🚨 КИБЕРАТАКА НА CSDD — ХАЛАТНОСТЬ С РЕАЛЬНЫМИ ПОСЛЕДСТВИЯМИ ДЛЯ ГОСУДАРСТВЕННОЙ БЕЗОПАСНОСТИ — Сегодня о кибератаке на @CSDD_LV, её последствиях и о том, что теперь нужно делать. Совет и правление CSDD уволены. Вместо них будет назначено временное руководство, параллельно немедленно начнутся конкурсы на постоянные правление и совет. 🔴 ЧТО ПРОИЗОШЛО? ➖️ 8 августа около 3:00 ночи, с пятницы на субботу, злоумышленник проник в систему CSDD. ➖️ Взлом произошёл через платформу CSDD MEDICAL, которую около 200 врачей используют для ввода медицинских справок для водителей транспортных средств. ➖️ Злоумышленник беспрепятственно действовал в системе в субботу и воскресенье. ➖️ В воскресенье вечером произошла массовая загрузка данных. ➖️ CSDD узнал о подозрительной деятельности только в понедельник. ➖️ В среду было установлено, что произошла кража данных. ➖️ Премьер-министра проинформировали только в среду в 17:00. ❗ КАК ЭТО ВООБЩЕ БЫЛО ВОЗМОЖНО? У CSDD должна была быть безопасная многофакторная аутентификация. Но доступ к CSDD MEDICAL был возможен только с обычным именем пользователя и паролем. У CSDD были все возможности внедрить кибербезопасность высшего уровня: 💶 были финансовые ресурсы; 💻 был ИТ-потенциал; 🧠 были знания и специалисты. Однако самоуверенность, халатность и высокомерие по отношению к киберрискам привели к одной из самых серьёзных утечек данных, находящихся в распоряжении государства. Это угрожает не только приватности людей, но и безопасности граждан, предприятий и государства. 📂 КАКИЕ ДАННЫЕ УТЕКЛИ? Речь идёт об очень большом объёме данных: ➖️ данные примерно 1,3 миллиона частных лиц; ➖️ данные примерно 200 000 предприятий; ➖️ платёжная информация за период с 2008 по 2026 год; ➖️ имя, фамилия или название предприятия; ➖️ персональный код или регистрационный номер предприятия; ➖️ задекларированный адрес; ➖️ государственный регистрационный номер транспортного средства. Мне непонятно, зачем CSDD вообще нужно было хранить платёжные данные с 2008 года на своих серверах, если нормативные акты такого хранения не требуют. 🛡️ ПРЕДУПРЕЖДЕНИЯ БЫЛИ. ИМИ НЕ ВОСПОЛЬЗОВАЛИСЬ. У CSDD был договор с TET о кибербезопасности серверов и подключения, но не о защите самого приложения и программного обеспечения CSDD. Более того. https://t.co/Y2dCsXsES5 уже с января по апрель 2026 года предлагал установить свои датчики, которые автоматически выявляют подозрительные аномалии в сети. Мера CERT бесплатна. CSDD отказался. ⚖️ О возможной халатности или злоупотреблении подано заявление в прокуратуру. Правоохранительные органы теперь должны установить ответственность каждого должностного лица. ✅ ЧТО ДЕЛАЕМ ДАЛЬШЕ? Я издал резолюцию премьер-министра с 12 конкретными задачами для министерств и государственных учреждений. Основные: ➖️ CSDD должен проинформировать каждого пострадавшего человека и предприятие, указав, какие именно данные утекли. ➖️ Датчики https://t.co/Y2dCsXsES5 должны быть обязательно установлены во всех критически важных государственных системах, чтобы аномалии выявлялись своевременно, а не через несколько дней после взлома. ➖️ Все учреждения критической инфраструктуры и чувствительных данных должны провести полномасштабные симуляции вторжений, то есть пентесты, чтобы реально проверить устойчивость систем и найти слабые места до того, как это сделает злоумышленник. ➖️ Поручено оценить возможность ограничения свободно доступного инструмента проверки номерных знаков транспортных средств e-CSDD. ➖️ Поручено оценить, как быстро государственные системы могут отказаться от использования персонального кода в качестве имени пользователя, перейдя на более безопасное решение идентификации. ➖️ https://t.co/Y2dCsXsES5 представил список других государственных учреждений, которые аналогично отказались от предложенных мер кибербезопасности. На следующей неделе мы пройдёмся по этому списку. И вопросы будут неприятными. ⚠️ ГОРАЗДО БОЛЬШИЙ РИСК ДЛЯ ГОСУДАРСТВЕННОЙ БЕЗОПАСНОСТИ — декларации должностных лиц. По отдельности эти данные уже чувствительны. Но в сочетании с другими публично доступными государственными базами данных они становятся очень эффективным инструментом профилирования. Информация деклараций должностных лиц в системе VID в настоящее время свободно просматривается без идентификации пользователя. В эпоху искусственного интеллекта сбор, структурирование и связывание огромных объёмов данных занимает не месяцы, а минуты. Это означает, что такие данные могут систематически собирать и регулярно обновлять также службы России, Беларуси, Северной Кореи или других стран. Соединяя украденные данные CSDD с публично доступными декларациями и другими базами данных, можно профилировать: 👮 полицейских; 🪖 военнослужащих; 🛂 пограничников; 🕵️ сотрудников служб безопасности; 🏛️ должностных лиц и их семьи. Это уже вопрос национальной безопасности. Декларации должны оставаться доступными для общества, но я не вижу оснований для того, чтобы их можно было массово копировать анонимно. Решение может быть очень простым — информация остаётся публичной, но доступ происходит после аутентификации, например, через свой профиль на https://t.co/2abj1S4l9U. 🌲 И Я НЕ ЗАБЫЛ О КИБЕРАТАКЕ НА @valstsmezi. От министра земледелия @ArmandsKrauze я жду конкретного ответа: кто в Latvijas valsts meži был ответственен за систематическое необновление серверного программного обеспечения, что позволило злоумышленнику использовать уязвимости? На следующей неделе я хочу на столе: ➖️ имя и фамилию ответственного должностного лица; ➖️ объяснение, как это было допущено; ➖️ информацию о том, какие последствия и ответственность последуют. 🇱🇻 МЫ НЕ ЖИВЁМ В МИРНОЙ ЦИФРОВОЙ СРЕДЕ. Латвия живёт в условиях постоянной гибридной угрозы. Рядом с нами находятся государства-агрессоры, которые используют все возможные методы против нашей страны. В то же время искусственный интеллект сделал подготовку, автоматизацию и обработку данных при кибератаках гораздо проще. Поэтому отношение — «с нами, наверное, ничего не случится» — в государственном управлении больше недопустимо. Кибербезопасность — это не технический вопрос ИТ-отдела. Это государственная безопасность. ❓ И У МЕНЯ ЕСТЬ ВОПРОСЫ И О НАЦИОНАЛЬНОМ ЦЕНТРЕ КИБЕРБЕЗОПАСНОСТИ NKC. Мне интересно, как может быть, что Национальный центр кибербезопасности, который в 2025 году располагал около 20 миллионами евро, а в 2026 году уже около 28 миллионов евро, не смог добиться существенно более высокой устойчивости государственных систем к таким атакам? Это очень серьёзное финансирование. Примерно половина бюджета общественного телевидения и радио. При таком финансировании должен быть и измеримый результат: ✅ сколько учреждений реально проверено; ✅ сколько уязвимостей устранено; ✅ в скольких системах внедрена многофакторная аутентификация; ✅ в скольких учреждениях установлены датчики https://t.co/Y2dCsXsES5; ✅ сколько проведено реальных симуляций кибератак; ✅ и кто отвечает, если известные риски годами остаются неустранёнными. У меня есть вопросы. И я жду очень конкретных ответов. Кибербезопасность нельзя навести презентациями, стратегиями и отчётами.
Открыть связанную публикацию