Aidas Užkuraitis
Daugiau kaip pusės milijono Lietuvos gyventojų asmens duomenys atsidūrė neteisėtą prieigą gavusių asmenų rankose. Po kelis mėnesius trukusio tyrimo paaiškėjo, kad valstybės informacinėse sistemose buvo rimtų saugumo spragų. Spalio 16 dieną paskelbtos išvados atskleidė, kokie trūkumai sudarė sąlygas vienam didžiausių pastarųjų metų duomenų saugumo incidentų Lietuvoje. Dviem institucijoms pradėtos baudų skyrimo procedūros, o trečiajai skirtas papeikimas.
Šis incidentas palietė ne kelis šimtus ar kelis tūkstančius žmonių. Tyrėjų duomenimis, pavogta informacija susijusi su daugiau kaip 538 tūkstančiais gyventojų.
Tai reiškia, kad nukentėjusiųjų skaičius prilygsta nemažos Lietuvos gyventojų dalies duomenims.
Tačiau didžiausią nerimą kelia ne vien incidento mastas. Tyrimo metu paaiškėjo, kad prieiga prie jautrios informacijos galėjo būti geriau apsaugota taikant įprastas saugumo priemones.
Tyrimas baigtas: trims institucijoms – nemalonios išvados
Valstybinė duomenų apsaugos inspekcija spalio 16 dieną pranešė baigusi tyrimą dėl iš Registrų centro informacinių sistemų pasisavintų gyventojų duomenų.
Tyrimo metu buvo vertinami trijų valstybės institucijų veiksmai.
Nustatyta, kad Registrų centras ir Informatikos ir ryšių departamentas neužtikrino tinkamų asmens duomenų apsaugos priemonių.
Dėl šios priežasties abiem institucijoms nuspręsta pradėti administracinių baudų skyrimo procedūras.
Migracijos departamentui paskirta švelnesnė poveikio priemonė – papeikimas.
Svarbu pabrėžti, kad baudų skyrimo procedūrų pradžia dar nereiškia, jog galutinės piniginės baudos jau paskirtos.
Jų dydžiai kol kas nepaskelbti.
Paaiškėjo tikrasis mastas: skaičiai gerokai didesni, nei daugelis įsivaizdavo
Tyrimo išvadose pateikti konkretūs skaičiai, atskleidžiantys incidento mastą.
Nustatyta, kad buvo paveikti 678 976 Nekilnojamojo turto registro išrašai.
Šiuose dokumentuose esanti informacija susijusi su 538 226 fiziniais asmenimis.
Taip pat buvo paveikti 33 Juridinių asmenų registro išrašai, susiję su 66 asmenimis.
Šie duomenys rodo, kad incidentas apėmė ne vien pavienes paskyras ar atsitiktinius dokumentus.
Pasisavinta didelė dalis informacijos, susijusios su gyventojų nekilnojamuoju turtu ir jų asmens duomenimis.
Daliai žmonių galėjo būti atskleisti vardai, pavardės, asmens kodai, gimimo datos ir nekilnojamojo turto duomenys.
Tokios informacijos nutekinimas kelia susirūpinimą, nes ji gali būti panaudota bandant apsimesti kitu asmeniu arba vykdant sukčiavimą.
Vis dėlto pats duomenų nutekinimo faktas nereiškia, kad kiekvienas paveiktas gyventojas jau patyrė finansinę žalą.
Viskas prasidėjo nuo dviejų elektroninio pašto paskyrų
Vienas svarbiausių tyrimo atradimų susijęs su tuo, kaip neteisėtą prieigą gavę asmenys pasiekė valstybės registruose saugomą informaciją.
Nustatyta, kad pirmiausia buvo neteisėtai prisijungta prie dviejų Migracijos departamento darbuotojų elektroninio pašto paskyrų.
Per šias paskyras buvo gauta prieiga prie Nekilnojamojo turto ir Juridinių asmenų registrų.
Tai reiškia, kad nusikaltėliams nereikėjo tiesiogiai įsilaužti į kiekvieno gyventojo asmeninę paskyrą.
Pakako pasinaudoti pažeidžiamomis institucijų prieigos sistemomis.
Tyrimo metu paaiškėjo, kad kai kurios saugumo priemonės, galėjusios sumažinti tokio incidento riziką, nebuvo tinkamai įgyvendintos.
Saugumo spragos, kurios galėjo kainuoti labai brangiai
Informatikos ir ryšių departamento veikloje nustatyti elektroninio pašto sistemos prieigos kontrolės trūkumai.
Inspekcijos duomenimis, nebuvo taikomas kelių veiksnių tapatybės patvirtinimas, dar vadinamas MFA.
Ši apsaugos priemonė padeda sumažinti riziką, kad pašalinis asmuo prisijungs prie paskyros vien sužinojęs jos slaptažodį.
Taip pat nustatyta, kad nebuvo įdiegtos papildomos prieigos kontrolės priemonės, o paskyrų kompromitavimo rizika buvo įvertinta netinkamai.
Registrų centre tyrėjai taip pat aptiko reikšmingų saugumo trūkumų.
Nustatyta, kad nebuvo tinkamai taikomas kelių veiksnių tapatybės patvirtinimas ir IP adresų filtravimas.
Be to, slaptažodžių kontrolė bei naudotojų užklausų stebėsena buvo nepakankamos.
Tai reiškia, kad sistemose trūko priemonių, skirtų ne tik užkirsti kelią neteisėtai prieigai, bet ir laiku pastebėti įtartinus veiksmus.
Atskleistas dar vienas pažeidimas: žmonės nebuvo laiku perspėti
Tyrimas atskleidė ne tik techninius saugumo trūkumus.
Paaiškėjo, kad Registrų centras apie incidentą laiku nepranešė nei Valstybinei duomenų apsaugos inspekcijai, nei paveiktiems gyventojams.
Tai itin svarbi aplinkybė.
Kai nuteka asmens duomenys, laiku gautas perspėjimas gali padėti žmogui imtis papildomų atsargumo priemonių.
Pavyzdžiui, atidžiau vertinti neįprastus pranešimus, tikrinti įtartinus prašymus pateikti informaciją ar stebėti galimus bandymus pasinaudoti jo tapatybe.
Tyrėjų išvadose pažymėta, kad pranešimo apie incidentą tvarka taip pat nebuvo tinkamai užtikrinta.
Kodėl Migracijos departamentas sulaukė tik papeikimo?
Tyrimo metu nustatyti ir Migracijos departamento veiklos trūkumai.
Paaiškėjo, kad prašydamas suteikti savo darbuotojams prieigą prie registrų, departamentas nenurodė konkrečių išorinių IP adresų, iš kurių bus jungiamasi.
Tai reiškia, kad nebuvo išnaudotos visos galimos priemonės, galėjusios sumažinti neteisėtos prieigos riziką.
Tačiau įvertinusi nustatytų pažeidimų pobūdį ir kitas aplinkybes, inspekcija šiai institucijai skyrė papeikimą.
Registrų centro ir Informatikos ir ryšių departamento atžvilgiu pasirinkta griežtesnė procedūra.
Galutinis baudų dydis turės būti nustatytas atskirai.
Ar gyventojai gali tikėtis kompensacijų?
Duomenų nutekinimo istorija jau turi ir kitą svarbų tęsinį.
Dalis paveiktų gyventojų nusprendė teisinėmis priemonėmis siekti neturtinės žalos atlyginimo.
Spalio 12 dieną paskelbta, kad prie grupinio skundo dėl Registrų centro duomenų saugumo incidento prisijungė apie 2,5 tūkstančio pareiškėjų.
Bendra jų reikalaujama neturtinės žalos atlyginimo suma viršija 12 milijonų eurų.
Tai reikšminga suma, tačiau svarbu atskirti pareikštus reikalavimus nuo teismo priteistos kompensacijos.
Šiuo metu tai yra gyventojų reikalaujamas atlyginimas, o ne galutinis teismo sprendimas išmokėti pinigus.
Kiekvieno žmogaus teisė į kompensaciją priklauso nuo konkrečių aplinkybių ir teisinio vertinimo.
Ką turėtų žinoti kiekvienas Lietuvos gyventojas?
Nors institucijų tyrimas jau baigtas, gyventojams išlieka svarbu saugoti savo asmens duomenis.
Ypač atsargiai reikėtų vertinti netikėtus skambučius, elektroninius laiškus ar SMS žinutes, kuriose prašoma pateikti asmens kodą, banko prisijungimo duomenis arba patvirtinti neįprastas finansines operacijas.
Jeigu asmuo prisistato valstybės institucijos darbuotoju, verta savarankiškai patikrinti jo tapatybę oficialiais įstaigos kontaktais.
Taip pat svarbu žinoti, kad vien asmens duomenų nutekinimas savaime nereiškia, jog kažkas jau pasinaudojo jūsų vardu.
Tačiau papildomas atsargumas gali padėti išvengti galimų sukčiavimo atvejų.
Skandalas dar nesibaigė: laukia sprendimai dėl baudų
Spalio 16 dieną paskelbtos išvados žymi svarbų etapą vienoje didžiausių Lietuvos asmens duomenų saugumo istorijų.
Tyrėjai nustatė konkrečius saugumo trūkumus, įvardijo institucijas, kurių veikloje aptikti pažeidimai, ir pradėjo atsakomybės taikymo procedūras.
Tačiau dar lieka neatsakytų klausimų.
Kol kas nežinoma, kokio dydžio baudos bus skirtos Registrų centrui ir Informatikos ir ryšių departamentui.
Taip pat neaišku, kuo baigsis gyventojų pradėti teisminiai procesai dėl žalos atlyginimo.
Institucijų sprendimai gali būti skundžiami įstatymų nustatyta tvarka.
Svarbiausia šios istorijos žinia – daugiau kaip 538 tūkstančių žmonių duomenis palietęs incidentas atskleidė rimtus valstybės informacinių sistemų apsaugos trūkumus. Dabar sprendžiamas atsakomybės klausimas, tačiau gyventojams ne mažiau svarbu, kad panašūs incidentai ateityje nepasikartotų.
O kaip manote jūs – ar už tokio masto asmens duomenų nutekinimą atsakingoms institucijoms turėtų būti skiriamos didelės baudos, ar svarbiausia užtikrinti, kad saugumo spragos būtų kuo greičiau pašalintos?
