-maili czy telefonów podających się rzekomo za komunikację od CSDD lub innych instytucji. Mieszkańców wezwano, by zwracali uwagę nie tylko na treść wiadomości, ale też na jakość języka i pisowni — zwłaszcza w zapisie imion, adresów i innych danych. Zalecono również, by nie otwierać linków zawartych w otrzymanych wiadomościach, a aktualne informacje dotyczące komunikacji CSDD sprawdzać na stronie e.csdd.lv lub w aplikacji mobilnej CSDD.

Kontrola ministerialna i odpowiedzialność kierownictwa CSDD

Minister komunikacji Rihards Kozlovskis zlecił w ramach kontroli służbowej ocenę odpowiedzialności członków rady i zarządu CSDD w związku z incydentem cybernetycznym oraz zbadanie wszystkich okoliczności, które doprowadziły do tak dużej skali wycieku danych. Kontrola ma zostać przeprowadzona w trybie przyspieszonym, a jej wyniki mają trafić do ministra na początku września.

Ministerstwu Komunikacji polecono współpracę z Policją Państwową i innymi służbami bezpieczeństwa, ponieważ — jak ocenił minister — kluczowe jest ustalenie przyczyn niewystarczającej ochrony danych. Zakres kontroli obejmie ocenę samego incydentu i jego skutków, w tym wpływu na działalność instytucji, systemy informatyczne, dane oraz ciągłość świadczonych usług, a także analizę działań urzędników i pracowników CSDD związanych z zapobieganiem, wykrywaniem i zarządzaniem incydentem, w tym przestrzegania ustalonych obowiązków i procedur wewnętrznych.

Przewodniczący zarządu CSDD Aivars Aksenoks poinformował agencję LETA, że nie planuje dymisji i nie dostrzega ze strony zarządu żadnych naruszeń. Zaznaczył, że rada CSDD zleciła przeprowadzenie nadzwyczajnego audytu w instytucji, a funkcjonujący w CSDD Komitet Bezpieczeństwa Systemów Informatycznych otrzymał polecenie przeprowadzenia pogłębionej wewnętrznej kontroli wszystkich kwestii związanych z cyberatakiem.

Policja Państwowa wszczęła postępowanie karne w związku z cyberatakiem na CSDD. Już w poprzednim tygodniu policja poinformowała, że z własnej inicjatywy rozpoczęła kontrolę resortową, a obecnie potwierdziła agencji LETA wszczęcie postępowania karnego na podstawie dwóch artykułów ustawy karnej — dotyczących nieuprawnionego dostępu do zautomatyzowanego systemu przetwarzania danych oraz nielegalnych działań wobec urządzeń wpływających na zasoby takiego systemu.

Premier: sytuacja poważniejsza, niż dotychczas przedstawiano

Premier Andris Kulbergs ocenił, że rzeczywista sytuacja jest znacznie poważniejsza, niż dotąd przedstawiano. Przyznał, że informację o cyberataku, któremu CSDD uległa w nocy z 7 na 8 sierpnia, otrzymał dopiero w środę następnego tygodnia — od szefa Biura Ochrony Konstytucji (SAB). Premier ocenił również, że w przypadku CSDD nie uwzględniono w wystarczającym stopniu doświadczeń spółki akcyjnej Latvijas valsts meži (LVM), która niedawno również padła ofiarą poważnego cyberataku.

„Zamiast jak najszybciej zaproponować rozwiązania tego problemu, próbujemy zacierać ślady i chronić własne stanowiska, mimo że mowa o infrastrukturze klasy A, do której należy podchodzić z najwyższym poczuciem odpowiedzialności” — powiedział Kulbergs.

Premier ocenił, że przypadek CSDD to kolejny przykład zaniedbania problemu i braku odpowiedzialnego podejścia do danych mieszkańców. Jego zdaniem ani w przypadku LVM, ani CSDD nie mogą być usprawiedliwieniem braki środków finansowych czy specjalistów, natomiast oba przedsiębiorstwa najwyraźniej wykazały się skrajną niedbałością w kwestiach cyberbezpieczeństwa. Podkreślił, że to już drugi poważny atak w ciągu ostatnich dwóch miesięcy.

Kulbergs zwrócił uwagę na istotną różnicę między atakiem na LVM a atakiem na CSDD — w przypadku CSDD sprawca nie ujawnił się, a pozyskane dane nigdzie się nie pojawiły. „W rezultacie nie możemy wykluczyć, że ten atak jest atakiem hybrydowym — operacją przeprowadzoną przez inne, wrogie nam państwo” — stwierdził premier, dodając, że łotewskie służby aktywnie monitorują sytuację i że incydent można ewentualnie zakwalifikować jako atak na infrastrukturę krytyczną państwa.

Działania naprawcze

Kulbergs poinformował, że instytucją odpowiedzialną za usuwanie skutków incydentu został wyznaczony Centrum Zarządzania Kryzysowego, które ma współpracować w tym zakresie z Cert.lv oraz CSDD — w tym celu powstanie specjalna grupa robocza. Ponadto Cert.lv oraz SAB mają zainstalować sensory na obiektach infrastruktury kategorii A. Jak zaznaczył premier, Cert.lv przez cztery miesiące prowadził rozmowy z CSDD w sprawie zawarcia umowy na instalację takich sensorów, jednak z niejasnych powodów CSDD nie zdecydowała się na to rozwiązanie.

Wymóg obowiązkowej instalacji sensorów Cert.lv — czyli narzędzi informatycznych automatycznie zgłaszających wszelkie odchylenia od normalnego funkcjonowania systemu — na obiektach infrastruktury klasy A znalazł się także w przygotowanej przez premiera dwunastopunktowej rezolucji. Kulbergs podkreślił również, że obowiązujące prawo wymaga stosowania uwierzytelniania dwuskładnikowego na obiektach infrastruktury klasy A, jednak w przypadku CSDD nie było ono wdrożone.

Ministerstwu Obrony polecono wprowadzenie zmian w odpowiednich przepisach Rady Ministrów, tak by usługi Cert.lv stały się obowiązkowe dla całej infrastruktury krytycznej, a także utworzenie całodobowego krajowego centrum cyberbezpieczeństwa. „Obecnie taki ośrodek formalnie istnieje, ale, mówiąc szczerze, funkcjonuje bardziej na papierze niż w rzeczywistości” — ocenił premier.

Kulbergs wyraził również opinię, że zarząd i rada CSDD powinny ponieść pełną odpowiedzialność za zaistniałą sytuację, w związku z czym polecił ministrowi komunikacji ocenę, czy członkowie zarządu i rady CSDD nadal odpowiadają wymogom zajmowanych stanowisk.

Jak wcześniej informowano, w sierpniu CSDD padła ofiarą złożonego cyberataku, w wyniku którego przestępcom udało się uzyskać częściowy dostęp do systemu informatycznego dyrekcji, w tym do archiwalnych danych pokwitowań płatności za usługi świadczone przez CSDD — poinformowano agencję LETA w samej dyrekcji.

Źródło: za Rus.Delfi.lv.