ĪSUMĀ:
Kiberuzbrucējs ir ieguvis informāciju par maksājumu kvītīs ietvertiem datiem laika periodā no 2008. gada.
Kādi dati ir nonākuši uzbrucēju rīcībā?
CSDD Informācijas tehnoloģiju (IT) departamenta vadītājs Māris Puriņš arī informēja, ka kiberuzbrukuma rezultātā CSDD klientu kontaktinformācija (tālruņa numurs un e-pasta adrese) nav ietekmēta, kā arī izgūtā informācija par adresi ne visos gadījumos ir pilnīga.
Puriņš norādīja, ka ierobežota iespēja neautorizētiem lietotājiem apstrādāt informāciju par transportlīdzekli pēc to valsts reģistrācijas numura, iegūstot informāciju par tā marku un modeli. CSDD turpina sadarboties ar kompetentajām iestādēm. Pēc Puriņa teiktā, arī šajās brīvdienās CSDD saskārās ar mērķētu kiberuzbrukumu, tomēr, pateicoties veiktajiem drošības uzlabojumiem, tas tika bloķēts.
CSDD nebija izpildījusi vairākas drošības prasības
“Cert.lv” norādīja, ka uzbrukumam izmantota ievainojamība internetam pieejamā CSDD sistēmā. Turklāt nebija ievērotas vairākas obligātās kiberdrošības prasības, tostarp par daudzfaktoru autentifikāciju un ielaušanās testiem.
“Incidents CSDD infrastruktūrā notika astotā [augusta] naktī. Par to CSDD ziņoja “Cert.lv” pirmdienas [10. augusta] vakarā. Tātad arī šeit ir zināma novēlošanās, kas varētu būt skaidrojama ar to, ka incidents notiek brīvdienās.
“Cert.lv” redzamība šajā infrastruktūrā nav bijusi tādēļ, ka CSDD izvēlējās atteikties no “Cert.lv” pakalpojumiem, pamatojot to arī ar savām spējām,”
stāstīja “Cert.lv” vadītājas vietnieks Varis Teivāns.
Premjers pieprasa izvērtēt CSDD vadības atbildību
Premjers Andris Kulbergs (“Apvienotais saraksts”) uzdevis satiksmes ministram kā CSDD kapitāldaļu turētājam vērtēt CSDD padomes un valdes rīcību un atbildību saistībā ar kiberdrošības pārvaldību, nepieciešamo drošības prasību ieviešanu un rīcību pēc incidenta. CSDD nekavējoties jāievieš likumā un Ministru kabineta noteikumos paredzētā informācijas un komunikācijas drošības prasību izpilde.
Valsts kancelejas Krīzes vadības centram sadarbībā ar “Cert.lv” uzdots izveidot CSDD kiberincidenta seku novēršanas darba grupu. Tās vadītājs būs Krīzes vadības centra vadītājs, pulkvedis Arvis Zīle. Darba grupas uzdevums būs koordinēt incidenta seku novēršanu, sagatavot rīcības plānu un nodrošināt vienotu komunikāciju ar iedzīvotājiem.
Valdības vadītājs devis virkni uzdevumu, lai pēc CSDD un iepriekš notikušā “Latvijas Valsts mežu” (LVM) kiberincidenta tiktu nekavējoties izvērtēta un pastiprināta valsts kritiskās infrastruktūras aizsardzība.
Valsts policija sākusi kriminālprocesu par kiberuzbrukumu. Policija jau pagājušajā nedēļā paziņoja, ka pēc savas iniciatīvas ir sākusi resorisko pārbaudi, savukārt 18. augustā policijā aģentūrai LETA apliecināja, ka ir sākts kriminālprocess pēc diviem Krimināllikuma pantiem – “Patvaļīga piekļūšana automatizētai datu apstrādes sistēmai” un “Nelikumīgas darbības ar automatizētas datu apstrādes sistēmas resursu ietekmēšanas ierīcēm”.
Patlaban nav skaidrs, kādam nolūkam tika iegūti CSDD dati, kā arī nav informācijas, ka būtu notikusi publiska datu noplūde.
Atšķirībā no kiberzubrukuma, ko nesen piedzīvojuši LVM, šoreiz uzbrucējs sevi neidentificēja, un nozagti dati joprojām nekur nav parādījušies. Tas, pēc premjerministra sacītā, neļauj izslēgt iespēju, ka ir noticis hibrīduzbrukums no kādas Latvijai nedraudzīgās valsts izlūkdienestu puses.
Šāda datu iegūšana var palīdzēt krāpniekiem
Kiberdrošības eksperts Kirils Solovjovs norādīja – no uzbrucēja motivācijas būs atkarīgs tas, kā iegūtā informācija varētu tikt izmantota:
“Ja tas ir komerciāla rakstura uzbrukums, šie dati vienkārši tiks pārdoti tumšajā tīmeklī. Ģeopolitiska uzbrukuma gadījumā jārēķinās, ka šī informācija ir pieejama attiecīgās uzbrucēju valsts dienestiem izmantošanai. Jautājums – cik tas ir interesanti. Šeit būtu jāpiesargās tiem cilvēkiem, kas ir pietiekami politiski nozīmīgi vai ieņem kādus vadošus amatus valsts struktūrās vai vadošos uzņēmumos.”
Plašākai sabiedrībai tūlītējs risks saistīts ar krāpniecību. Atbildīgās iestādes brīdina, ka noplūdušie dati var padarīt krāpniecības mēģinājumus daudz ticamākus – uzbrucēji var izmantot cilvēka personas kodu, adresi vai automašīnas numuru. Solovjovu gan satrauc arī tas, ka noplūdušajos datos ir adreses un transportlīdzekļu informācija – atsevišķos gadījumos tas var radīt arī fiziskās drošības riskus.
“Cert.lv” vadītājas vietnieks Teivāns informēja, ka noplūdušo datu būtiskākais apdraudējums ir iespēja tos izmantot turpmākās sociālās inženierijas un krāpniecības kampaņās.
“Krāpnieku rīcībā esošs personas vārds, personas kods, automašīnas numurs, adrese vai informācija par iepriekš veiktu maksājumu ļauj izveidot ievērojami ticamākas un konkrētai personai pielāgotas krāpšanas īsziņas, e-pastus vai telefona zvanus,” skaidroja Teivāns.
Iedzīvotājus aicina pievērst uzmanību ne tikai ziņojuma saturam, bet arī valodas un pareizrakstības kvalitātei, īpaši personvārdu, adrešu un citu datu atveidojumam. Tāpat iedzīvotāji tiek aicināti neatvērt saņemtajos ziņojumos vai e-pastos norādītās saites, bet aktuālo informāciju par CSDD saziņu pārbaudīt vietnē “e.csdd.lv” vai CSDD mobilajā lietotnē.
Jābūt īpaši piesardzīgiem pret zvaniem, īsziņām un e-pastiem, kuros izmantoti personas vai transportlīdzekļa dati. Tas, ka krāpnieks zina šādu informāciju, nenozīmē, ka saziņa ir uzticama. Jāatceras, ka bankas un valsts iestādes saziņā ar klientiem nekad nelūgs izpaust internetbankas piekļuves informāciju, PIN kodus, paroles vai citus autentifikācijas datus, kā arī nelūgs tos ievadīt kādā atsūtītā saitē.
Īpaša uzmanība jāpievērš personas kodam, ko iedzīvotāji izmanto arī kā lietotāja identifikatoru (lietotāja numuru), pieslēdzoties ar Smart-ID, eParaksts mobile dažādiem digitālajiem pakalpojumiem, tostarp “Latvija.gov.lv”, “e.csdd.lv”, “E-veselība” un EDS un citiem. Personas kods viens pats nedod piekļuvi šiem pakalpojumiem, taču krāpnieki var izsaukt autentifikācijas mēģinājumu un lietotājs var pats apstiprināt krāpnieku uzsāktu autentifikāciju.
Tādēļ “Cert.lv” aicina izturēties ļoti piesardzīgi. Ja viedierīcē saņems Smart-ID vai eParaksts mobile pieprasījums apstiprināt autentifikāciju, kuru pats lietotājs nav uzsācis, nekādā gadījumā to neapstiprināt.
Ņemot vērā, ka CSDD incidentā skartā datu kopa ietver arī personas koda informāciju, eParaksts mobile lietotāji tiek aicināti pārbaudīt savu lietotāja numuru un, ja tas ir personas kods, apsvērt tā nomaiņu uz septiņu nejauši ģenerētu ciparu kombināciju.
Kur vērsties?
CSDD ir informējusi Datu valsts inspekciju par kiberuzbrukumu un ir saglabājusi visu tās rīcībā esošo informāciju, lai to iesniegtu Datu valsts inspekcijai ar kiberuzbrukumu saistīto apstākļu vispusīgai un pilnvērtīgai izvērtēšanai.
CSDD ikdienas pakalpojumu sniegšana nav ietekmēta, un CSDD turpina sniegt visus pakalpojumus gan klātienē, gan attālināti e-CSDD.
Ikvienai personai ir tiesības saņemt informāciju par to, vai tās personas dati ir ietekmēti kiberuzbrukumā, kā arī saņemt informāciju par skartajām datu kategorijām. Personām ir tiesības vērsties CSDD ar attiecīgu pieprasījumu, par kārtību, kādā iesniedzams pieprasījums, lūdzam iepazīties ar CSDD interneta vietnē publicētajā Privātuma politikā pieejamo informāciju.
CSDD informē, ka gadījumā, ja personas dati būs ietekmēti, ievērojot Vispārīgajā datu aizsardzības regulā noteikto, cilvēkam ir tiesības vērsties uzraudzības iestādē (Datu valsts inspekcijā, adrese Elijas iela 17 – 2, Rīga, LV–1050) ar sūdzību.
Papildu jautājumu gadījumā aicina sazināties ar CSDD fizisko personu datu aizsardzības speciālistu Uldi Sīpolu, zvanot darba laikā uz tālruņa numuru +371 67025736 vai rakstot uz e-pasta adresi – datu.specialists@csdd.gov.lv.
Grib pastiprināt kritiskās infrastruktūras kiberdrošību
Ministru kabinetā informēja, ka “Cert.lv” un Satversmes aizsardzības birojam (SAB) uzdots apzināt kritiskās infrastruktūras sistēmas, kurās nepieciešams ieviest “Cert.lv” agrās brīdināšanas sensoru sistēmas. Savukārt Aizsardzības ministrijai uzdots sagatavot nepieciešamos grozījumus attiecīgajos Ministru kabineta noteikumos, lai kritiski nozīmīgajās sistēmās nepieciešamo “Cert.lv” kiberdrošības risinājumu izmantošana būtu obligāta. Visām ministrijām dots arī uzdevums nodrošināt savu pakļautības iestāžu un kapitālsabiedrību informācijas un komunikācijas tehnoloģiju (IKT) sistēmu auditu veicot ielaušanās testus un atkārtotus testus, ja tie veikti senāk nekā pirms 6 mēnešiem. Ministru prezidents arī uzdevis sagatavot risinājumu, lai kritiski nozīmīgajām valsts informācijas sistēmām tiktu regulāri veikti ielaušanās testi un drošības auditi.
Savukārt Aizsardzības ministrijai būs jānodrošina Nacionālā kiberdrošības centra pilnvērtīga darbība 24 stundas diennaktī, septiņas dienas nedēļā. Vienlaikus Izglītības un zinātnes ministrijai uzdots rast pārdales budžeta vietu sadalījumā, lai palielinātu budžeta vietas kiberdrošības jomas studiju programmās. Datu valsts inspekcijai tiks uzdots līdz 31. augustam iesniegt Valsts kancelejas Krīzes vadības centram informāciju par CSDD kiberincidenta rezultātā notikušā personas datu aizsardzības pārkāpuma izvērtējumu, tā iespējamo ietekmi uz datu subjektu tiesībām un brīvībām un nepieciešamajiem pasākumiem personas datu aizsardzības jomā. Tāpat līdz 31. augustam Aizsardzības ministrijas Nacionālajam kiberdrošības centram un SAB jāiesniedz Ministru prezidentam izvērtējums par CSDD kiberrisku pārvaldības un kiberdrošības pasākumu atbilstību normatīvajos aktos noteiktajām prasībām, kā arī priekšlikumus nepieciešamajiem uzlabojumiem.
Premjers pieprasījis pēc iespējas operatīvi pabeigt arī LVM kiberincidenta seku un atbildības izvērtējumu. Zemkopības ministrijai kā kapitāla daļu turētājai ir dots uzdevums izvērtēt kapitālsabiedrības padomes un valdes atbildību par LVM kiberincidentu, saucot attiecīgās amatpersonas pie atbildības.
KONTEKSTS:
Augusta sākumā kiberuzbrukumā CSDD informācijas tehnoloģiju (IT) sistēmai hakeriem izdevies nesankcionēti iegūt vēsturiskos maksājumu kvīšu datus par CSDD pakalpojumiem, kas satur arī atsevišķus personas datus – personas kods/reģistrācijas numurs, vārds, uzvārds/uzņēmuma nosaukums, maksājums, apmaksas datums, automašīnas numura zīme, adrese.
Uzbrukums ir apturēts, notika vairāki uzlabojumi IT sistēmas drošībai, lai novērstu šāda veida kiberuzbrukumus.
