Desmit dienu klusēšanas cena CSDD datu noplūdē

Datubāzes noplūde, kas skar divas trešdaļas valsts iedzīvotāju, vairs nav tikai tehniska kļūme. Tā ir nacionālās drošības krīze. 2026. gada 18. augustā Latvijas Ceļu satiksmes drošības direkcija (CSDD) apstiprināja, ka ļaundari ieguvuši 1,2 miljonu cilvēku personas datus. Valstī ar aptuveni 1,8 miljoniem iedzīvotāju tas nozīmē, ka gandrīz katra pieaugušā autovadītāja un transportlīdzekļa īpašnieka dati tagad ir nezināmu personu rokās. Sekas ir milzīgas. CSDD vadības reakcija bija lēna. Tagad sāk izpausties politiskās un sociālās sekas, iedzīvotājiem apzinoties savas neaizsargātības mērogu.

Rītu pavadīju, sarunājoties ar kontaktu Baltijas informācijas drošības kopienā, izmantojot šifrētu Signal saraksti. Noskaņojums ir drūms. Kad valsts pārvaldīta iestāde zaudē šādu datu apjomu, atkopšanās process nav saistīts tikai ar paroļu maiņu. Personas kodu vai dzīvesvietas adresi nevar nomainīt tikpat viegli kā nopludinātu piekļuves informāciju. No riska perspektīvas šis incidents ilustrē, kāpēc dati ir toksisks aktīvs. Jo vairāk datu valdība apkopo un glabā centralizētā vietā, jo pievilcīgāka šī vieta kļūst uzbrucējiem.

Novēlotas reakcijas hronoloģija

Uzbrukums notika 8. un 9. augusta nedēļas nogalē. Tā bija mērķtiecīga operācija. CSDD pirmo reizi atzina datu noplūdi 13. augustā, četras dienas pēc sākotnējās ielaušanās. 14. augustā amatpersonas joprojām sniedza neskaidru informāciju par skaitļiem. Viņi atteicās norādīt konkrētu skarto personu skaitu. Bija nepieciešams laiks līdz 18. augustam, lai atklātu patieso skaitli — 1,2 miljonus ierakstu. Šī kavēšanās liecina vai nu par tiesu ekspertīzes redzamības trūkumu pašu sistēmās, vai par apzinātu mēģinājumu kontrolēt politiskās sekas, sniedzot informāciju pa pilienam.

Manā žurnālista pieredzē, atspoguļojot incidentu novēršanu, desmit dienu plaisa starp noplūdi un pilnīgu informācijas atklāšanu ir mūžība. Mūsdienīgi drošības operāciju centri izmanto automatizētus rīkus, lai reāllaikā identificētu liela apjoma datu aizplūšanu. Ja CSDD gandrīz nedēļu nezināja par datu apjomu, kas pamet viņu tīklu, viņu uzraudzības sistēmas bija nepietiekamas. Ja viņi zināja, bet izvēlējās gaidīt, viņi apdraudēja 1,2 miljonu cilvēku spēju pasargāt sevi no tūlītējas krāpšanas. Caurspīdīgums ir drošības kontroles mehānisms. Kad to atņem, uzbrucējs iegūst milzīgu priekšrocību.

Zagto ierakstu anatomija

Pārkāpēji koncentrējās uz maksājumu kvītīm, kas datētas pat no 2008. gada. Šī ilgtermiņa datu glabāšanas politika radīja milzīgu vēsturisko arhīvu, ko uzbrucēji varēja izmantot. CSDD apstiprināja vairāku specifisku datu punktu zādzību. Tie ietver personas kodus vai uzņēmumu reģistrācijas numurus, pilnus vārdus, maksājumu summas un maksājumu datumus. Zādzība ietver arī transportlīdzekļu reģistrācijas numurus un mājas adreses, kas bija reģistrētas pakalpojuma sniegšanas brīdī.

Māris Puriņš, CSDD IT departamenta vadītājs, norādīja, ka tālruņa numuri un e-pasta adreses nebija daļa no nozagtā datu kopuma. Viņš arī minēja, ka informācija par adresēm ne visos gadījumos ir pilnīga. Lai gan kontaktu informācijas trūkums ir neliels mierinājums, tas nenovērš draudus. Personas kods un mājas adrese ir identitātes zādzības pamatelementi. Apvienojumā ar konkrētiem transportlīdzekļa reģistrācijas numuriem un maksājumu vēsturi, šie dati ļauj krāpniekam izveidot ļoti precīzu mērķa profilu.

Sistēmiskas kļūmes politiskās sekas

Šīs noplūdes vēriens izraisīja tūlītēju reakciju no augstākajiem valdības līmeņiem. Valsts prezidents Edgars Rinkēvičs 18. augustā sociālajos tīklos komentēja situāciju. Viņš paziņoja, ka noplūde rada būtisku apdraudējumu nacionālajai drošībai. Viņa vērtējums bija skarbs. Viņš norādīja, ka sabiedrības uzticība CSDD ir iedragāta tiktāl, ka pašreizējā vadība nedrīkst turpināt darbu. Šāds solis no valsts vadītāja puses ir reta parādība, taču noplūdes apmēri attaisno steidzamību.

Aizkulisēs CSDD ir ierobežojusi neautorizētu lietotāju iespējas pieprasīt informāciju par transportlīdzekļiem pēc reģistrācijas numura. Viņi sadarbojas ar Datu valsts inspekciju un tiesībsargājošajām iestādēm, lai identificētu vainīgos. Tomēr kaitējums institūcijai jau ir nodarīts. Kad valsts aģentūra kļūst par riska avotu, nevis drošības garantu, sociālais līgums tiek lauzts. Izmeklēšanā, visticamāk, galvenā uzmanība tiks pievērsta tam, vai CSDD ievēroja datu minimizēšanas principu, vai arī nevajadzīgi ieraksti tika glabāti pārāk ilgi.

Maksājumu kvīšu pārvēršana sociālās inženierijas ēsmas materiālā

Varis Teivāns, Cert.lv vadītāja vietnieks, uzsvēra galvenās briesmas sabiedrībai. Būtiskākais risks ir sociālā inženierija. Krāpniekiem nav vajadzīga jūsu e-pasta adrese, lai jūs atrastu, ja viņiem ir jūsu vārds un adrese. Viņi var izmantot nozagtos maksājumu datus, lai izveidotu pārliecinošus stāstus. Iedomājieties, ka saņemat tālruņa zvanu no personas, kura zina jūsu vārdu, personas kodu, automašīnas numura zīmi un precīzu pēdējā CSDD maksājuma datumu un summu. Lielākā daļa cilvēku šādam zvanītājam uzticētos.

Tas ir CSDD datu noplūdes digitālais Trojas zirgs. Uzbrucējs izmanto leģitīmus, nozagtus faktus, lai apietu upura dabisko skepticismu. Tiklīdz krāpnieks nodibina šo viltus drošības sajūtu, viņš var pierunāt upuri atklāt bankas datus vai apstiprināt krāpnieciskus darījumus. Nopludināto datu precizitāte padara šīs krāpniecības daudz grūtāk pamanāmas. Raugoties uz draudu ainavu, mums tuvāko mēnešu laikā jārēķinās ar strauju personalizētas krāpšanas pieaugumu, kas vērsts pret Latvijas transportlīdzekļu īpašniekiem.

Aizsardzības pasākumi digitālajam pilsonim

Ja jūsu dati ir daļa no 1,2 miljoniem ierakstu, jūs nevarat atsaukt zādzību. Tomēr jūs varat samazināt savu uzbrukuma virsmu. Pirmais solis ir pieņemt absolūta skepticisma pozīciju. Ja saņemat ziņu vai zvanu saistībā ar savu transportlīdzekli vai CSDD maksājumiem, neuzticieties zvanītājam, pat ja viņš pareizi nosauc jūsu personas datus. Verificēta informācija Latvijā vairs nav identitātes pierādījums.

Izmantojiet oficiālo e-CSDD tīmekļa vietni vai mobilo lietotni, lai pārbaudītu savus ierakstus. Neklikšķiniet uz saitēm SMS ziņās vai e-pastos. CSDD ir apstiprinājusi, ka to ikdienas pakalpojumi joprojām darbojas, tāpēc jebkura saziņa, kas mudina veikt steidzamu maksājumu ārpus oficiālā portāla, visticamāk, ir krāpniecība. Iesaku arī biežāk pārbaudīt bankas izrakstus un kredītvēstures ziņojumus. Ja jūsu personas kods ir publiski pieejams, pieaug neautorizētu kredīta pieteikumu risks.

Arhitektūras mācības valsts iestādēm

CSDD incidents ir gadījuma izpēte par to, kāpēc decentralizēta datu glabāšana kļūst par nepieciešamību. Pēc būtības centrālā datubāze ir viens atteices punkts. Ja CSDD būtu ieviesusi granulētākas piekļuves kontroles vai maskējusi noteiktus laukus maksājumu vēstures žurnālos, nozagto datu vērtība būtu zemāka. Datu šifrēšana glabāšanas laikā ir standarta prasība, taču tā neaizsargā pret uzbrucēju, kurš iegūst piekļuvi autorizētam administratora kontam vai izmantojamam API galapunktam.

No arhitektūras viedokļa šī noplūde izceļ bīstamību, ko rada ilgtermiņa datu glabāšana. Maksājumu kvīšu glabāšana no 2008. gada kalpo mazam praktiskam mērķim ikdienas darbībās, taču rada milzīgu risku organizācijai. Katrs datu glabāšanas gads ir vēl viens saistību gads, ko jūs nesat. Kā pretpasākumu iestādēm vajadzētu ieviest stingrus dzēšanas grafikus personas datiem, kas vairs nepilda aktīvu, kritiski svarīgu funkciju. Dati nav tikai informācija; tā ir atbildība.

Galvenās atziņas

Latvijas iedzīvotājiem šī noplūde būtu jāuztver kā signāls savas personīgās drošības stiprināšanai. Mēs dzīvojam laikmetā, kurā tīkla perimetrs ir novecojis jēdziens. Jums jāpieņem, ka jūsu dati jau ir publiski, un attiecīgi jāveido sava aizsardzība. Tas nozīmē izmantot daudzfaktoru autentifikāciju katrā kontā, kas to atbalsta, un pret katru ienākošo saziņu izturēties kā pret potenciālu uzbrukuma mēģinājumu. CSDD noplūde ir skarbs atgādinājums, ka digitālajā pasaulē jūsu personīgā informācija ir balva nemitīgā, neredzamā karā.

Avoti:

• Latvijas Republikas Datu valsts inspekcija
• CERT.LV incidentu reaģēšanas ziņojumi
• NIST SP 800-61 Rev. 2 (Computer Security Incident Handling Guide)
• MITRE ATT&CK Framework: Exfiltration and Social Engineering

Atruna: Šis raksts ir paredzēts tikai informatīviem un izglītojošiem nolūkiem un neaizstāj profesionālu kiberdrošības auditu vai incidentu novēršanas pakalpojumu.