CSDD ielaiduši pamatīgu problēmu

Kiberuzbrukumā Ceļu satiksmes drošības direkcijai (CSDD) iegūti 1,2 miljonu cilvēku personas dati un apmēram 200 000 juridisko personu dati.

Tā otrdien žurnālistiem atklāja kiberincidentu novēršanas institūcijas "Cert.lv" vadītājas vietnieks Varis Teivāns. Dati iegūti no direkcijai veiktajiem maksājumiem pēdējos 18 gados.

CSDD un "Cert.lv" vērš sabiedrības uzmanību uz iespējamiem krāpniecības riskiem un aicina būt īpaši piesardzīgiem, saņemot ziņojumus, e-pastus vai telefona zvanus, kas šķietami nosūtīti CSDD vai citu iestāžu vārdā. Tāpat iedzīvotāji tiek aicināti neatvērt saņemtajos ziņojumos vai e-pastos norādītās saites, bet aktuālo informāciju par CSDD saziņu pārbaudīt vietnē "e.csdd.lv" vai CSDD mobilajā lietotnē.

Teivāns uzsvēra, ka incidents notika sestdienas, 8. augusta, naktī, tomēr CSDD par incidentu "Cert.lv" paziņoja pirmdienas, 10. augusta, vakarā, kas ir skaidrojams ar to, ka incidents notika brīvdienās. Tomēr viņš uzsvēra, ka "Cert.lv" redzamība šajā infrastruktūrā nav bijusi, jo CSDD izvēlējās atteikties no "Cert.lv" pakalpojumiem. "Tas tika pamatots ar CSDD spējām, tādēļ tāda agrīna pamanīšana no valsts viedokļa nebija iespējama," skaidroja Teivāns. Viņš norādīja, ka kiberuzbrukuma iemesls ir ievainojamība CSDD uz internetu pieejamā informācijas sistēmā, kura netika novērsta un, pēc pašreizējās informācijas, netika arī konstatēta iepriekš. Viņš sacīja, ka izmeklēšanas gaitā konstatēts, ka nav ievērotas vairākas Ministru kabinetā noteiktās prasības, piemēram, A klases sistēmām jābūt ielaušanās testiem un autentifikācijai ar vairākiem faktoriem.

"Maksājuma informācija, piemēram, banku konti vai cita informācija, kas radītu tūlītējus draudus sabiedrībai, piemēram, naudas zaudējumus, nav konstatēta, taču riski, šai informācijai nonākot uzbrucēja rokās, tomēr ir," teica Teivāns. Kā piemēru viņš minēja, ka ir jāuzmanās tādos autentifikācijas risinājumos kā, piemēram, "e-paraksts" un "Smart ID", kuros lietotāja vārds nereti ir personas kods. Tādēļ iedzīvotājiem jāpievērš uzmanība gadījumiem, kad parādās autentifikācijas process mobilajā ierīcē, ko lietotājs nav iniciējis.

Ministru prezidents Andris Kulbergs sacīja, ka situācija esot daudz nopietnāka, nekā tas esot ticis pasniegts līdz šim. Viņš pauda uzskatu, ka CSDD gadījumā nav pietiekami ņemts vērā gadījums ar AS "Latvijas valsts meži", kas arī nesen piedzīvoja apjomīgu kiberuzbrukumu. Premjers minēja, ka CSDD esot piemērs tam, kā problēma kārtējo reizi esot ielaista un bijusi bezatbildīga izturēšanās pret iedzīvotāju datiem.

Kulbergs piebilda, ka starp uzbrukumu LVM un uzbrukumu CSDD ir viena ļoti būtiska atšķirība. Proti, CSDD gadījumā uzbrucējs sevi nav identificējis, un šie dati nekur nav parādījušies. "Tāpēc mēs nevaram izslēgt, ka šis uzbrukums ir hibrīduzbrukums, kas ir citas valsts, mums naidīgas valsts, veikta operācija," teica premjers.

Krīzes vadības centrs šobrīd esot noteikta kā atbildīgā iestāde, kurai kopā ar "Cert.lv" un CSDD būs jāveic seku likvidēšana. Tam tiks izveidota darba grupa. Tāpat "Cert.lv" un Satversmes aizsardzības birojam būs jāizvieto sensori uz A kategorijas infrastruktūras. "Četrus mēnešus "Cert. lv" strādāja ar CSDD, lai noslēgtu līgumu par šādu sensoru izvietošanu. Mums neizprotamu apstākļu dēļ CSDD nav izvēlējies šo ceļu," teica Kulbergs.

Kulbergs pauda uzskatu, ka CSDD valdei un padomei būtu "jānes pilna atbildība" par notikušo, tādēļ viņš uzdevis satiksmes ministram vērtēt CSDD valdes un padomes atbilstību amatiem.

CSDD valdes priekšsēdētājs Aivars Aksenoks neplāno atkāpties no amata. "Patlaban no CSDD valdes puses nesaskatu pārkāpumus," teica Aksenoks. Šis esot komplicēts jautājums, jo CSDD informācijas tehnoloģiju darbs ir jāskata kopumā. CSDD reģistrs esot ļoti komplicēts, jo tas nodrošina daudz pieslēgumu vairākiem desmitiem dažādu institūciju. Atbildot uz to, ka nav ievērotas vairākas valdības noteikumos noteiktās prasības, Aksenoks sacīja, ka CSDD pakāpeniski šīs drošības pārbaudes sakārto. "Tas nav tā kā uzsist knipi, jo minētie MK noteikumi tika pieņemti pagājušajā gadā, bet viņiem nebija pārejas perioda. Pie tā tiek strādāts, bet tas nav iespējams vienā mirklī," atbildēja Aksenoks.