VIDEO ⟩ Kiberuzbrukums vai kļūda? Raidījums pēta iedzīvotāju personas datu noplūdi no Vienotās pašvaldību informācijas sistēmas

Dažās dienās oktobra beigās un novembra sākumā no pašvaldību informācijas sistēmas noplūda ievērojams datu apjoms. Atsevišķas personas bija piekļuvušas gandrīz visu Latvijas pašvaldību iedzīvotāju vārdiem, uzvārdiem, personas kodiem un deklarētajām adresēm, kā arī dažu pašvaldību darbinieku datiem un dokumentu aprakstiem jeb meta datiem.

Par incidentu paziņoja skartās IT sistēmas izstrādātājs "ZZ Dats". "Būtiski uzsvērt, ka tas nebija kiberuzbrukums vai kaut kāda uzlaušana," saka uzņēmuma direktors Edžus Žeiris. Viņš skaidro, ka pēc sistēmas atjaunināšanas bija palikusi sprauga, un caur to personas no malas piekļuva iedzīvotāju datiem.

Video: "De facto" sižets

"Atjauninot versijas, bieži vien var rasties kaut kādas tehniskas kļūdas. Tieši tāpat ir šajā gadījumā. Atjauninot versiju, tā saucamajos ugunsmūros ir bijusi tehniska kļūme, kura ir novērsta 2.novembrī," stāsta Žeiris.

"ZZ Dats" vadītājs uzsver, ka nokopēta neliela daļa no visiem sistēmā glabātajiem datiem. Dokumentu faili nav skarti, bet iegūti dati, ko izmanto kā atslēgas vārdus informācijas meklēšanai – vārdi, uzvārdi, personas kodi, adreses. "Lai arī tas nebija kiberuzbrukums, šie dati nestāvēja vienkārši uz ielas. Datus bija mērķtiecīgi, ar speciālām metodēm jāvāc. Tāpēc tas ir kiberincidents, un te ir vieta izmeklēšanai un tiesībsargājošām iestādēm. Arī tad ja dati stāv uz ielas, tā ņemt viņus nevar," viņš atzīmē.

Tiek pieņemts, ka personas no malas piekļuvušas iedzīvotāju datiem no visām pašvaldībām, izņemot Rīgu. Galvaspilsētas infrastruktūra izvietota citur. Vietvaras pagaidām nav informētas, cik dati ir iegūti no katras pašvaldības.

"Tas ir ļoti liels incidents Latvijas mērogam. Protams, pasaules mērogā ir krietni lielāki incidenti, bet, ja mēs skatāmies uz Latviju, tad varbūt, jā, šobrīd viņš būs vislielākais," vērtē Datu valsts inspekcijas direktore Jekaterina Macuka.

Inspekcijas vadītāja stāsta, ka pirms tam lielākais incidents datu noplūdes ziņā bijis vīrusa uzbrukums namu apsaimniekošanas uzņēmumam "Civinity". Taču viņa var salīdzināt tikai tos gadījumus, par kuriem iestādei paziņots: “Es tomēr gribu ticēt, ka kompānijas paziņo. Protams, ja viņi nepaziņos un pēc tam tas taps skaidrs, pirmām kārtām, viņi saskaras ar iespējamiem sodiem, lieliem sodiem un, otrām kārtām, arī ar reputācijas zaudēšanu."

Kas Latvijas iedzīvotāju datus ieguvis, pagaidām nav zināms. Redzams, ka piekļuve notikusi, slēpjoties aiz starpniekserveriem. Izmeklētājiem tagad jācenšas iegūt papildu informāciju no šo VPN servisu nodrošinātājiem.

"Par Krievijas iesaisti šeit ir pāragri spekulēt. Nekas šobrīd no tehniskās informācijas par to neliecina. Līdz ar to ir jāsagaida, kā veiksies tālāk izmeklēšana arī tiesībsargājošām iestādēm," pauž kiberincidentu novēršanas institūcijas CERT.lv direktores vietnieks Varis Teivāns.

Ir gan diezgan skaidrs, ka tie nav bijuši nekādi drošības pētnieki, kas meklētu sistēmas ievainojamību labticīgos nolūkos, lai pēc tam par to paziņotu. "Šajā gadījumā mēs par tādu pieeju nevaram runāt, jo ir acīmredzami centieni bijuši iegūt tos datus pēc iespējas vairāk. Šeit par to pretlikumīgo nolūku noteikti ir indikācijas," saka CERT.lv pārstāvis.

Oktobrī reģistrēts vēsturiski augstākais kiberapdraudējuma līmenis. Gan turpinās centieni iegūt iedzīvotāju maksājumu karšu datus, gan bijuši uzbrukumi, lai piekļūtu sensitīvai informācijai organizāciju tīklos vai nošifrētu iekārtas, pieprasot izpirkuma maksu.

Kāpēc lai kādam būtu vajadzīgi Latvijas iedzīvotāju personas kodi un adreses? Viena no nepatīkamām, bet ticamām versijām ir - lai pārdotu šo informāciju potenciālajiem krāpniekiem tā sauktajā melnajā tirgū.

"ZZ Dats" direktors Žeiris atvainojas iedzīvotājiem, ja notikušais izraisīs pārdzīvojumus. Viņš aicina būt uzmanīgiem kibervidē, lai neuzķertos uz krāpnieku izliktajiem āķiem.

Taču jāņem vērā, ka notikušais ļauj turpmāk ēsmu piemeklēt precīzāk. "Lai gan tā datu kopa nav ārkārtīgi detalizēta, tā dod priekšrocību potenciāli uzbrucējam personificēt to uzrunu. Nu jau tā kā ticamāk uzrunāt šo krāpniecības upurus," domā Teivāns.

Viņam piekrīt Datu valsts inspekcijas vadītāja Macuka: "Ja, pieņemsim, tie paši krāpnieki zvanīs vai rakstīs cilvēkam, un stādīsies priekšā kā pašvaldības darbinieki vai policijas darbinieki, viņiem ir krietni vairāk iespēju, lai nomanipulētu, un izstāstītu: "Redziet, mēs zinām jūsu personas kodu. Tātad mēs esam patiesi. Vai mēs zinām, kur jūs dzīvojat. Tātad mēs esam patiesi.""

Pašvaldību IKT asociācijas vadītāja Ilze Āboliņa secina, ka pašvaldībām tagad vairāk jādomā, kā ar iedzīvotājiem runāt par notikušo, jo jautājums neesot, vai krāpnieki uzbruks, bet kad uzbruks.

Par nesankcionētu datu iegūšanu kriminālprocesu ierosinājusi Valsts policija. Datu valsts inspekcija no savas puses vērtēs sistēmas uzturētāja atbildību.

"Mēs tagad kā uzraudzības iestāde vērtēsim. Mēs, protams, uzdosim savus jautājumus, kas ir bijis pirms incidenta, ko viņi ir darījuši pirms incidenta, lai saprastu, kāpēc šī ievainojamība ir radusies. Un vai tā ir radusies paša apstrādātāja ne tik rūpīgas darbības dēļ, vai apstrādātājs bija krietns un rūpīgs saimnieks, bet ievainojamība vienalga radusies," teic Macuka, Datu valsts inspekcijas vadītāja.