Iedomāsimies parastu darba dienu lidostas gaidāmzālē. Grāmatvede atvēra klēpjdatoru, lai pirms lidojuma paspētu parakstīt kādu steidzamu līgumu. Bezmaksas WiFi tīkls pieslēdzās pats no sevis. Viņa atvēra eParakstītājs 3.0 — to pašu uzticamo, valsts nodrošināto programmu, ko lieto teju katrs Latvijas uzņēmums un iestāde. Zaļā ķeksīša mierinošā zīme parādījās kā vienmēr. Paraksts tika uzlikts. Viss izskatījās absolūti normāli.
Un tieši tāpēc tas ir tik mānīgi. Jo scenārijā, ko 2026. gada vasarā publiskoja Latvijas kiberdrošības uzņēmums OffSeq, tieši šajā mirklī — kamēr programma klusi meklēja atjauninājumus — kāds cits tīklā varēja panākt, ka datorā tiek palaists svešs, ļaunprātīgs kods. Bez brīdinājuma. Bez pogas, kas jānospiež. Aptuveni divu sekunžu laikā pēc programmas atvēršanas.
Šis raksts nav par to, lai tevi atrunātu no eParaksta lietošanas — gluži otrādi, tas ir izcils un ikdienā neaizstājams rīks, un problēma jau ir novērsta. Šis raksts ir par kaut ko dziļāku: par to, ka pat vislabāk uzturētā, valsts izstrādātā programmatūra reizēm pieviļ — un ka vienīgā aizsardzība, kas paliek spēkā arī tad, kad pieviļ prevencija, ir pārbaudīta datu rezerves kopija.
Ko OffSeq patiesībā atrada
2026. gada 12. maijā Latvijas kiberdrošības uzņēmums OffSeq ziņoja CERT.LV par ievainojamību, kas vēlāk saņēma starptautisko apzīmējumu CVE-2026-0392. Problēma slēpās nevis pašā elektroniskā paraksta kriptogrāfijā, bet gan kādā, no malas skatoties, nevainīgā vietā — programmas automātiskās atjaunināšanas mehānismā.
Vienkāršiem vārdiem: programma eParakstītājs 3.0 (Windows versija pirms 1.10.0) lejupielādēja un palaida savus atjauninājumus pa kanālu, kas nebija pienācīgi aizsargāts. Tā pieņēma pat nederīgus TLS drošības sertifikātus, nepārbaudīja, vai atjauninājuma apraksts nāk no īsta avota, un neverificēja lejupielādētā faila ciparparakstu pirms tā palaišanas. Tehniskajā klasifikācijā to sauc par nepareizu sertifikāta validāciju (CWE-295).
Praksē tas nozīmē šādu uzbrukuma scenāriju: ja tu atrodies uzbrucēja kontrolētā vai vienkārši nedrošā tīklā — publiskā WiFi kafejnīcā, viesnīcā, lidostā —, uzbrucējs var “uzdoties” par atjauninājumu serveri un pārtvert eParakstītāja pieprasījumu. Tā vietā, lai saņemtu īstu atjauninājumu no eparaksts.lv, programma saņem uzbrucēja sagatavotu failu un to palaiž pati, bez lietotāja ziņas vai piekrišanas. OffSeq dibinātājs Nils Putniņš uzsvēra, ka tieši šī iemesla dēļ ievainojamība bija jāatklāj un jānovērš klusi un ātri — jo runa ir par programmu, ar kuru cilvēki paraksta juridiski saistošus dokumentus.
Kāpēc tieši atjaunināšanas mehānisms ir tik bīstams
Šeit slēpjas svarīga doma, kas ir daudz plašāka par vienu konkrētu programmu. Mēs mēdzam iedomāties, ka bīstamas ir tikai “aizdomīgās” lietas — pirātiskā programmatūra, dīvaini e-pasti, nezināmas saites. Taču automātiskās atjaunināšanas mehānisms ir tieši pretējais: tas ir uzticamības kanāls. Tu apzināti esi ļāvis programmai pašai lejupielādēt un palaist jaunu kodu savā datorā — jo tā tam ir jādarbojas. Katra programma tavā datorā, kas atjauninās pati, ir mazs uzticības tilts uz kādu serveri kaut kur pasaulē.
Kad šāds tilts nav pareizi nostiprināts, tas pārvēršas par ideālu ceļu uzbrucējam. Nav jāpārliecina lietotājs uzklikšķināt. Nav jāapiet nekāda uzmanība. Pietiek ar to, ka lietotājs izdara kaut ko pilnīgi normālu — atver programmu. Tieši tāpēc drošības nozarē šāda veida riskus dēvē par piegādes ķēdes (supply-chain) uzbrukumiem: uzbrucējs necenšas ielauzties pa tavām durvīm, bet gan “piestiprinās” programmai, kurai tu jau uzticies.
Un te ir neērtā patiesība: tu nevari pats auditēt katru programmu, kurai uzties. Neviens no mums nezina, cik droši ir uzrakstīts katrs atjauninātājs katrā rīkā, ko lietojam ikdienā — no operētājsistēmas līdz grāmatvedības programmai. Mēs paļaujamies, ka to ir izdarījis kāds cits. Lielākoties tā arī ir. Bet CVE-2026-0392 atgādina, ka pat rūpīgi veidotā, valsts pārziņā esošā programmatūrā gadiem var mierīgi gulēt kļūda, kas atveras tikai tad, kad kāds to pamana.
“Bet mani jau tas neskāra” — kāpēc tas nav īstais secinājums
Godīguma labad jāsaka skaidri: LVRTC (Latvijas Valsts radio un televīzijas centrs), kas ir atbildīgs par eParaksta risinājumu, uzsvēra, ka ievainojamība neietekmēja elektroniskā paraksta kriptogrāfisko drošību, eID karšu darbību, PIN kodus vai jau parakstīto dokumentu spēkā esamību. Tāpat tika norādīts, ka ievainojamību nebija iespējams izmantot masveidā — katram uzbrukumam būtu nepieciešama konkrēta pozīcija upura tīklā. Problēmu novērsa jau 2026. gada 9. jūlijā ar versiju 1.10.0, un OffSeq to atklāja atbildīgi, publiskojot tikai pēc tam, kad labojums bija pieejams.
Tas viss ir patiesība un labas ziņas. Taču ir viena vieta, kur cilvēka intuīcija mūs regulāri pieviļ: no fakta, ka šoreiz masveida uzbrukuma nebija, mēs kļūdaini secinām, ka “mani tas neskar”. Bet drošības jautājumā svarīgs ir nevis tas, kas notika, bet gan tas, kas varēja notikt — un ko līdzīga kļūda spēj izraisīt nākamreiz.
Padomāsim, ko nozīmē “datorā tiek palaists svešs kods”. Tas nav abstrakts drauds. Uzbrucējs, kas spēj palaist savu programmu tavā datorā ar tavām tiesībām, var izdarīt praktiski jebko: nozagt failus, ievietot izspiedējvīrusu, kas nošifrē visus tavus dokumentus, vai vienkārši dzēst datus. Tieši tā sākas lielākā daļa nopietnu datu zuduma incidentu — nevis ar dramatisku ielaušanos, bet ar vienu klusu koda izpildi, ko neviens nepamanīja.
Kur šeit iederas rezerves kopijas
Mēs daudz rakstām par datu rezerves kopijām, un varētu likties, ka programmatūras ievainojamība ir pavisam cita tēma. Patiesībā tās ir divas vienas monētas puses. Kiberdrošība sastāv no diviem lieliem slāņiem, un tos ir svarīgi nejaukt.
Pirmais slānis ir prevencija — viss, kas cenšas nepieļaut ielaušanos: atjauninājumi, pretvīrusi, droši tīkli, uzmanīgi lietotāji, pareizi uzrakstīts kods. CVE-2026-0392 stāsts ir tieši par šo slāni — par to, kā tas reizēm pieviļ pat labākajās rokās. Un preventīvais slānis vienmēr kādreiz pievils, jo to veido cilvēki un programmas, kas nekad nav ideālas.
Otrais slānis ir noturība — spēja atgūties, kad prevencija tomēr ir pievīlusi. Un šeit rezerves kopija ir absolūtais pamatakmens. Ja uzbrucējs būtu izmantojis šādu ievainojamību, lai palaistu izspiedējvīrusu un nošifrētu tavus datus, neviens atjauninājums vairs nepalīdzētu — brūce jau būtu nodarīta. Vienīgais, kas tobrīd izšķir, vai tā ir katastrofa vai neliela neērtība, ir atbilde uz jautājumu: vai kaut kur pastāv neskarta, atgūstama datu kopija?
Tieši tāpēc mēs mēdzam teikt, ka rezerves kopija ir vienīgā drošības investīcija, kas pasargā no draudiem, kurus tu vēl pat nezini vārdā. Tā nerūpējas par to, kā tavi dati tika zaudēti — vai tas bija izspiedējvīruss, atjaunināšanas ievainojamība, nomiris cietais disks vai kļūdaini izdzēsta mape. Tā vienkārši saka: “man ir vēl viena kopija drošā vietā”. To pašu domu pierādīja arī LVM kiberuzbrukums un uzbrukums Jelgavas tipogrāfijai — noturība izšķir vairāk nekā prevencija.
3-2-1 princips: aizsardzība, kurai vienalga, no kā tā pasargā
Laba ziņa ir tā, ka noturība nav ne dārga, ne sarežģīta salīdzinājumā ar zaudējumu, no kura tā pasargā. Nozarē to sauc par 3-2-1 rezerves kopiju principu: vismaz trīs datu kopijas, uz vismaz diviem dažādiem datu nesēju veidiem, no kurām vismaz viena atrodas fiziski citā vietā un ir nošķirta no ikdienas datora un tīkla.
Tieši šis “nošķirti un citviet” ir tas, kas padara rezerves kopiju izturīgu pret tieši tāda veida draudu, kādu atklāja OffSeq:
- Izspiedējvīruss, kas nošifrē visu datorā vai tīklā? No ikdienas tīkla izolēta kopija paliek neskarta, jo ļaunprātīgais kods tai vienkārši netiek klāt.
- Uzbrucējs izdzēš vai sabojā failus? Atsevišķa, versionēta kopija ļauj atgriezties pie stāvokļa pirms incidenta.
- Pats dators jānomaina vai jāpārinstalē no nulles? Datu atjaunošana aizņem stundas, nevis nedēļas — un bez neatgriezeniska zuduma.
Ir svarīgi arī saprast atšķirību starp sinhronizāciju un īstu rezerves kopiju. Ja tavs vienīgais “drošības tīkls” ir mape, kas automātiski sinhronizējas ar mākoni, tad ļaunprātīga faila nošifrēšana vai dzēšana var vienkārši pārrakstīties arī mākonī — un “kopija” pazūd līdz ar oriģinālu. Īsta rezerves kopija glabā atsevišķas, atgūstamas versijas, kuras oriģināla bojājums neietekmē.
Tieši šī iemesla dēļ mūsu pieeja balstās uz drošu, no ikdienas iekārtām nošķirtu datu glabāšanu privātā mākoņserverī un uz papīra dokumentu digitalizāciju un arhivāciju. Mērķis nav pārdot bailes par katru jauno virsrakstu, bet gan nodrošināt, ka neviens atsevišķs incidents — pat tāds, kuru neviens vēl nav paredzējis — nespēj iznīcināt gadiem krātu vērtību.
Ko darīt tagad — praktiskie soļi
Šis konkrētais stāsts prasa divus paralēlus soļus: viens attiecas uz pašu eParakstītāju, otrs — uz tavu vispārējo noturību.
Vispirms par eParakstītāju. Pārliecinies, ka lieto versiju 1.10.0 vai jaunāku. LVRTC ir noteicis, ka pēc 2026. gada 3. septembra dokumentu parakstīšana darbosies tikai ar šo vai jaunāku versiju, tāpēc atjaunināšana tik un tā ir neizbēgama — labāk to izdarīt tagad, apzināti. Un galvenais: lejupielādē programmu tikai no oficiālās vietnes www.eparaksts.lv, nevis no meklētāja pirmās nejaušās saites vai kāda “spoguļa”. Ja neesi drošs, kā pārbaudīt versiju, to var izdarīt pašā programmā vai vaicāt savas organizācijas IT atbalstam.
Otrkārt — un tas ir daudz svarīgāk ilgtermiņā — pārskati savu rezerves kopiju stāvokli. Uzdod sev trīs jautājumus. Vai maniem svarīgākajiem datiem vispār ir atsevišķa kopija? Vai vismaz viena kopija atrodas nošķirti no ikdienas datora un tīkla? Un — vissvarīgākais — vai es kādreiz esmu pārbaudījis, ka no tās tiešām var atjaunot datus? Rezerves kopija, no kuras tu nekad neesi mēģinājis neko atjaunot, nav rezerves kopija — tā ir tikai cerība.
Vēlies pārliecināties, ka tavi svarīgākie dati paliktu droši arī tad, ja uzbrucējs izmantotu kādu vēl neatklātu ievainojamību? Sazinies ar mums, un palīdzēsim izveidot drošu, nošķirtu un pārbaudītu rezerves kopiju risinājumu — tādu, kas darbojas tieši tajā dienā, kad tas kļūst vajadzīgs.
Biežāk uzdotie jautājumi
Vai man vēl ir droši lietot eParakstītāju?
Jā. Ievainojamība CVE-2026-0392 tika novērsta ar versiju 1.10.0, un tā neietekmēja elektroniskā paraksta kriptogrāfiju, eID karšu darbību vai jau parakstīto dokumentu spēkā esamību. Vienīgais, kas jādara, ir atjaunināt programmu uz versiju 1.10.0 vai jaunāku, lejupielādējot to tikai no oficiālās vietnes eparaksts.lv.
Vai mani jau parakstītie dokumenti tagad ir “nedroši” vai spēkā neesoši?
Nē. LVRTC skaidri norādīja, ka ievainojamība neietekmēja jau parakstīto dokumentu spēkā esamību un paraksta kriptogrāfisko drošību. Problēma bija saistīta ar programmas atjaunināšanas procesu, nevis ar pašu parakstu.
Kā ievainojamība programmā ir saistīta ar rezerves kopijām?
Šāda veida ievainojamība potenciāli ļauj uzbrucējam palaist datorā svešu kodu — un no tā līdz izspiedējvīrusam vai datu dzēšanai ir viens solis. Atjauninājumi un pretvīrusi mēģina to nepieļaut, bet, ja prevencija pievils, vienīgais, kas atgriež tavus datus, ir nošķirta, pārbaudīta rezerves kopija. Prevencija samazina risku; rezerves kopija nodrošina atgriešanos.
Kas ir 3-2-1 rezerves kopiju princips?
Tas nozīmē glabāt vismaz trīs datu kopijas, uz vismaz diviem dažādiem datu nesēju veidiem, no kurām vismaz viena atrodas fiziski citā vietā un ir nošķirta no ikdienas tīkla. Šī pieeja pasargā vienlaikus no diska bojājuma, zādzības, ugunsgrēka, izspiedējvīrusa un no koda izpildes ievainojamībām līdzīgi tai, ko atklāja OffSeq.
Kā vislabāk aizsargāties publiskajos WiFi tīklos?
Izvairies veikt jutīgas darbības (piemēram, dokumentu parakstīšanu vai bankas operācijas) nedrošos publiskos tīklos; ja tas jādara, izmanto uzticamu savienojumu vai VPN. Uzturi visu programmatūru atjauninātu un lejupielādē programmas tikai no oficiālajiem avotiem. Un neatkarīgi no visa — uzturi aktuālu rezerves kopiju, kas pasargā arī tad, ja kaut kas tomēr aizgāja greizi.
