Patlaban veiktā izmeklēšana liecina, ka incidenta rezultātā izgūti PTAC licencējamo subjektu, proti, patērētāju kreditēšanas pakalpojumu sniedzēju, parādu ārpustiesas atgūšanas pakalpojumu sniedzēju un komplekso tūrisma pakalpojumu sniedzēju, kontaktinformācija.
Izgūta 697 komersantu pārstāvju un 34 PTAC amatpersonu kontaktinformācija – vārds, uzvārds, e-pasts un tālruņa numurs. Vairumā gadījumu šī informācija jau ir citos publiskos reģistros, piemēram, Atvērto datu portālā.
Centra direktore Zaiga Liepiņa uzsvēra, ka sabiedrības intereses nav cietušas, savukārt personu kodu konkrētajā informācijas sistēmā vispār nav. No noplūdušajiem datiem tikai 106 kontakti nebija publiski pieejami. Incidenta rezultātā nav arī apdraudēti uzraudzības dati, ko komersanti iesnieguši PTAC.
Kiberincidentu novēršanas institūcijas CERT.LV kiberdrošības eksperts Gints Mālkalnietis atzinis, ka šis ir maznozīmīgs risks, jo uzbrukums bijis daudz vienkāršāks, ja salīdzina ar CSDD un Latvijas Valsts mežu gadījumiem.
Hakeri, kas veikuši uzbrukumu, nav nedz no Latvijas, nedz Krievijas, nedz Eiropas, bet pagaidām “Cert.lv” plašāku informāciju neatklāj. Eksperts vien piebilda, ka nozagtie dati ir izlikti hakeru iecienītā forumā.
ASDIS ir C līmeņa drošības klases sistēma, kas ir informācijas sistēmas zemākais riska līmenis. Šo sistēmu PTAC izmanto licencējamo komersantu uzraudzības nodrošināšanai, un tā atbilst valstī noteiktajām minimālajām kiberdrošības prasībām.
ASDIS ir izvietota tīkla infrastruktūrā, kurai ir uzstādīta “Cert.lv” agrās brīdināšanas sensora (ABS) sistēma. PTAC uzskata, ka nestabilajā ģeopolitiskajā situācijā ir būtiski pastiprināt jebkuru tehnoloģisko resursu drošību, tam atrodot nepieciešamos finanšu līdzekļus, uz ko jau iepriekš Ministru kabineta rīcības sēdē par kiberdrošības jautājumiem ir norādījusi arī Ekonomikas ministrija.
Pašreiz incidenta skartā sistēma ir slēgta. Par sistēmas nepieejamību PTAC nekavējoties informēja arī visus sistēmas lietotājus.
Datu valsts inspekcijā (DVI) aģentūrai LETA apliecina, ka PTAC par šo incidentu ir informējis datu uzraugus. Inspekcijā skaidro, ka, vērtējot šāda incidenta nopietnību no personas datu aizsardzības viedokļa, nozīme ir tam, kādi dati ir skarti, vai tie jau ir publiski pieejami, kā arī tam, kādas iespējamās sekas incidents var radīt konkrētajām personām.
Ņemot vērā šobrīd pieejamo informāciju, kā arī apstākli, ka iegūtie dati lielākoties jau ir publiski pieejami, DVI neesot pamata izdarīt secinājumu, ka incidents būtu radījis augstu risku datu subjekta tiesībām.
