SM izveidotā komisija secinājusi, ka incidenta iespējamību radīja ievainojamība CSDD uzturētajā tīmekļa lietotnē “med.csdd.lv”, kas uzbrucējam ļāva sākotnēji piekļūt informācijas sistēmām.
Iespēju ievainojamību novērst agrāk ietekmēja vairākas tehniskas un organizatoriskas nepilnības – nepilnīga drošības pārbaužu aptvere, nepietiekama tīkla aizsardzība, daudzfaktoru autentifikācijas trūkums, programmatūras izstrādes nepilnības.
Tāpat tika konstatēta ilgstoša vēsturisko personas datu glabāšana, kuru vērtēs Datu valsts inspekcija.
Kiberdrošības kontroles sistēma bija izveidota, bet praksē vairākkārt nesasniedza savu mērķi. Konstatētas atsevišķas nepilnības saistībā ar risku pārvaldību un kiberdrošības vadību – nepietiekama speciālistu kapacitāte, nepietiekama tvēruma drošības testi un auditi, nepilnīga dokumentēšana.
Pēc sākotnējās piekļuves iegūšanas uzbrucējs varēja ilgstoši un plašā apjomā iegūt datus, jo nebija pietiekamu pieprasījumu apjoma kontroles un anomāliju identificēšanas mehānismu.
Satiksmes ministrijas valsts sekretāra vietnieks Kaspars Bērziņš sacīja: “Šīs aizsardzības nebija, līdz ar to kiberuzbrucējam bija vieglāk darboties. Tāpat mēs atklājām to, ka ir bijušas kiberdrošības pārbaudes dažādas, dažādi auditi, bet ir jautājums, vai tie ir bijuši pietiekami efektīvi. Nu, protams, kā teikt tagad varētu teikt, ka nav bijuši efektīvi, bet nu mēs, teiksim, vērtēsim, vai viņi ir bijuši pietiekami efektīvi jau pirms tam, vai to varēja novērtēt.”
Vienlaikus komisija secinājusi, ka neatkarīgi no sākotnējās ievainojamības rašanās iemesla no profesionāla drošības monitoringa pakalpojuma sniedzēja parasti tiek sagaidīts, ka tas spēj savlaicīgi identificēt un ierobežot neparastu, ilgstošu datu aktivitāti, lai nepieļautu tik ilgstošu un plaša mēroga datu izgūšanu. CSDD pēc incidenta konstatēšanas ir izpildījusi normatīvajos aktos noteiktos ziņošanas pienākumus attiecībā uz kompetentajām valsts institūcijām noteiktajos termiņos.
CSDD jau ieviesusi uzlabojumus
Komisijas ziņojumā uzskaitīti ieteikumi CSDD kiberdrošības stiprināšanai – novērst konstatētos kiberdrošības un datu aizsardzības riskus, izvērtēt datu glabāšanas termiņus, nodrošināt pietiekamu kiberdrošības funkcijas kapacitāti, pārskatīt un pilnveidot līgumu ar SIA “Tet” un ieviest sistēmu, kā šādi ārpakalpojumu tiek pārvaldīti.
Komisija nevērtēja iespējamo CSDD amatpersonu atbildību, tā ir tiesībsargājošo institūciju kompetence. Izvērtēšanas ziņojums un materiāli tiks nosūtīti tiesībsargājošām institūcijām.
“Šī izmeklēšana ir bijusi divas trīs nedēļas, tad būtībā ir jāuzskata, ka Satiksmes ministrijas ziņojums ir, tā teikt, tāds virspusējs, kas nosaka, un tajā secināts, ka viena atbildīgā šajā kiberincidentā nav, un ir jāvērtē arī citu iesaistīto pušu atbildība,” sacīja CSDD pārstāvis Mārtiņš Mālmeisters.
CSDD veic arī iekšēju izmeklēšanu. Valsts policija sāktajā kriminālprocesā turpina izmeklēšanu. Arī Ģenerālprokuratūrā sākta prokurora pārbaude par iespējami pieļautiem pārkāpumiem vai nolaidību.
CSDD pārstāvis norādīja, ka liela daļa IT drošības uzlabošanas darbu jau ir paveikti:
“Skaidrs, ka viens cilvēks neatbild par visu. Tas ir komandas darbs un, protams, ir pieļautas, iespējams, kādas cilvēciskās kļūdas, ka kaut kas ir varbūt piemirsts, vai nav izdarīts līdz galam. Bet šobrīd teikt, ka ir kaut kāda cilvēciskā vienas personas atbildība, protams, ka to nevar teikt.”
2026. gada augustā notikušā kiberuzbrukuma rezultātā tika iegūti aptuveni 1,15 miljonu fizisko personu un līdz 200 tūkstošu juridisko personu dati no CSDD Transportlīdzekļu un to vadītāju valsts reģistra. Vienlaikus CSDD pakalpojumu darbība netika pārtraukta, uzbrukumā izmantotie piekļuves kanāli ir identificēti un bloķēti, bet incidenta izmeklēšana turpinās sadarbībā ar CERT.LV un tiesībsargājošajām iestādēm.
KONTEKSTS:
Augusta pirmajā pusē kiberuzbrukumā CSDD informācijas tehnoloģiju (IT) sistēmai hakeriem izdevies nesankcionēti iegūt 1,2 miljonu cilvēku personas datus un apmēram 150 000 juridisko personu reģistrācijas numurus. Dati iegūti no direkcijai veiktajiem maksājumiem pēdējo 18 gadu laikā.
Kiberincidentu novēršanas institūcija “Cert.lv” norādīja, ka uzbrukumam izmantota ievainojamība internetam pieejamā CSDD sistēmā. Turklāt nebija ievērotas vairākas obligātās kiberdrošības prasības. Ziņas par kiberincidentu saņemtas novēloti.
Valsts policija sākusi kriminālprocesu par kiberuzbrukumu, savukārt Valsts kancelejas Krīzes vadības centram sadarbībā ar “Cert.lv” uzdots izveidot CSDD kiberincidenta seku novēršanas darba grupu. CSDD amatpersonu atbildību par datu noplūdi pārbaudīs arī Ģenerālprokuratūra.
Incidenta dēļ atkāpusies visa CSDD vadība.
Izraudzīta CSDD pagaidu padome Latvijas Valsts radio un televīzijas centra (LVRTC) valdes priekšsēdētāja Ģirta Ozola vadībā, ievēlēta arī CSDD pagaidu valde, tādējādi nodrošinot uzņēmuma nepārtrauktu darbību un pārvaldību līdz pastāvīgas valdes ievēlēšanai. Par pagaidu valdes priekšsēdētāju ievēlēts Juris Teteris, bet par valdes locekli – Aivis Ozoliņš.
