Nutekinti duomenys: kieno galva lėks

Atskleidžiančių NT turėtojų asmens kodus, valdomą turtą, duomenis apie šeimą ir t.t.

Kadangi Lietuvoje yra 1,4 mln. privataus turto savininkų, tai beveik pusė jų galėjo nukentėti. Todėl RC ragina savininkus nuo gegužės 26-osios prisijungti prie centro savitarnos ir pasitikrinti, ar jų duomenys nebuvo kopijuoti.

Registruoti vartotojai prie RC sistemų galės jungtis tik save identifikavę per iPasą. Nelieka galimybės prisijungti su vartotojo vardu ir slaptažodžiu. Tačiau, ar šis duomenų nusiurbimas - tik apmaudus atsitiktinumas?

Vadovas jau atsistatydino

Įtariama, jog duomenys nukopijuoti pasinaudojus vieno teisėto duomenų gavėjo prisijungimo slaptažodžiu. Neoficialiai kalbama, jog teisėtas duomenų gavėjas yra iš Migracijos departamento, o kas juo pasinaudojo - aiškinamasi. Daugiau informacijos neteikiama, kad, anot centro, nepakenktų nacionalinio saugumo interesams bei ikiteisminiam tyrimui.

Jau apskaičiuota, jog toks duomenų nutekinimas padarė RC apie 111 tūkst. Eur žalą. Kieno įvykdyta ataka - aiškinasi Generalinė prokuratūra ir Kriminalinės policijos biuras. Manoma, jog duomenys nukopijuoti iš trečiųjų šalių. Vienas įtariamųjų - Rusijos žvalgyba (GRU).

Dėl šio incidento, premjerei Ingai Ruginienei paraginus, atsistatydino RC vadovas - ekonomistas, vadybininkas Adrijus Jusas. Vadovavęs centrui nuo 2023 m. birželio.

Centrui laikinai vadovaus šios įstaigos Prevencijos departamento vadovas Giedrius Cininas. A.Jusas yra minėjęs, jog norint techniškai atnaujinti centrą, reikėtų apie 50 mln. Eur. Kita vertus, pats centras, kuriame dirba 1645 darbuotojai, užpernai gavo 2,1 mln. Eur gryno pelno. Vadovo atlyginimas prieš mokesčius siekė apie 9800 Eur.

Gali šantažuoti

Visuomenė raminama, jog įsilaužėliai nenukopijavo gyventojų telefonų, elektroninio pašto adresų, banko sąskaitų numerių, NT perleidimo sandorių, teismų sprendimų, statinių išdėstymo planų ir pan. Tačiau kas svarbiau Dominančio asmens gyvenamosios vietos adresas ar jos sodybos statinių išdėstymas?

Buvęs krašto apsaugos ministras Laurynas Kasčiūnas įspėja, jog galėjo būti nutekinti Lietuvos žvalgybininkų, karininkų, diplomatų, politikų duomenys. Pvz., kur asmuo turi sodybą ir pan. O tai, L.Kasčiūno teigimu, leistų vykdyti šių asmenų fizinį sekimą ir net šantažuoti.

Ar tokio incidento buvo galima tikėtis? Juolab kai RC duomenys 2020 m. jau buvo nukentėję nuo vasariškos liūties, užpylusios centro rūsį. Tąkart daugiausiai nukentėjo „e-sveikatos" duomenys.

Seimo Nacionalinio saugumo ir gynybos komiteto narys Dainius Gaižauskas viešai paskelbė, jog dar 2024 m. kovą asmeniškai informavo visuomenę, kad po trijų mėnesių kruopštaus darbo su pasaulinio lygio programuotojais ir kibernetinio saugumo ekspertais buvo nustatyti masiniai kibernetiniai įsilaužimai į praktiškai visas Lietuvos strategines sistemas.

Kalba skaičiai

Nacionalinio kibernetinio saugumo centro duomenimis, Lietuvos įstaigos per metus patiria apie 55 tūkst. kibernetinių atakų, tačiau jos ne visos pavyksta. 2024 m. užfiksuoti 3874 bandymai, o 2023 m. - 2376 mėginimai įsilaužti.

Vienas didžiausių iki šiol buvusių nutekinimų įvyko 2024-aisiais, kai iš „Ignitis ON" buvo nutekinti 20 tūkst. klientų duomenys. Nuo įsilaužėlių neapsisaugo ir labai turtingos valstybės.

Pernai JAV patirta atakų žala siekė 21 mlrd. JAV dolerių.

Komentuoja buvęs krašto apsaugos ministras Arvydas ANUŠAUSKAS: 

Kalbant apie tai, kad iš Registrų centro buvo pavogti ir žvalgybininkų duomenys, tai taip automatiškai apie žvalgybininkus nesužinosi. Reikia juos identifikuoti - turi turėti bent dalinį žvalgybininkų sąrašą, tada suvedi NT duomenis, tada - „Sodros", bet savo laiku yra ir iš „Sodros" duomenys buvo nutekėję.

Dar darbovietes patikrini - ir profiliuoji žmogaus galimybes, pažeidžiamumą - ar NT įkeistas, ar neįkeistas, ar yra skolų ir pan.

Bet tai yra tik vienas dalykas. Kibernetinio saugumo problemos nėra naujas dalykas. Ir man būnant krašto apsaugos ministru, ir Nacionalinio kibernetinio saugumo centrui (NKSC) prie Krašto apsaugos ministerijos (KAM) teko ne kartą inicijuoti ir centro iniciatyva atlikti tam tikrus darbus skirtingose institucijose stiprinant kibernetinį saugumą.

Tačiau didžiausia problema buvo ir aš manau, kad nepasikeitė - tai institucijų vadovų požiūris į kibernetinį saugumą - ar investuoji į šį saugumą, ar neinvestuoji?

Tai yra ir institucijos vadovo atsakomybės klausimas. Be abejo, yra ir ministrų atsakomybė. O kas liečia dabartinį atvejį, tai turiu pasakyti, kad čia, mano įsitikinimu, yra tik aisbergo viršūnė. Problemos gali ištikti ir didesnės.

Tikrai neduos kibernetinio saugumo specialistai sumeluoti, kad šitoje srityje yra nemenkų iššūkių ir darbų, kuriuos būtina padaryti skubiai.

O dėl milijonų eurų, kurių Registrų centrui papildomai reikėtų, tai tie skaičiai yra labai spekuliatyvūs.

Seimo Ekonomikos ir inovacijos komitetas visai neseniai surengė išvažiuojamąjį posėdį Telecentro valstybės duomenų centre, kuris institucijų duomenis savo labai patikimuose, apsaugotuose serveriuose kaupia.

Tai ką aš galiu pasakyti - praėjo keli metai, o absoliuti institucijų dauguma po šiai dienai savo duomenų į Valstybės duomenų centrą net nepervedusios. Kaip tai vadinti? Koks požiūris į duomenų saugumą?

Juk šis duomenų centras valstybėje turi užtikrinti valstybės duomenų aukščiausio lygio saugumą! Tai toks ir požiūris. Visi turi savo serverius, bando juos autonomiškai prižiūrėti, bet tai, sakyčiau, prastas požiūris.