CSDD datu noplūde: 1,2 miljoniem cilvēku jāuzmanās

Pēc augusta sākumā notikušā kiberuzbrukuma CSDD klientiem īpaši piesardzīgi jāizturas pret direkcijas vārdā saņemtiem e-pastiem, īsziņām un zvaniem. Nesankcionēti iegūti 1,2 miljonu cilvēku personas dati, bet CSDD padome un valde pēc incidenta atkāpusies. Aizdomīgās ziņās nevajag atvērt saites — drošāk pakalpojumam piekļūt, pašam pārlūkā ievadot e.csdd.lv adresi vai izmantojot iepriekš instalētu lietotni.

Praktiskā aina

• Incidentā skarti dati, kas saistīti ar CSDD maksājumiem pēdējo 18 gadu laikā.
• Iegūti arī aptuveni 150 000 juridisko personu reģistrācijas numuru.
• Datu valsts inspekcija ir sākusi pārbaudi un precizē incidenta apstākļus.
• Nav apstiprināts, ka iegūtā informācija jau izmantota krāpniecībā.

Apstiprinātais datu apjoms aptver 18 gadu maksājumu informāciju

LSM 19. augustā ziņoja, ka kiberuzbrukumā nesankcionēti iegūti 1,2 miljonu cilvēku personas dati un aptuveni 150 000 juridisko personu reģistrācijas numuru. Informācija ir saistīta ar maksājumiem, kas CSDD veikti pēdējo 18 gadu laikā.

Pēc incidenta no amata atkāpās gan CSDD padome, gan valde. Vadības atkāpšanās nemaina klientiem būtiskāko drošības ieteikumu: jebkura negaidīta saziņa, kurā piesaukts CSDD maksājums, sods, parāds, transportlīdzeklis vai personas datu pārbaude, jāvērtē piesardzīgi.

Datu valsts inspekcija 18. augustā paziņoja par pārbaudes sākšanu. Tās uzdevums ir noskaidrot incidenta apstākļus, datu apstrādes atbilstību prasībām un precīzāku ietekmi uz cilvēkiem.

Iespējamie datu lauki katram cilvēkam var atšķirties

DVI norādījusi, ka publiski minētajā skartajā informācijā atkarībā no konkrētā ieraksta varētu būt vārds, uzvārds, personas kods, transportlīdzekļa reģistrācijas numurs, maksājuma summa un datums, kā arī CSDD sniegtā adrese.

Tas ir iespējamo datu veidu uzskaitījums, nevis apliecinājums, ka par katru no 1,2 miljoniem cilvēku iegūti visi minētie lauki. Kamēr pārbaude turpinās, nav pamata pieņemt, ka ikvienam skartajam klientam noplūdusi vienāda informācijas kopa.

Šādu datu kombinācija tomēr var palīdzēt izveidot ticamu krāpniecisku vēstījumu. Piemēram, sūtītājs var pieminēt īstu vārdu, automašīnas numuru, aptuvenu maksājuma laiku vai citu atpazīstamu detaļu. Precīzas informācijas klātbūtne pati par sevi nepierāda, ka ziņu nosūtījusi CSDD.

CSDD vārdā saņemta ziņa jāpārbauda bez tās saitēm

Krāpnieciska saziņa var mudināt steidzami samaksāt parādu, precizēt personas datus, atjaunot kontu vai novērst it kā gaidāmu sodu. Bīstams signāls ir spiediens rīkoties nekavējoties, īpaši tad, ja jāatver saite, jāievada internetbankas dati vai jānosauc autentifikācijas kods.

Saņemot šādu ziņu, ieteicams:

• neatvērt ziņā ievietoto saiti un nelejupielādēt pielikumu;
• neatbildēt ar personas, maksājumu vai piekļuves datiem;
• pašam pārlūkā ierakstīt e.csdd.lv, neizmantojot atsūtīto adresi;
• izmantot tikai iepriekš instalētu CSDD lietotni, nevis ziņā piedāvātu lejupielādi;
• neskaidrības gadījumā sazināties ar CSDD, izmantojot tās oficiālajā vietnē norādīto kontaktinformāciju.

Jāpārbauda arī pilna sūtītāja e-pasta adrese, ne tikai redzamais nosaukums. Tomēr pat pazīstama adrese vai Latvijā reģistrēts tālruņa numurs nav pietiekams drošuma pierādījums, jo sūtītāja informāciju iespējams viltot.

Ja aizdomīgā vietnē jau ievadīti internetbankas vai maksājumu kartes dati, nekavējoties jāsazinās ar banku. Ja nodoti piekļuves dati vai apstiprināts nezināms pieprasījums, jāmaina attiecīgās paroles un jāpārbauda kontu darbība.

DVI pārbaude vēl turpinās

DVI pārbaudes sākšana nozīmē, ka precīzs incidenta tvērums un sekas vēl tiek vērtētas. Pašlaik nav apstiprināts, ka iegūtie dati jau izmantoti krāpniecībā, tādēļ aizdomīga saziņa nav automātiski saistāma ar šo incidentu.

Vienlaikus inspekcijas brīdinājums ir praktiski nozīmīgs: turpmāk CSDD vārdā veidotas krāpnieciskas ziņas var izskatīties pārliecinošāk, ja tajās izmantotas īstas klienta detaļas. Drošākais nākamais solis vienmēr ir pārbaudīt prasīto darbību neatkarīgā kanālā, pašam atverot CSDD oficiālo pakalpojumu.

Avots: LSM