Duży wyciek danych obywateli Łotwy

Jeszcze nie opadł kurz po ujawnieniu danych medycznych blisko 19 milionów Polaków pochodzących z bazy firmy MyDr., a już napływają do nas informacje o kolejnym znaczącym incydencie związanym z wyciekiem danych osobowych. Tym razem z problemami mierzą się obywatele Łotwy, gdzie z systemu CSDD (Łotewska Dyrekcja Bezpieczeństwa Ruchu Drogowego) wykradziono dane 1,2 miliona osób (około 65% populacji Łotwy) oraz 200 tysięcy firm.

TLDR:

• Duży wyciek danych obywateli Łotwy z łotewskiej Dyrekcji Bezpieczeństwa Ruchu Drogowego (CSDD) objął dane 1,2 miliona osób, co stanowi około 65% populacji Łotwy oraz 200 tysięcy firm. Wśród wykradzionych danych znalazły się dane takie jak imiona i nazwiska, informacje o dacie płatności, numery rejestracyjne czy adresy.
• Kontrowersje wzbudza fakt, że zewnętrzni dostawcy odpowiedzialni za działanie systemu nie poinformowali CSDD o zaistniałym ataku. Dodatkowym problemem okazała się sama komunikacja pomiędzy CSDD a zewnętrznymi dostawcami oraz CSDD a Cert.lv.

Jak podaje Cert.lv, atak miał miejsce w dniach 8–10 sierpnia 2026 r. Atakujący uzyskali dostęp do dostępnej z internetu części systemu łotewskiej Dyrekcji Bezpieczeństwa Ruchu Drogowego i w sposób nieuprawniony pobrali historyczne dane dotyczące potwierdzeń płatności za usługi CSDD. Na szczęście w tym przypadku incydent nie obejmuje aż tak wrażliwych danych, jak w przypadku ataku na MyDr. Wśród wykradzionych dany mogły znajdować się:

– kod/numer identyfikacyjny osoby (łot. personas kods, odpowiednik naszego numeru PESEL) lub numer rejestracyjny firmy,

– imię i nazwisko albo nazwa przedsiębiorstwa,

– informacja o płatności,

– data zapłaty,

– numer rejestracyjny pojazdu,

– adres.

Co istotne, jak podkreślają CSDD i Cert.lv, nazwy użytkowników i hasła klientów nie zostały objęte incydentem i w związku z tym nie ma potrzeby podejmowania związanych z nimi dodatkowych działań.

Nie jest znana atrybucja ataku. Prezydent Edgars Rinkēvičs uznał zdarzenie za istotne zagrożenie dla bezpieczeństwa narodowego. Natomiast premier Andris Kulbergs zlecił ministrowi transportu ocenę odpowiedzialności zarządu i rady CSDD, w szczególności w zakresie zarządzania cyberbezpieczeństwem i wdrażania wymaganych zabezpieczeń. Prezydent podkreślił, że po cyberataku reputacja CSDD i zaufanie publiczne do tej instytucji zostały nadszarpnięte, a kierownictwo CSDD nie może kontynuować swojej pracy w takich okolicznościach. Premier Andris Kulbergs również wezwał zarząd i radę CSDD do rezygnacji. Po wielu sprzecznych deklaracjach, ostatecznie do dymisji podała się cała rada CSDD (odpowiednik polskiej rady nadzorczej). Prowadzone w związku z incydentem dochodzenie ma również ocenić umowę CSDD z Tet, firmą świadczącą usługi w zakresie cyberbezpieczeństwa. Jak wskazał minister transportu Rihards Kozlovskis, CSDD płaci znaczną kwotę miesięcznie za te usługi. Z informacji podawanych przez firmę Tet wynika, że system CSDD jest utrzymywany na podstawie umowy przez Kyndryl, jedną z wiodących na świecie firm świadczących usługi informatyczne.

W żadnym wypadku nie negujemy swojej odpowiedzialności i pracujemy nad rozwiązaniem, które pozwoli zarówno naprawić, jak i zapobiec takim sytuacjom. Tak, Kyndryl utrzymywał ten system. Trwa analiza – co systemy zauważyły, czego nie zauważyły, co było widoczne, co niewidoczne, gdzie były autoryzacje, a gdzie ich nie było. 

–  powiedział Uldis Tatarčuks, prezes zarządu spółki Tet.

Szef Tet zadeklarował również, że firma podjęła już szereg działań mających na celu przejrzenie dotychczasowych procedur. Ze słów Tatarčuksa wynika, że firma zamierza sprawdzić progi monitorowania i przeprowadzić pogłębioną analizę systemów oraz logów.

W całej sprawie duże kontrowersje wzbudza fakt niedostatecznej komunikacji pomiędzy CSDD a firmą Tet. Aivars Aksenoks, szef CSDD, zwraca uwagę, że zabrakło stosownych informacji o ataku w trakcie jego trwania. Co prawda niepokojące działania zostały od razu odkryte przez samych specjalistów z CSDD, ale nie wykryli oni wycieku danych. Jak powiedział Avivars Aksenoks, po kilku godzinach podejrzane adresy zostały zablokowane, a dalsze ataki ustały. Następnego dnia specjaliści z CSDD skontaktowali się z firmą Tet, która – jak się okazało – w tamtym momencie w dalszym ciągu nie odnotowała żadnych podejrzanych działań. Problemy z komunikacją wystąpiły także na linii CSDD i Cert.lv. Dodatkowo na tym etapie nie jest jasne, jaki zakres za poszczególne elementy systemu i jego bezpieczeństwo spoczywał na CSDD, Tet oraz jej podwykonawcy, firmie Kyndryl.

Cert.lv ostrzega obywateli Łotwy przed wykorzystaniem danych w atakach socjotechnicznych i oszustwach. Znajomość imienia i nazwiska, numeru identyfikacyjnego, adresu, numeru rejestracyjnego pojazdu oraz daty płatności pozwala przygotować bardzo wiarygodny atak phishingowy.

Od cyfryzacji nie ma odwrotu. Możliwość załatwienia coraz większej ilości spraw bez wychodzenia z domu i rezygnacja z papieru, to kierunki, w które od dawna zmierzamy. Ceną za tę wygodę jest jednak rosnąca koncentracja danych w systemach informatycznych. Niestety, olbrzymie bazy danych zawierające wrażliwe dane już teraz znajdują się na celowników tak pospolitych cyberprzestępców, jak również służb specjalnych obcych państw. Po naszej (użytkowników) stronie ważna jest świadomość wynikających z tego zagrożeń i umiejętność reagowania w sytuacji, kiedy dojdzie już do wycieku naszych danych. Po stronie instytucji i podmiotów odpowiedzialnych za systemy dodatkowo istotne są odpowiednie procedury, nadzór, monitoring oraz sprawna komunikacja pomiędzy wszystkimi zaangażowanymi stronami. Wiele wskazuje na to, że w tym przypadku okazały się one dalece niewystarczające.

Źródło: Cert.lv, LSM (1, 2)

~pu