Iz moldavske e-uprave, kroz servise bez prijave, izvučeni podaci 750.000 ljudi
Napadači su pet dana izvlačili podatke građana Moldavije iz državnih e-servisa za koje nije bila potrebna nikakva prijava. Prema preliminarnoj proceni Agencije za elektronsku upravu, od 19. do 23. oktobra pokušali su da dođu do podataka vezanih za oko milion ličnih identifikacionih brojeva, moldavskog pandana našem JMBG-u. Za oko 750.000 su uspeli, i to u zemlji od oko 2,4 miliona stanovnika. Među izvučenim podacima su imena, datumi rođenja, članovi uže porodice, osiguranje, penzije, invaliditet, vozačke dozvole, fotografije, vozila i firme, ali i brojevi bankovnih računa, poreski dugovi i istorija plaćanja državnih usluga. Nemaju svi pogođeni izložene sve navedene podatke. Platne kartice nisu ugrožene, jer se njihovi podaci čuvaju kod banaka, a izmene u državnim registrima nisu pronađene. Deo građana je trag napada mogao da vidi i sam: u aplikaciji EVO, gde se prikazuje ko je pristupao njihovim podacima, pojavili su se zapisi o izdavanju izvoda iz matičnih knjiga i vozačkih dozvola koje nisu zahtevali. Izvlačenje je zaustavljeno 23. oktobra pre podne, kada je isključeno 82 javna servisa i više od 30 sistema. Premijer Vasile Tofan kaže da postoje naznake šire kampanje uz učešće stranih država, ali nijednu nije imenovao. Direktorka agencije je smenjena, a predsednica Maja Sandu sazvala je Savet bezbednosti.
Ovo je drugi put u mesec dana da neko iz državnog registra izvuče podatke miliona ljudi tako što ga zatrpa upitima. U Danskoj je bilo 14 miliona upita za desetak dana, preko odobrenog naloga posredničke firme. U Moldaviji je bilo 11 miliona za pet dana, bez prijave i naloga. Država nije ostavila otključana vrata, nego šalter koji odgovara svakome ko pita, bez ograničenja. Odlazeća direktorka kaže da agencija ima 74 zaposlena, od 108 odobrenih i najmanje 140 preporučenih, a kad je preuzela, vodila je više od 30 sistema i 200 servisa. To nije izgovor, ali objašnjava kako mala ekipa ljudi održava celu državnu mrežu, i zašto se brže pravi nov servis nego što se proverava stari. Prava šteta tek dolazi: lažni bankar ili službenik koji zna ime, porodicu, penziju i broj računa zvuči vrlo ubedljivo. Tofan je to sažeo rečenicom koja bi mogla da stoji na zidu svake državne agencije za digitalizaciju: balans treba pomeriti sa popularizacije na bezbednost.
- Ako se javi neko ko predstavlja banku ili državnu službu i zna previše o tebi, prekini razgovor i pozovi instituciju na broj sa njenog zvaničnog sajta — to što zna tvoje podatke nije dokaz da je poziv pravi
- Broj računa sam po sebi ne otvara pristup novcu, ali kodove za potvrdu plaćanja i lozinke ne daj nikome, ni onome ko se predstavlja kao banka
- Ako upravljaš javnim e-servisom, popiši sve što vraća lične podatke bez prijave i ograniči broj upita po korisniku i adresi
- Postavi upozorenje na nagli skok broja upita prema registrima — milion različitih ličnih brojeva za nekoliko dana nije normalan rad servisa
- Ako servis građanima pokazuje ko je pristupao njihovim podacima, daj im i jednostavan način da prijave sumnjiv zapis