Łotwa: Cyberatak na Dyrekcję Bezpieczeństwa Ruchu Drogowego i masowy wyciek danych

Między 8 a 10 sierpnia doszło do cyberataku na systemy Dyrekcji Bezpieczeństwa Ruchu Drogowego na Łotwie. W wyniku incydentu hakerzy wykradli dane ponad 1,2 miliona osób oraz 200 tysięcy organizacji. Skala zdarzenia jest ogromna, biorąc pod uwagę, że populacja Łotwy wynosi około 1,8 miliona mieszkańców. Zgodnie z oficjalnym komunikatem cyberprzestępca pozyskał dane z państwowego rejestru pojazdów i kierowców, docierając do bazy archiwizowanych rachunków i opłat administracyjnych sięgającej okresu od 2008 roku.

Uzyskane informacje obejmują dane z kilkunastu lat. Instytucje publiczne dowiedziały się o incydencie we wtorek, a szczegółowe informacje podano do wiadomości publicznej kilka dni później.

Zakres skradzionych danych i reakcja władz

Wyciek dotyczy informacji o płatnościach oraz danych z państwowego rejestru powiązanych z usługami CSDD. Instytucja ta odpowiada między innymi za wydawanie praw jazdy oraz rejestrację i przeglądy pojazdów.

Szef IT łotewskiej Dyrekcji podkreślał, że naruszenie nie obejmuje wrażliwych danych kontaktowych, takich jak adresy e-mail czy numery telefonów. Prezydent Edgars Rinkēvičs ocenił w mediach społecznościowych, że cyberatak stanowi poważne zagrożenie dla bezpieczeństwa narodowego oraz że społeczeństwo utraciło zaufanie do instytucji.

Premier Andris Kulbergs nie wykluczył z kolei, że incydent ma związek z szerszą operacją hybrydową ze strony obcego państwa.

Dymisje i kontrowersje wokół odpowiedzialności za bezpieczeństwo

W obliczu kryzysu całe kierownictwo Dyrekcji Bezpieczeństwa Ruchu Drogowego podało się do dymisji i zrezygnowało ze swoich stanowisk. Krajowy CSIRT zaznaczył, że atak wykorzystywał podatność w systemie CSDD, który był bezpośrednio dostępny z poziomu Internetu.

Dotychczasowy szef Dyrekcji wskazywał na roszczenia wobec firmy Tet, która odpowiadała za cyberbezpieczeństwo. Firma ta miała pobierać duże kwoty za monitoring oraz firewall, a mimo to nie wiedziała o ataku.

W sprawę zamieszana była również amerykańska firma Kyndryl działająca jako subkontraktor. Dokładny podział odpowiedzialności pozostaje jednak w toku wyjaśniania.