Kiberuzbrukums CSDD noticis caur pašas iestādes pārziņā esošu lietotni "med.csdd.lv"

Kiberuzbrukums Ceļu satiksmes drošības direkcijai (CSDD) noticis caur pašas iestādes pārziņā esošu lietotni "med.csdd.lv", kuras kiberuzraudzība nav SIA "Tet" pārziņā, piektdien pēc tikšanās ar "Tet" padomi un valdi, kā arī publisko aktīvu pārvaldītāju "Possessor" medijiem sacīja ekonomikas ministrs Viktors Valainis (ZZS).

Proti, lietotne ir ārpus "Tet" līgumā noteiktās un veiktās uzraudzības jomas.

Atbilstoši noslēgtajam līgumam "Tet" pārvalda CSDD tīkla resursus, pieslēgumus, infrastruktūru un monitorē datu plūsmu. Vienlaikus tehnoloģiju uzņēmums nav kiberdrošības nodrošinātājs paša CSDD izstrādātajiem servisiem un lietotnēm, aģentūru LETA informēja "Tet".

Pirmie "Tet" iekšējās izmeklēšanas rezultāti liecina, ka kiberuzbrukums īstenots caur CSDD pārziņā esošu lietotni, kuras programmatūra un kiberaizsardzība nav tehnoloģiju uzņēmuma pārziņā. Tajā pašā laikā datu plūsmas monitorings no "Tet" puses līgumā noteiktajā atbildības jomā tika veikts nepārtraukti, taču uzņēmumam uzbrukumu nebija iespējams konstatēt, jo datu plūsmas noslodze nav parametrs, kas norāda uz kiberincidentu.

"Tet" esošajā līgumā netika nodota pieeja CSDD "med.csdd.lv" lietotnes žurnālfailiem, kas neļāva konstatēt incidentu.

Valainis norādīja, ka valsts iestādēm ir jāstiprina gatavība kiberdraudiem, jo kiberaizsardzībai jākļūst par vienu no būtiskākajām valsts prioritātēm. Viņš norādīja, ka regulāri ir jāizvērtē informācijas sistēmu drošība un jāstiprina kompetence, kā arī šajā darbā būtiska ir nozares ekspertu iesaiste.

Ministrs sacīja, ka CSDD veiktajā pasūtījumā drošības līmenis bijis noteikts daudz zemāks un valsts uzņēmumā ar ieviestajām minimālajām prasībām kiberdrošības jomā vairs nepietiek, tādēļ, viņaprāt, ir jāpārskata arī pārejas periodi kiberdrošības prasību ieviešanai.

"Tet" izpilddirektors Uldis Tatarčuks papildināja, ka šī incidenta mācībām jānoved pie konkrētām pārmaiņām valsts kiberdrošības stiprināšanā, plašāk iesaistot nozares profesionāļus kritiskās infrastruktūras aizsardzībā. Viņš norādīja, ka līdzšinējie secinājumi skaidro "Tet" atbildības tvērumu, taču tie nemaina "Tet" apņemšanos palīdzēt CSDD mazināt turpmākos riskus.

Viņš sacīja, ka "Tet" ir klienti gan no valsts sektora, gan no Ukrainas, jo šīs valsts kritiskā infrastruktūra atrodas "Tet" datu centros, kurai uzbrūkot vēl vairāk, kā arī "Tet" tehnoloģiski aizsargā Saeimu, tādēļ "Tet" ir nopietna atbildība un speciālistiem "vienmēr ir jābūt labā formā".

Jautāts, vai "Tet" piedalīsies nākamā perioda CSDD iepirkumā par informācijas tehnoloģiju infrastruktūras uzturēšanu, Tatarčuks sacīja, ka tā nav šīs nedēļas prioritāte, jo speciālisti strādā ar incidentu, tomēr no šī incidenta varot mācīties, kā labāk būvēt sistēmas un kā definēt atbildības līgumos.

"Ir bijušas iespējas veikt darbības, lai uzlabotu kiberdrošību, gan sadarbībā ar "Cert.lv", gan uzlabojot platformas ar divfaktoru autentifikāciju. Nav nopietni skatīties, ka likums ļauj piecus gadus pārejas periodā neuzstādīt aizsardzību, jo tā bija jāuzstāda visām sistēmām jau pirms trim gadiem," viņš uzsvēra.

"Tet" turpinās dalīties pieredzē, lai kopā ar šo un citām valsts iestādēm stiprinātu gatavību kiberdraudiem, kā arī laikus pamanītu un novērstu līdzīgus uzbrukumus.

Kopš CSDD brīdināja "Tet", tehnoloģiju uzņēmums sadarbībā ar klientu ir nekavējoties rīkojies. "Tet" pārvaldītajā infrastruktūrā ir mainīti uzbrukumu atklāšanas sliekšņi, kas nozīmē, ka potenciālus draudus iespējams pamanīt ātrāk, kā arī pastiprināts monitorings. Šie parametri tiek regulāri pielāgoti atbilstoši aktuālajai apdraudējuma situācijai un pieejamajai informācijai.

Jau ziņots, ka Valainis uzdeva "Possessor" valdei kopā ar telekomunikāciju un tehnoloģiju uzņēmuma "Tet" padomi sagatavot ziņojumu par "Tet" rīcībā esošo informāciju saistībā ar CSDD kiberincidentu.

Ministru prezidents Andris Kulbergs (AS) sociālajos tīklos ceturtdien vēstīja, ka ielaušanās notika, izmantojot CSDD "Medical" platformu, kuru aptuveni 200 ārstu izmanto medicīnisko izziņu ievadīšanai transportlīdzekļu vadītājiem.

Viņš norādīja, ka CSDD "Medical" piekļuve bija iespējama ar lietotājvārdu un paroli, vienlaikus piebilstot, ka CSDD bija jābūt drošai daudzfaktoru autentifikācijai.

Kulbergs atzīmēja, ka CSDD bija līgums ar "Tet" par serveru un pieslēguma kiberdrošību, bet ne par pašas CSDD lietotnes un programmatūras aizsardzību.

Informācija Elektronisko iepirkumu sistēmā (EIS) liecina, ka 2022. gada februārī noslēgtajā līgumā sākotnējā līgumsumma CSDD atklātajā konkursā par transportlīdzekļu un to vadītāju valsts reģistra informācijas tehnoloģiju infrastruktūras nodrošināšanas un pārvaldības pakalpojumiem ar "Tet" bija 8,989 miljoni eiro bez pievienotās vērtības nodokļa (PVN).

"Tet" tika piešķirtas līguma slēgšanas tiesības, jo tās piedāvājums tika atzīts par saimnieciski izdevīgāko, iegūstot augstāko punktu skaitu - 85 punktus no 100 iespējamajiem. Tostarp par piedāvājuma cenu "Tet" saņēma maksimālo iespējamo punktu skaitu - 40, bet piedāvājuma risku novērtējumam tika piešķirti 45 punkti no 60 iespējamajiem.

Savukārt 2025. gada pavasarī kopējā līgumsumma palielināta līdz 9,043 miljoniem eiro bez PVN.

Jau ziņots, ka kiberuzbrukumā CSDD augusta sākumā iegūti 1,2 miljonu cilvēku personas dati un aptuveni 200 000 juridisko personu dati. Dati iegūti no direkcijai veiktajiem maksājumiem pēdējo 18 gadu laikā.

Pēc vairāku amatpersonu aicinājuma atkāpties no amatiem šodien šādu lēmumu pieņēma gan CSDD valde, gan padome.

Vienlaikus satiksmes ministrs Rihards Kozlovskis (JV) ierosinājis dienesta izmeklēšanu, kas jāveic paātrinātā kārtībā, lai noskaidrotu visus apstākļus un atbildīgos saistībā ar notikušo kiberuzbrukumu un apjomīgo datu noplūdi. Izmeklēšanā cita starpā jāvērtē arī CSDD līgums ar "Tet" par kiberdrošības pakalpojumu sniegšanu. Kozlovskis trešdien žurnālistiem norādīja, ka par šiem pakalpojumiem CSDD ik mēnesi maksā būtisku summu.

Savukārt Valsts prezidents Edgars Rinkēvičs nosūtījis vēstuli ģenerālprokuroram, lūdzot Prokuratūras likumā paredzētajā kārtībā pārbaudīt CSDD amatpersonu rīcību datu drošības nodrošināšanā.

CSDD ir valsts akciju sabiedrība. Direkcija reģistrē transporta līdzekļus Latvijā, izsniedz vadītāju apliecības, veic automašīnu tehnisko apskati un sniedz citus pakalpojumus. Direkcijas kapitāldaļu turētājs ir Satiksmes ministrija.