После того, как Центру регистров стало известно, что третьи лица могли получить выписки из Реестра недвижимости, незаконно воспользовавшись учетными данными одного из авторизованных получателей данных центра, а затем в отставку ушел глава учреждения Адриюс Юсас, эксперт по цифровому контенту Миндаугас Убартас в интервью lrt.lt заявил, что последствия утечки могут оказаться гораздо серьезнее, чем признают официальные ведомства.
По его словам, похищенные данные открывают широкие возможности для социально-инженерных атак и фишинга, поскольку мошенники смогут использовать реальные сведения об имуществе и персональные данные жителей.
«Утечка этих данных создаст некоторые дополнительные возможности для всяческих социально-инженерных атак или фишинга, потому что когда вам будут звонить какие-нибудь там мошенники, они будут употреблять реальные данные. Не будет так, что «у вас заканчивается контракт, касающийся телефона, из-за этого что-то нажмите» и т.д. Там могут сказать, что у вас есть такое-то имущество там-то и там-то, ваш персональный код такой-то и такой. Чтобы мы что-то сделали, вы, пожалуйста, нажмите это либо что-то другое. Поэтому этот инцидент с утечкой очень серьезный, хотя Центр регистров пытается сказать, что утекли не контактные данные и не банковские данные. Но социальная инженерия сейчас с этими реальными данными, касающимися имущества, станет гораздо более продвинутым», – поясняет М. Убартас.
В обсуждаемом случае утечки фигурирует версия, что данные могли быть получены через запросы, связанные с другим ведомством, в том числе с миграционной службой. Однако, несмотря на разные версии случившегося, по словам эксперта, пока никто не комментирует, что реально случилось.
«Это плохо, потому что наш Национальный центр кибернетической безопасности ничего об этом не говорит. Также у нас есть Служба охраны данных, она тоже ничего не говорит, а мы тут тоже видим, что были скачаны данные. Реакция должна была быть в течение 24 часов, сейчас все пытаются замести под ковер, замять, поэтому и генеральный директор ушел, и как будто уже все решено», – возмущается М. Убартас.
Эксперт также критикует архитектуру межведомственного доступа к государственным системам, предположив, что злоумышленники могли получить доступ через систему «MIGRIS» Департамента миграции. По его мнению, в Центре регистров отсутствовали базовые меры кибербезопасности — в том числе двойная аутентификация, мониторинг действий отдельных пользователей и ограничения доступа к данным.
«Что мы наблюдаем? Мы видим, что вообще безграмотно построена архитектура, не было даже предохранителей, что как будто если кто-то зашел из другого ведомства, то они могут у вас делать то, что хотят. Нет, так нельзя, должно было быть ограничение доступа для Департамента миграции. Вообще зачем лезть такие данные? Почему они вообще имели такой доступ в Центр регистрации?», – задается вопросами эксперт.
По его мнению, пока существует множество вопросов, налицо лишь халатность исполнения обязанностей.
«Центр регистров раньше не внедрял двойную аутентификацию, а в нынешнее время это обязательно, без этого даже выйти на улицу нельзя, не то, что услуги предоставить. Этого не было, не было мониторинга, кто за чем смотрит. Как сказал генеральный директор, они смотрели не на уровне юзеров, а на уровне учреждений. Это как смотреть на небо и пытаться прогнозировать, какая завтра будет погода. Не было сделано то, что должно было быть сделано, та же кибергигиена не соответствует ни требованиям закона, ни требованиям лучшей практики», – говорит М. Убартас.
Он уверен, что для начала нужно знать, где или откуда произошел взлом.
«Пока можем предполагать, что это произошло у «MIGRIS» (информационная система Департамента миграции – прим. ред.). Значит, надо ответить на вопрос, имел ли место не санкционный доступ к «MIGRIS», и потом злоумышленники перешли через «MIGRIS» в Центр регистров, а Центр регистров пропустил это все как авторизованный доступ. Сейчас не ясно, что случилось в «MIGRIS», никто не отвечает, кто получил, откуда получил и каким образом получил доступ к «MIGRIS». Но сама стыковка, так называемая API, тоже организована неправильно, потому что не каждый рабочий в «MIGRIS» должен иметь такой доступ, что может скачать всю базу данных Центра регистров. Никто даже не увидел, что они взяли 600 тысяч этих записей», – говорит эксперт.
Убартас подчеркнул, что до сих пор неясно, была ли атака массовой или целенаправленной и могли ли злоумышленники охотиться за данными конкретных политиков, журналистов или сотрудников госструктур.
«Теперь каждый должен знать, что твои данные гуляют по интернету, и если их кто-то возьмет, то попробует обмануть вас, либо вашу семью, либо ваше окружение, потому что про ваше имущество будут довольно точные данные. Как говорит Центр регистров, утекло где-то 10% всей базы данных. Ну, значит, пострадал, может быть, каждый десятый. Тут еще вопрос, какие люди пострадали? Может быть, эта атака была целенаправленной? То есть, если утекли данные моей мамы, которой 85 лет и у нее нет большого количества имущества, – это одно, а если это некоторые специально подобранные политики, журналисты, другие лица, которые работают в службах, то мы можем говорить, что у этой кражи данных были другие планы. Сейчас пока у нас нет данных, что утекло, почему утекло, и было ли это случайно, брали ли они то, что смогли взять, или брали данные про каких-то интересных лиц и деятелей. Это даст больше ясности, – надеется эксперт.
Текст публикации подготовил А. Двоеглазов
