CSDD datu noplūde: 1,2 miljoniem cilvēku jāuzmanās

Pēc ziņas par CSDD padomes un valdes atkāpšanos uzmanība pievērsta augusta sākuma kiberuzbrukuma praktiskajām sekām: nesankcionēti iegūti 1,2 miljonu cilvēku personas dati. Saņemot šķietami CSDD vārdā sūtītu e-pastu, īsziņu vai zvanu, nevajag atvērt pievienotās saites vai uzreiz veikt prasīto maksājumu. Drošāk ir pašam pārlūkā ievadīt adresi e.csdd.lv vai izmantot iepriekš instalētu CSDD lietotni.

Kas pašlaik zināms par noplūdes apjomu

Kiberuzbrukumā iegūtā informācija bija saistīta ar CSDD veiktajiem maksājumiem pēdējo 18 gadu laikā. Atbilstoši publiskotajai informācijai skarti 1,2 miljonu fizisko personu dati un aptuveni 150 000 juridisko personu reģistrācijas numuru.

Latvijas Sabiedriskais medijs 19. augustā vēstīja, ka pēc incidenta atkāpusies gan CSDD padome, gan valde. Vadības atkāpšanās nemaina iedzīvotājiem būtiskāko piesardzības pasākumu: rūpīgi pārbaudīt turpmāko saziņu, kurā izmantots CSDD nosaukums vai atsauce uz transportlīdzekli un agrāku maksājumu.

Svarīgi nodalīt divas lietas. Apstiprināts ir skarto fizisko un juridisko personu datu apjoms un šo datu saistība ar maksājumu informāciju. Savukārt publiski nosauktais iespējamo datu lauku saraksts nenozīmē, ka par katru cilvēku iegūti pilnīgi visi tajā minētie dati.

DVI nosaukusi iespējami skarto datu veidus

Datu valsts inspekcija norāda, ka atkarībā no konkrētā ieraksta skartajā informācijā varētu būt:

• vārds un uzvārds;
• personas kods;
• transportlīdzekļa reģistrācijas numurs;
• maksājuma summa un datums;
• CSDD sniegtā adrese.

Šis ir piesardzīgi formulēts iespējamo datu veidu uzskaitījums, nevis apstiprinājums, ka visi lauki noplūduši par visiem 1,2 miljoniem cilvēku. Publiskotā informācija arī neļauj secināt, ka iegūtie dati jau būtu izmantoti krāpniecībā.

Tomēr šādu detaļu kombinācija var palīdzēt izveidot ticamāku krāpniecisku ziņu. Piemēram, sūtītājs var atsaukties uz transportlīdzekļa numuru, maksājuma datumu vai summu, lai radītu iespaidu, ka saziņa nāk no iestādes. Precīzu personas datu pieminēšana pati par sevi vēl nepierāda ziņas īstumu.

Kā pārbaudīt CSDD vārdā saņemtu ziņu

Aizdomīgi jāvērtē steidzami aicinājumi samaksāt sodu, atjaunot datus, saņemt atmaksu vai novērst konta bloķēšanu, īpaši tad, ja ziņā ievietota saite. Krāpnieki var mēģināt radīt laika spiedienu vai pieprasīt ievadīt bankas un autentifikācijas datus.

Drošai pārbaudei ieteicams:

1. Neatvērt ziņā vai e-pastā pievienoto saiti un nelejupielādēt pielikumus.
2. Neizpaust internetbankas piekļuves datus, Smart-ID kodus, paroles vai maksājumu kartes informāciju.
3. Pašam pārlūka adreses laukā ierakstīt e.csdd.lv, nevis izmantot atsūtīto saiti.
4. Mobilajā ierīcē atvērt tikai iepriekš instalētu oficiālo lietotni.
5. Pārbaudīt, vai e-CSDD profilā tiešām redzams ziņā minētais maksājums, sods vai paziņojums.
6. Ja rodas šaubas, sazināties ar CSDD, izmantojot kontaktinformāciju, kas atrasta iestādes oficiālajā vietnē.

Arī šķietami īsts sūtītāja nosaukums vai tālruņa numurs nav pietiekams drošības apliecinājums. Zvanītājam nevajadzētu nosaukt kodus vai apstiprināt darbības telefonā. Sarunu var pārtraukt un pēc tam pašam piezvanīt uz oficiāli publicētu CSDD numuru.

Ja saite jau atvērta, bet dati nav ievadīti, lapa jāaizver. Ja izpausti bankas piekļuves dati vai apstiprināts maksājums, nekavējoties jāsazinās ar savu banku. Aizdomīgu elektronisko saziņu var nodot izvērtēšanai CERT.LV.

Datu valsts inspekcija turpina pārbaudi

DVI 18. augustā paziņoja, ka sākta CSDD drošības incidenta pārbaude. Tajā jānoskaidro incidenta apstākļi, skarto datu raksturs un ar personas datu aizsardzību saistītie jautājumi.

Kamēr pārbaude turpinās, iedzīvotājiem būtiskākais nākamais signāls būs DVI vai CSDD publicēta precizēta informācija par konkrēti skartajiem datiem un nepieciešamajiem aizsardzības pasākumiem. Līdz tam jebkurš negaidīts CSDD vārdā izteikts maksājuma vai datu ievades pieprasījums jāpārbauda, pakalpojumam piekļūstot neatkarīgi no saņemtās ziņas.

Avots: LSM