No CSDD informācijas sistēmām iegūti dati par aptuveni 1,2 miljoniem iedzīvotāju un ap 200 tūkstošiem juridisku personu. CERT.LV analīze liecina, ka uzbrucējs sistēmā iekļuvis caur CSDD izmantotu tiešsaistes platformu un pēc tam pakāpeniski paplašinājis piekļuvi. Izmeklētāji pieļauj, ka uzbrucēja aktivitātes varēja skart arī citas valsts informācijas sistēmas.
CSDD kiberincidents vairs nav aplūkojams tikai kā atsevišķas datubāzes uzlaušana. Notikušais izgaismo vairākus savstarpēji saistītus jautājumus – sistēmu arhitektūru, piekļuves kontroli, ievainojamību pārbaudes, incidentu uzraudzību un institūcijas spēju laikus reaģēt uz apdraudējumu.
Uzbrukums sākās naktī no 7. uz 8. augustu. Vairākas dienas uzbrucējs varēja darboties CSDD infrastruktūrā, pirms par notikušo tika informēts CERT.LV. Tieši šis laika posms tagad ir viens no būtiskākajiem izmeklēšanas jautājumiem.
Piekļuve sākās vienā sistēmā, bet aizveda daudz tālāk
CERT.LV secinājumi liecina, ka uzbrukuma sākumpunkts bijusi internetā pieejama CSDD platforma “Medical”. To izmanto mediķi, lai elektroniski nodotu informāciju, kas nepieciešama autovadītāju veselības pārbaudēm.
Problēma nebija tikai vienā tehniskā nepilnībā. Uzbrucējam izdevies izmantot vairākus trūkumus secīgā ķēdē, tādējādi iegūstot arvien plašākas iespējas piekļūt sistēmas resursiem. Būtiska loma bijusi arī nepietiekamai sistēmu savstarpējai izolācijai. Atsevišķai publiski pieejamai lietotnei nevajadzētu nodrošināt ceļu uz datiem, kuri atrodas citā, daudz aizsargātākā infrastruktūras daļā. Šajā gadījumā šāda robeža izrādījās nepietiekami stingra.
CERT.LV norādījis arī uz nepilnībām drošības testēšanā. Sistēma nebija pietiekami pārbaudīta no potenciālā uzbrucēja skatpunkta, tādēļ ievainojamības palika neatklātas līdz brīdim, kad tās izmantoja noziedznieks.
Datu apjoms padara incidentu īpaši nopietnu
Uzbrucēja rīcībā nonāca informācija, kas saistīta ar aptuveni 1,2 miljoniem fizisku personu un aptuveni 200 tūkstošiem juridisku personu.
Dati aptver CSDD maksājumu vēsturi, turklāt sistēmās bija saglabājušies ieraksti par ļoti ilgu laika periodu. Daļa informācijas ir nepilnīga, tomēr dažādu gadu ierakstu savietošana potenciāli ļauj atjaunot trūkstošās detaļas. Noplūdušajā informācijā bijuši arī transportlīdzekļu reģistrācijas numuri, nepilnīgi personas kodi un adreses.
Šādu datu kopums noziedzniekiem var būt daudz vērtīgāks par atsevišķu personas datu ierakstu. Savstarpēji kombinējot dažādus avotus, iespējams iegūt informāciju, kas ļauj daudz precīzāk identificēt cilvēku, viņa transportlīdzekli, dzīvesvietu vai saistību ar konkrētu uzņēmumu.
Tas rada arī praktisku krāpšanas risku. Jo vairāk autentiskas informācijas krāpniekam ir par potenciālo upuri, jo vieglāk izveidot ticamu saziņas scenāriju.
Kāpēc uzbrukumu nepamanīja uzreiz?
Uzbrukums sākās 8. augustā, taču CERT.LV par incidentu tika informēts tikai 10. augusta vakarā. Starp nesankcionētas piekļuves sākumu un kiberdrošības ekspertu iesaisti bija pagājis ievērojams laiks.
Šajā periodā uzbrucējs varēja turpināt darbības sistēmā un iegūt informāciju. Izmeklēšanai tagad jānoskaidro, kādas pazīmes bija pieejamas infrastruktūras uzraudzības sistēmām un vai tās teorētiski ļāva konstatēt neparastu aktivitāti agrāk.
Atsevišķs jautājums ir par CERT.LV piedāvātajiem drošības risinājumiem. Gada sākumā CSDD bija iespēja izmantot valsts finansētus rīkus, kas paredzēti aizdomīgu aktivitāšu savlaicīgai konstatēšanai. Direkcija šo iespēju neizmantoja. Pēc kiberincidenta šādi risinājumi CSDD infrastruktūrā tika ieviesti.
Strīds par atbildības robežām
Pēc uzbrukuma uzmanība pievērsta arī CSDD sadarbībai ar “Tet”, kas vairākus gadus nodrošina daļu direkcijas IT infrastruktūras uzturēšanas funkciju. Līguma kopējā vērtība pārsniedz 9 miljonus eiro. Tomēr līgums nenozīmē, ka “Tet” pārziņā atradās visas CSDD lietotnes un to drošība.
“Tet” skaidrojis, ka kompromitētā “Medical” sistēma nebija uzņēmuma atbildības teritorijā. Vienlaikus uzņēmumam bija pienākumi saistībā ar infrastruktūru, tīklu un datu plūsmas uzraudzību.
Tāpēc izmeklēšanā būtisks būs jautājums par to, kur tieši beidzās CSDD un sākās pakalpojuma sniedzēja atbildība. Līguma interpretācija pati par sevi vēl neatbild uz jautājumu, vai konkrētas uzbrukuma pazīmes bija iespējams pamanīt.
Ziņošana par incidentu nonākusi pārbaudē
Atsevišķa pārbaude sākta par CSDD komunikāciju ar Datu valsts inspekciju. Personas datu aizsardzības pārkāpuma gadījumā iestādei noteiktos apstākļos par incidentu uzraugošā institūcija jāinformē 72 stundu laikā. Datu valsts inspekcija norādījusi, ka šis termiņš konkrētajā gadījumā netika ievērots.
Tagad jānoskaidro, kad CSDD rīcībā bija pietiekama informācija, lai secinātu, ka noticis personas datu drošības incidents, un vai turpmākā rīcība atbilda normatīvajām prasībām.
Policija meklē arī noplūdušo datu pēdas
Valsts policija kriminālprocesu sākusi pēc savas iniciatīvas. Izmeklēšanā tiek vērtēta nesankcionēta piekļuve informācijas sistēmai un citi iespējamie noziedzīgi nodarījumi.
Vienlaikus policija seko līdzi nelegālajai tiešsaistes videi, lai noskaidrotu, vai CSDD iegūtā informācija tiek piedāvāta tālāk.
Ja nozagtie dati nonāk noziedznieku rīcībā, tie var tikt izmantoti ilgstoši un dažādās shēmās – sākot ar identitātes izmantošanu un beidzot ar personalizētu krāpniecisku saziņu.
Pēc incidenta mainīta visa CSDD vadība
Kiberuzbrukuma politiskās un institucionālās sekas jau ir iestājušās. No amata atkāpās CSDD padome, vēlāk arī valde. Uzņēmuma vadības nepārtrauktībai izveidota pagaidu pārvaldības struktūra un iecelta pagaidu valde.
Vienlaikus CSDD amatpersonu rīcību izvērtē vairākas institūcijas, tostarp Ģenerālprokuratūra.
Līdz ar to izmeklēšanas loks aptver ne tikai pašu uzbrukumu. Tiek vērtēts arī tas, kā tika organizēta kiberdrošība pirms incidenta, kā tika pārvaldīti riski un kā iestāde rīkojās pēc pirmo pazīmju parādīšanās.
