ĪSUMĀ:
Divas Latvijas bankas – “Swedbank” un SEB, trīs apdrošinātāji – ERGO, “Compensa” un “Artea”, pakalpojumu sniedzēji – “Barbora”, “CityBee”, “Porsche”, “DEPO”, “Akropolis” un “Autoplius”, kā arī lidsabiedrība “airBaltic” izmantoja “CSC Telecom” pakalpojumus, lai sūtītu saviem klientiem informatīvas īsziņas. Īsziņu datubāzē bija arī klientu tālruņu numuri. Ievainojamību atklājuši kiberdrošībai veltītā portāla “CyberNews” žurnālisti.
Pēc viņu izpētītā, – uzbrucēji varēja pārtvert lietotāju autentifikācijas kodus, paroļu atjaunināšanas saites un citu privāto informāciju vēl pirms šo īsziņu izlasa tās saņēmējs.
Žurnālisti publiskojuši ekrānšāviņus ar to, kas tieši bijis redzams. Piemēram, saziņa ar “Swedbank” – redzams verifikācijas kods paroles nomaiņai, ienākošie, izejošie darījumi, konta atlikums un vēl citas detaļas. Datubāze tikusi atjaunināta reāllaikā, kas nozīmē, ka šo informāciju varēja pārtvert vēl pirms to izlasa pats bankas klients.
Datubāze nebija brīvi pieejama ikvienam
Kiberincidentu novēršanas institūcijas “Cert.lv” eksperts Gints Mālkalnietis skaidroja, ka šobrīd nevar droši pateikt, ka datubāzei nebija piekļuvuši arī kādi noziedznieki, bet izmeklēšana turpinās.
Ievainojamība datubāzē nebija atklāta vairākus mēnešus. Tomēr tā nebija brīvi pieejama ikvienam interneta lietotājam.
“Ne gluži ikviens varēja piekļūt pie šīs datubāzes. Tie, kas ļoti precīzi zināja tās IP adresi un izmantoto TCP portu. [..] Lai piekļūtu, bija jāzina, kāda ir šī noklusējuma parole un ar to varēja piekļūt šai vietnei un ieraudzīt izziņas,” skaidroja Mālkalnietis. “Tas var neradīt tiešu un tūlītēju apdraudējumu, bet, protams, var atklāt klienta datus par viņa iepirkšanās ieradumiem vai ceļošanas paradumiem, ko krāpnieki varētu izmantot, lai veidotu, teiksim, kaut kādas pielāgotas uzrunas krāpnieku vārdā.”
Eksperts pieļāva, ka, mainot drošības iestatījumus vai atjaunojot sistēmu, netika veikta pienācīga drošības pārbaude. Tāpēc arī radusies šī ievainojamība.
“Katrā ziņā notikums ir nepatīkams, kas kārtējo reizi norāda uz to, ka uzņēmumam pašam ir jārūpējas par tiem servisiem, kas pieejami internetā no viņa tīkla. Un jāveic preventīvas darbības, lai uzraudzītu un atklātu šādus servisus, kas nonāk internetā kādu kļūdu rezultātā,” sacīja Mālkalnietis.
Uzņēmums novērsis nepilnības; policijā sākta resoriskā pārbaude
“CSC Telecom” ziņo, ka nepilnība ir novērsta un piekļuve datubāzei ir slēgta. Uzņēmumam pagaidām nav ziņu par datu ļaunprātīgu izmantošanu.
Šobrīd novērtē incidenta ietekmi, lai izvērtētu, vai atbilstoši regulējumam ir jāziņo Datu valsts inspekcijai.
“Mums bija komunikācija iepriekš ar “Cybernews”, viņi paziņoja par ievainojamību, kura tika likvidēta. Mēs pārliecinājāmies, ka klientu dati nav noplūduši, nav kopēti un ir drošībā. Tāpat viņi ir veikuši pētniecību un skatījušies, vai šie dati varētu būt kaut kur arī publiski pieejami, kam nav guvuši apliecinājumu. Līdz ar to šobrīd secinām, ka visi dati ir drošībā,” norādīja SIA “CSCTelecom” komercdirektors Jānis Strumpmanis.
Valsts policija informēja Latvijas Televīziju, ka saistībā ar datu noplūdi pēc savas iniciatīvas ir uzsākusi resorisko pārbaudi un strādā ciešā sadarbībā ar “Cert.lv”, lai noskaidrotu apstākļus.
Strumpmanis sacīja, ka incidenta iemesli vēl tiek skaidroti: “Bija atvērts viens ports, kurš ir aizvērts. Bija ievainojamība, kura tika novērsta.”
Datu noplūdes kontekstā ports ir virtuāls savienojuma punkts tīklā, caur kuru datori un serveri apmainās ar informāciju. To varēja izmantot kā caurumu, lai piekļūtu sistēmai un datiem.
Visi iepriekš minētie dati nepareizo personu rokās var būt īpaši bīstami, jo ļaundari var paspēt nomainīt paroles un piekļuves, pirms to izdara pats bankas klients.
Kā arī, iegūstot informāciju par cilvēku, ir vieglāk sūtīt krāpnieciskas ziņas, kas izklausās ticamākas. Piemēram, krāpnieks zina, kur un kad cilvēks plāno lidot vai īrēt viesnīcu. Taču informācija, ko par personu var iegūt, savelkot kopā datus četru gadu griezumā, ļauj par cilvēku uzbūvēt detalizētu profilu – kur viņš iepērkas, kur ceļo un cik daudz naudas tērē.
Bankas: Risku klientu līdzekļiem vai internetbankai nav
“SEB bankas” atklātā pensiju fonda valdes priekšsēdētāja Anna Dovbiša norādīja, ka tikai fonds, nevis visa banka, ir izmantojis šos “CSC Telecom” pakalpojumus. Klientiem tika sūtītas vispārīgas ziņas saistībā ar pensiju trešo līmeni.
“Mēs bijām nodevuši klientu tālruņa numurus, jo bez tiem pakalpojumu nevarēja izmantot. Diemžēl no pakalpojuma sniedzēja nesaņēmām informāciju par šo incidentu, tāpēc esam jau rīkojušies un pieprasījuši viņiem atklāt ar to saistīto informāciju.”
Konkrētais incidents neapdraud klientu līdzekļus vai citu informāciju, sacīja Dovbiša. Banka vērsusies Datu valsts inspekcijā.
“Swedbank” Komunikācijas daļas vadītāja Kristīne Čekstere stāstīja, ka banka joprojām izmeklē šo incidentu, bet šobrīd nav tiešu risku, ka kāds varētu piekļūt klientu naudai vai internetbankai. Sadarbība ar “CSC Telecom” ir apturēta, sacīja “Swedbank” pārstāve. Klientus aicina šobrīd būt uzmanīgiem un kritiski izvērtēt gan saņemtās īsziņas, gan zvanus un e-pastus, lai izvairītos no krāpšanas riska.
Ja tas ir iespējams, “Swedbank” klientiem iesaka pāriet no īsziņām uz paziņojumiem mobilajā lietotnē, kas ir drošāki.
Aicina kritiski izvērtēt ienākošās īsziņas
“airBaltic” Sabiedrisko un politisko attiecību vadītājs Augusts Zilberts norādīja, ka incidenta izvērtēšana turpinās. Viens no pakalpojumiem, kas varētu būt ietekmēts, ir īsziņu paziņojumu sūtīšana ar uzaicinājumu reģistrēties lidojumam, bet lidsabiedrība šo pakalpojumu pārtrauca jau pirms pusotra gada. Incidenta izvērtēšana gan vēl turpinās, tāpēc šobrīd ir pāragri spriest par iespējami skarto datu apjomu vai klientu skaitu, sacīja Zilberts.
Arī “airBaltic” pārstāvis aicināja klientus būt vērīgiem pret ienākošajām ziņām un uzmanīties no krāpnieku darbībām.
Apdrošinātāja “Ergo” Pārdošanas departamenta direktors Guntis Podračiks norādīja, ka uzņēmums sācis situācijas pārbaudi, sazinoties ar “CSC Telecom”, un gaida sīkāku informāciju par incidentā ietekmētajiem datiem. Viņš pastāstīja, ka uzņēmuma pakalpojumus izmantoja, lai sūtītu klientiem, piemēram, atgādinājumus par polišu beigu termiņiem.
Datu valsts inspekcija sākusi pārbaudi
Datu valsts inspekcija nav saņēmusi ziņas personas datu aizsardzības pārkāpumu. Saskaņā ar Datu regulu par šādu incidentu būtu bijis jāpaziņo inspekcijai. Tā tagad sākusi pārbaudi pēc savas iniciatīvas.
“Nu acīmredzami nav kārtībā, vismaz pēc tā, kas ir rakstīts šajos portālos. Arī tie ekrānšāviņi liecina par to, ka personas dati tur ir skarti. Līdz ar to mums ir jāsaprot tas apmērs un tas, kurš ir atbildīgs,” sacīja Datu valsts inspekcijas direktor pienākumu izpildītāja Lāsma Dilba.
Mudina pieteikties paziņojumiem lietotnēs
IT drošības uzņēmumu grupas “Possible Security” vadītājs Kirils Solovjovs sarunā ar Latvijas Radio tiem, kuri vēlas parūpēties par savu drošību, ieteica saņemt paziņojumus lietotnēs, nevis īsziņās:
“Jo īsziņas nekad nav drošs kanāls.
Šeit mēs runājam par to, ka ir noplūdusi kāda daļa īsziņu, bet jāsaprot, ka jebkura īsziņa principā ir gandrīz vai publiski pieejama – atkarībā no uzbrucēju vēlmes un spējām.”
Ieteicams arī nomainīt paroles, īpaši internetbanku, e-pasta un to kontu paroles, kuros izmantota divu faktoru autentifikācija ar SMS palīdzību.
Datu valsts inspekcija līdz šim nav saņēmusi datu aizsardzības pārkāpuma paziņojumu no “CSC Telecom”. Iestāde sola sākt pārbaudi pēc savas iniciatīvas.
