Šis ir stāsts par vienu zīmi: ≥. Ne par ģeniālu hakeri kapucē, ne par nulles dienas supertehnoloģiju, ne par valsts atbalstītu spiegošanu. Par vienu matemātisku simbolu — “lielāks vai vienāds” —, kas kādā e-pastā tika izlasīts nepareizi. Sekas: durvis, kas palika neaizvērtas divus gadus, un 44 gigabaiti “Latvijas valsts mežu” datu, kas aizceļoja pie sveša cilvēka.
2026. gada 17. augustā raidījums “De facto” publiskoja izmeklēšanu, kas šā gada skaļāko Latvijas kiberuzbrukumu pārvērš no dramatiska noziedznieka stāsta par kaut ko daudz ikdienišķāku — un tieši tāpēc daudz biedējošāku. Neuzņemsimies neko izgudrot. Vienkārši sekosim pierādījumiem.
Rekonstrukcija: divu gadu klusums
Lielākā daļa kiberuzbrukumu, par kuriem lasām ziņās, izklausās kā zibens no skaidrām debesīm. Šis nebija tāds. Tā sākums ir daudz agrāks par brīdi, kad kāds pamanīja, ka kaut kas nav kārtībā.
Pirms diviem gadiem. Kiberincidentu novēršanas institūcija CERT.LV atklāj ievainojamību vienā no LVM sistēmām, informē par to uzņēmumu un lūdz to novērst. Tas nenotiek. Sistēma paliek neatjaunināta — visticamāk, pat ilgāk par diviem gadiem.
11. jūnijs, 2026. Uzbrucējs vai grupējums ar segvārdu “ByteToBreach” iekļūst LVM iekšējā sistēmā “GeoServer”, ko uzņēmums izmanto ģeotelpisko datu apstrādei. Tieši pa šo veco, nelāpīto caurumu. Tālāk uzbrucējs klusi pārvietojas pa iekšējām sistēmām, iepazīstot tās arvien dziļāk.
22. jūnijs, 2026. Sākas aktīvā fāze: datu šifrēšana un izzagšana. Tā paša rīta plkst. 8.30 LVM secīgi atslēdz visu savu IT infrastruktūru, un līdz plkst. 10.15, sadarbībā ar CERT.LV, pilnībā bloķē tās piekļuvi internetam. Bet daļa lietas jau ir padarīta.
Pēc tam. Uzbrucējs, pasmīnot par uzņēmuma drošību, publiskā ierakstā sīki un smalki apraksta, ko izdarījis. Nopludināti 44 gigabaiti datu — un patiesais apjoms, visticamāk, ir lielāks. Starp izzagto: iekšējie dokumenti, e-pastu sarakstes, biznesa IT projektu koda repozitorijs, dažādu sistēmu sertifikāti un atslēgas, kā arī lietotāju paroles un to jaucējfunkciju vērtības. Tas pats uzbrucējs šovasar uzdarbojas arī citviet Eiropā — cita starpā kompromitē zāļu ražotāja “Olpha” serveri un organizācijas Rumānijā.
Un tagad tā detaļa, no kuras sažņaudzas dūša. Ja uzbrucējs būtu mēģinājis ielauzties divas nedēļas vēlāk, viņam tas, visticamāk, neizdotos — sistēmas atjaunināšana jau bija drīzā dienas kārtībā. Uzbrukums notika tieši tajā šaurajā laika logā, kad caurums vēl bija atvērts. Bet vai tā bija veiksme? Nē. Tas caurums bija atvērts divus gadus. Uzbrucējam vienkārši nebija jāsteidzas.
Anatomija: kā viena zīme kļūst par ielaušanās vietu
Paliek jautājums, uz kuru grib zināt atbildi ikviens: kā tā? Kā nopietns uzņēmums var divus gadus nedarīt neko ar ievainojamību, par kuru to brīdina pati valsts kiberincidentu institūcija?
Atbilde nav slinkums un nav vienaldzība. Atbilde ir “≥”.
Kad CERT.LV apraksta, kuras programmatūras versijas ir ievainojamas, tā izmanto nozarē vispārpieņemtu pierakstu — versiju diapazonus ar matemātiskajām zīmēm. Piemēram, “skartas visas versijas ≥ X” nozīmē: ievainojama ir konkrētā versija un visas jaunākās par to. LVM saņēma šādu e-pastu ar tehnisku informāciju par to, kuras programmatūras daļas ir skartas. Tikai uzņēmuma pusē šī “lielāks vai vienāds” zīme, kā skaidro CERT.LV vadītāja vietnieks Varis Teivāns, tika interpretēta nepareizi — un no tā izdarīts kļūdains secinājums, ka konkrētā LVM rīcībā esošā versija nav ietekmēta.
Tā nebija ļauna nolūka kļūda. Tas bija viens nepareizi izlasīts simbols vienā tehniskā e-pastā — un no tā izrietoša pārliecība “mūs tas neskar”, kas nostrādāja kā mierinošs, bet nepatiess signāls uz diviem gadiem. LVM IT infrastruktūras un attīstības direktors Māris Kuzmins atzīst, ka atbildība ir uzņēmuma pusē: informācija tika saprasta nepareizi. Turpmāk katrs signāls par iespējamu ievainojamību tiekot skatīts nevis “ar četrām acīm”, bet ar sešām un astoņām.
Šeit ir vērts uz mirkli apstāties. Mēs mēdzam iedomāties, ka drošība lūst tur, kur ir vājas paroles vai neuzmanīgi darbinieki, kas klikšķina uz aizdomīgām saitēm. Bet šeit brīdinājums atnāca. To izlasīja. Un tik un tā caurums palika. Prevencija — visa tā aizsardzības kārta, kas cenšas nepieļaut ielaušanos — patiesībā nav siena. Tā ir cilvēcisku spriedumu ķēde. Un jebkurš posms šajā ķēdē var klusi salūzt, tev pat to nemanot.
Kāpēc tā nav tikai “lielo” problēma
Viegli nodomāt: “Nu, tā ir liela valsts kompānija ar sarežģītām sistēmām, man tas neattiecas.” Diemžēl tieši otrādi — mazam uzņēmumam bez veselas IT nodaļas šie paši riski ir vēl tuvāk.
Kiberdrošības eksperts Kirils Solovjovs, komentējot notikušo, nosauc trīs tipiskākās organizāciju vājības. Pirmā — trūkstoši programmatūras atjauninājumi. Otrā, un maz pieminētā — nav saraksta ar visām sistēmām un tehnoloģijām, kas uzņēmumā vispār darbojas. Ja šāda inventāra nav, darbiniekiem pēc atmiņas jāatceras, kas kuru brīdi jāatjaunina. Trešā — cilvēka nespēja pamanīt uzbrukumu, kad tas jau notiek.
LVM gadījumā izgaismojas vēl kas: neatjauninātās sistēmas daļas bija iekļautas citās sistēmās, kurām gan veica drošības testus — taču tie šo konkrēto ievainojamību neatrada. Atsevišķu testu tieši šai sistēmai neveica, jo citu pārbaude šķita prioritārāka. Solovjovs piebilst svarīgu niansi: drošības testi jāveic trešajai pusei, jo sava komanda “būs akla” un nepamanīs acīmredzamo.
Salieciet to visu kopā, un iznāk neērts secinājums. Var būt profesionāla IT komanda. Var būt drošības testi. Var pat būt saņemts brīdinājums no valsts iestādes. Un caurums tāpat var palikt atvērts divus gadus. Ne tāpēc, ka kāds ir slikts savā darbā, bet tāpēc, ka prevencija sastāv no cilvēkiem un procesiem, kas nekad nav ideāli. Par to pašu, no cita leņķa, mēs rakstījām, analizējot LVM uzbrukuma mācības mazajiem uzņēmumiem un eParakstītāja ievainojamību.
Biedējošākais nav ielaušanās. Biedējošākais ir klusums.
Ja šajā stāstā ir viena doma, ko paņemt līdzi, tad tā ir šī. Divus gadus LVM sistēmās viss izskatījās kārtībā. Neviens sarkanais brīdinājums nemirgoja. Serveri strādāja. Darbinieki darīja savu darbu. Un visu šo laiku durvis bija vaļā.
Tas ir īstais pārsteigums. Ne tas, ka uzņēmumu uzlauza, bet tas, cik ilgi viss šķita labi. Jo tas nozīmē kaut ko neērtu par mums visiem: tu nevari droši zināt, ka tava prevencija šodien ir vesela. Caurums var būt atvērts un neredzams. Vienīgā lieta, ko tu tiešām vari pārbaudīt, nav tas, vai tevi uzlauzīs, bet gan tas, vai tu spēsi atgūties, kad tas notiks.
Tas nav mūsu privāts uzskats. Savā 2026. gada 2. ceturkšņa pārskatā pati CERT.LV starp prioritārajiem noturības pasākumiem — līdzās ievainojamību pārvaldībai un daudzfaktoru autentifikācijai — tieši nosauc rezerves kopiju pārvaldību. Valsts kiberincidentu institūcija, aprakstot tieši šo LVM incidentu kā piemēru tam, kā viena nenovērsta ievainojamība apdraud visu uzņēmuma darbību, kā vienu no atbildēm norāda: uztur rezerves kopijas.
Iemesls ir vienkāršs. Kiberdrošībai ir divas kārtas, un tās ir viegli sajaukt. Pirmā ir prevencija — atjauninājumi, testi, uzmanīgi lietotāji, pareizi izlasīti e-pasti. Tā ir siena, kuru, kā redzējām, tu pilnībā apskatīt un pārbaudīt nevari. Otrā ir noturība — spēja atgriezties, kad siena tomēr pievīlusi. Un šeit rezerves kopija ir pamatakmens: tai ir vienalga, kā tavi dati tika zaudēti — vai tas bija izspiedējvīruss, nolasīta ievainojamība, nomiris disks vai kļūdaini izdzēsta mape. Tā vienkārši saka: “man ir vēl viena kopija drošā vietā”.
Ir tikai viens āķis, un tas ved tieši atpakaļ pie šī stāsta. LVM divus gadus pieņēma, ka durvis ir aizvērtas — un tās nebija. Tieši tāpat lielākā daļa uzņēmumu pieņem, ka viņu rezerves kopija darbojas — nekad to nepārbaudot. Rezerves kopija, no kuras tu nekad neesi mēģinājis atjaunot datus, ir tieši tas pats, kas nelāpīta sistēma, kuru tu uzskati par drošu: nepārbaudīts pieņēmums. Par to sīkāk rakstījām stāstā “Neviens tevi nehakoja — dators vienkārši nomira”. Droša pieeja ir vienkārša: vairākas kopijas, vismaz viena no tām fiziski nošķirta no ikdienas tīkla, un — pats galvenais — regulāri pārbaudīta, vai no tās tiešām var atjaunot datus.
Tieši tāpēc mūsu pieeja balstās uz drošu, no ikdienas iekārtām nošķirtu datu glabāšanu privātā mākoņserverī un uz papīra dokumentu digitalizāciju un arhivāciju. Mērķis nav pārdot bailes par katru jauno virsrakstu, bet gan nodrošināt, ka neviens atsevišķs incidents — pat tāds, kas divus gadus paliek neredzams — nespēj iznīcināt gadiem krātu vērtību.
Viena zīme, divi gadi, 44 gigabaiti
Uzbrukuma sekas turpina risināties. Nopludinātie dati potenciāli skāra arī citus kritiskās infrastruktūras turētājus, tāpēc CERT.LV sazinājās ar tiem atsevišķi. Latvijā turpinās kriminālprocess. Premjers Andris Kulbergs pēc incidenta lika visām ministrijām pārbaudīt savu IT sistēmu drošības riskus. LVM plāno visaptverošu drošības auditu, kad būs pabeigti atjaunošanas darbi.
Bet stāsta būtība ir vienkāršāka par visu šo. Tā nav par to, ka LVM būtu bijis īpaši nolaidīgs — patiesībā uzņēmums reaģēja ātri, atslēdza sistēmas dažu stundu laikā un atklāti runā par savām kļūdām. Stāsta būtība ir par to, cik trausla ir mūsu pārliecība, ka viss ir kārtībā. Viens nepareizi izlasīts simbols. Divi gadi klusuma. Un 44 gigabaiti, kurus vairs nevar atsaukt.
Tu nevari garantēt, ka nekad nekļūdīsies lasot “≥”. Neviens nevar. Bet tu vari izdarīt to vienu izšķiršanos iepriekš — brīdī, kad viss vēl ir labi —, kas nosaka, vai nākamais klusums beigsies ar katastrofu vai ar nelielu neērtību: pārliecināties, ka kaut kur pastāv otra, nošķirta un pārbaudīta kopija.
Vēlies zināt, vai tavi svarīgākie dati paliktu droši arī tad, ja kāda ievainojamība tavā sistēmā klusi gaidītu savu brīdi? Sazinies ar mums, un palīdzēsim izveidot drošu, nošķirtu un pārbaudītu rezerves kopiju risinājumu — tādu, kas darbojas tieši tajā dienā, kad tas kļūst vajadzīgs.
Biežāk uzdotie jautājumi
Kas īsti notika “Latvijas valsts mežu” kiberuzbrukumā?
2026. gada jūnijā uzbrucējs iekļuva LVM iekšējā sistēmā caur ievainojamību, kas nebija novērsta vismaz divus gadus, lai gan CERT.LV par to bija brīdinājusi. Uzbrucējs nošifrēja un izzaga datus; publiski nopludināti aptuveni 44 gigabaiti, tostarp iekšējie dokumenti, sarakstes, koda repozitorijs, sertifikāti, atslēgas un paroļu jaucējvērtības.
Kā matemātiska zīme var izraisīt kiberuzbrukumu?
CERT.LV brīdinājumā par ievainojamām programmatūras versijām bija izmantota nozarē ierasta zīme “≥” (“lielāks vai vienāds”). LVM pusē tā tika interpretēta nepareizi, un no tā izrietēja kļūdains secinājums, ka konkrētā uzņēmuma versija nav ietekmēta. Rezultātā ievainojamība palika nenovērsta.
Ko šis gadījums māca mazam uzņēmumam bez lielas IT komandas?
To, ka prevencija nekad nav simtprocentīga — pat ar profesionāļiem, testiem un valsts brīdinājumu ievainojamība var palikt atvērta gadiem. Tāpēc līdzās atjauninājumiem un sistēmu inventāra uzturēšanai ir vitāli svarīgi ieguldīt noturībā: nošķirtā, pārbaudītā rezerves kopijā, kas ļauj atgriezties, ja aizsardzība tomēr pievils.
Kāpēc rezerves kopija palīdz, ja problēma ir ielaušanās, nevis datu zudums?
Tāpēc, ka ielaušanās bieži beidzas ar datu šifrēšanu, dzēšanu vai bojāšanu. Nošķirta rezerves kopija, kurai uzbrucēja kods netiek klāt, ļauj atjaunot datus līdz stāvoklim pirms incidenta — neatkarīgi no tā, kā tieši uzbrukums notika. Prevencija samazina risku; rezerves kopija nodrošina atgriešanos.
Kā pārbaudīt, vai mana rezerves kopija tiešām darbojas?
Vienīgais drošais veids ir periodiski mēģināt no tās atjaunot datus testa vidē. Rezerves kopija, no kuras nekad neesi neko atjaunojis, ir tikai pieņēmums — tāpat kā sistēma, kuru uzskati par drošu, to nepārbaudot. Ieplāno regulāras atjaunošanas pārbaudes un pārliecinies, ka vismaz viena kopija atrodas fiziski nošķirti no ikdienas datora un tīkla.
