Šis raksts nav stāsts par upuri. Tas ir saraksts ar lēmumiem.
Septembra sākumā kāda Latvijas uzņēmuma vadībai dažu stundu laikā nācās pieņemt virkni lēmumu, kurus neviens nekad negrib pieņemt. Vai slēgt savu mājaslapu? Ko tieši mēs par klientiem glabājam? Kam par to ziņot un cik ātri? No kā mēs vispār atjaunosim sistēmu, ja izrādīsies, ka tai vairs nevar uzticēties?
Šie paši jautājumi kādā dienā gaida katru uzņēmumu, kuram ir mājaslapa ar pieteikuma formu. Zemāk — reāls lēmumu žurnāls, kas balstīts publiski zināmajā par uzbrukumu “TSC”, un ko katrs no šiem lēmumiem maksā.
Kas notika
Viedierīču un sadzīves tehnikas remonta uzņēmums TSC, kas kopš 2022. gada ietilpst LMT uzņēmumu grupā, 11. septembrī nāca klajā ar paziņojumu par kiberdrošības incidentu. Uzbrucēji izmantoja ievainojamību uzņēmuma tīmekļvietnē un nesankcionēti piekļuva mājaslapas datubāzei, izgūstot klientu informāciju, kas bija saistīta ar remonta pieteikumu apstrādi.
Skarti aptuveni 7 % klientu — tie, kuri remontu bija pieteikuši attālināti vai pēc iekārtas nodošanas klātienē tiešsaistē veikuši, piemēram, rēķina apmaksu vai pieteikuma precizēšanu. Tie, kuri ierīci atnesa klātienē un tīmeklī neveica neko, skarti netika. Arī pašu remontam nodoto iekārtu saturs palika neaizskarts, un citi LMT grupas uzņēmumi incidentā necieta, jo TSC uztur atsevišķu IT infrastruktūru.
Lielākajai daļai skarto noplūda vārds, uzvārds vai uzņēmuma nosaukums, tālruņa numurs, e-pasta adrese un remonta kvīts numurs. Bet uzņēmuma paziņojumā ir arī rindkopa, kurai vajadzētu likt apstāties ikvienam, kurš tur veidlapu savā mājaslapā. Atsevišķos gadījumos trešajām pusēm kļuva pieejami ierīču IMEI numuri, remontam nodoto iekārtu atbloķēšanas kodi, bankas kontu numuri un personas kodi norēķiniem, piegādes adreses un pat ēku ārdurvju piekļuves kodi. Klientiem, kuri pieteikumā bija norādījuši ekrāna atbloķēšanas kodu vai mājokļa durvju kodu, uzņēmums ieteica tos nekavējoties nomainīt.
CERT.LV kiberdrošības eksperts Kārlis Svilans norādīja uz pazīmēm, kas raksturīgas automatizētai ievainojamu lauku skenēšanai, un uzsvēra, cik svarīgi ir apzināt visus uz āru vērstos resursus un reaģēt ātri. Proti: nekāds izcils hakeris tevi personīgi nav izvēlējies. Tava lapa vienkārši atbildēja uz skeneri.
Lēmums pirmajā stundā: cik maksā izslēgt savu mājaslapu
TSC drošības apsvērumu dēļ mājaslapu slēdza. Klātienes servisa centri turpināja strādāt, bet tiešsaistes pieteikšanās un remonta statusa pārbaude vairs nebija pieejama. Lapa atgriezās tikai tad, kad bija veikts padziļināts pirmkoda drošības audits un novērstas konstatētās ievainojamības.
Šis ir grūtākais lēmums, jo to pieņem, vēl nezinot, cik plaša ir problēma. Nav slēgt — nozīmē, ka uzbrucējs, iespējams, joprojām iekšā. Slēgt — nozīmē zaudēt pieteikumus, ienākumus un klientu uzticību uz nenoteiktu laiku. Vienīgais, kas šo lēmumu padara vieglāku, ir atbilde uz jautājumu: cik ilgi man vajadzēs, lai lapu atjaunotu no tīras versijas? Ja atbilde ir “es nezinu”, tad faktiski tu izvēlies starp diviem nezināmiem.
Lēmums, kas bija pieņemts jau pirms gada: kādus laukus prasa tava veidlapa
Ievainojamību uzbrucējs atrada septembrī. Bet lēmums par to, kas viņu tur gaidīs, tika pieņemts daudz agrāk — dienā, kad kāds izstrādāja pieteikuma formu un nolēma, kuri lauki tajā būs.
Durvju kods datubāzē nonāca nevis ļaunprātības dēļ, bet ērtības dēļ: kurjeram taču jātiek pie klienta. Ekrāna atbloķēšanas kods tur nonāca, jo meistaram jāpārbauda, vai telefons pēc remonta ieslēdzas. Katrs lauks atsevišķi ir loģisks. Kopā tie veido failu, kurā ir cilvēka vārds, adrese, kā iekļūt viņa mājā un kā atvērt viņa telefonu.
Tieši tāpēc datu minimizācija nav birokrātisks VDAR jēdziens, bet gan tiešs drošības pasākums: dati, ko tu nesavāc, nevar noplūst; dati, ko tu izdzēs pēc darījuma beigām, nevar noplūst pēc gada. Zīmīgi, ka pēc incidenta TSC pārskatīja arī datubāzes struktūru, lai samazinātu glabāto klientu datu apjomu. Šo soli var izdarīt jebkurā dienā. Lētāk to izdarīt pirms.
Lēmums trešajā stundā: kam zvanīt
Uzņēmums par notikušo informēja Datu valsts inspekciju, tiesībsargājošās iestādes un CERT.LV, kā arī piesaistīja neatkarīgus kiberdrošības ekspertus.
Šeit nav izvēles brīvības, un to ir vērts zināt iepriekš. Vispārīgā datu aizsardzības regula paredz, ka par personas datu aizsardzības pārkāpumu uzraudzības iestādei jāpaziņo 72 stundu laikā no brīža, kad tas kļuvis zināms, un, ja pārkāpums rada augstu risku personu tiesībām un brīvībām, jāinformē arī paši cilvēki. Praksē tas nozīmē, ka trīs dienu laikā tev jāspēj pateikt, kādi dati un par cik cilvēkiem atradās sistēmā uzbrukuma brīdī. Uzņēmums, kurš to nezina, šajās 72 stundās nemeklē uzbrucēju — tas meklē pats sevi.
Lēmums, ko neviens neredz: no kā tu atjauno
Būsim godīgi, jo šis ir svarīgi: rezerves kopija šo noplūdi nebūtu novērsusi. Ja dati ir nokopēti, tie ir ārā, un neviena kopija tos neatsauks. Tā pati godīguma prasība mums bija jāpiemēro arī, rakstot par PTAC datu noplūdi.
Bet rezerves kopija izšķir trīs citas lietas, un visas trīs šajā stāstā parādās:
- Cik ilgi lapa stāv slēgta. Atjaunošana no pārbaudītas, tīras kopijas ir stundu jautājums. Lapas atjaunošana no nulles, vienlaikus mēģinot saprast, kas tajā bija mainīts, ir nedēļu jautājums.
- Vai tu vari pierādīt, kas notika. Datubāzes stāvoklis un žurnāli pirms incidenta ir vienīgais veids, kā salīdzināt “kā bija” ar “kā ir”. Bez tā ziņojums uzraudzības iestādei ir minējums.
- Kas notiek, ja uzbrucējs nebūtu kopējis, bet dzēsis. Tā ir tā pati ievainojamība un tās pašas durvis. Šoreiz datus paņēma. Citreiz tos nošifrē, un tad rezerves kopija ir vienīgais, kas atgriež uzņēmumu darbā.
Un vēl viena nianse, ko mazie uzņēmumi bieži nepamana: hostinga pakalpojuma sniedzēja kopija nav tava kopija. Par to, kāpēc tas ir svarīgi, rakstījām atsevišķi — kad hostings kļūdās.
Lēmums piektajā dienā: ko tu saki klientiem
TSC brīdināja klientus par krāpniekiem, kuri iegūtos datus var izmantot, un atgādināja, ka uzņēmuma darbinieki nekad nezvanīs ar lūgumu apstiprināt Smart-ID vai eParaksta pieprasījumus, nosaukt paroles vai steidzami veikt maksājumus.
Tas ir pareizais solis, un tas ir tā paša scenārija turpinājums, par kuru rakstījām pēc uzbrukuma CSDD: nozagto datu īstā vērtība nav pati par sevi, bet gan spēja ar tiem izskatīties ticamam. Cilvēks, kuram piezvana un nosauc viņa telefona IMEI, remonta kvīts numuru un datumu, neapšaubīs neko.
Tāpēc komunikācijas lēmums ir daļa no drošības, ne mārketinga. Klusēšana šeit maksā vairāk nekā neveikls paziņojums.
Lēmumi, ko vari pieņemt jau šodien
Visi iepriekšējie lēmumi tika pieņemti spiediena apstākļos. Šie — nē.
- Izdrukā savu pieteikuma formu un pārskati katru lauku ar vienu jautājumu: vai man šis dators tiešām jāsaglabā? Ja atbilde ir “varbūt noderēs”, lauku var noņemt.
- Noskaidro, cik ilgi dati paliek datubāzē. Lielākajā daļā mazo uzņēmumu mājaslapu atbilde ir “mūžīgi”, jo neviens nekad nav uzdevis šo jautājumu.
- Uzzini, kur ir tavas mājaslapas rezerves kopija un kad no tās pēdējoreiz kaut kas tika atjaunots. Ja nekad — tā ir cerība, nevis kopija.
- Uzturi spraudņus un tēmas atjauninātas. Automatizētie skeneri meklē tieši publiski zināmas ievainojamības; par to, cik ātri tās parādās, rakstījām rakstā par viena mēneša ievainojamībām.
- Uzraksti vienu lapu ar telefonu numuriem: kas slēdz lapu, kas zvana DVI, kas runā ar klientiem. Šo lapu vajag pirms dienas, kad tā būs vajadzīga.
Vēlies zināt, cik ātri tava mājaslapa un tavi dati atgrieztos darbā, ja rīt tos nāktos slēgt? Sazinies ar mums — izvērtēsim, kur tavi dati atrodas, cik no tiem tev tiešām jāglabā un kā izveidot nošķirtu, pārbaudītu rezerves kopiju.
Biežāk uzdotie jautājumi
Vai mani skāra uzbrukums TSC?
Pēc uzņēmuma sniegtās informācijas skarti aptuveni 7 % klientu — tie, kuri remontu pieteica attālināti vai pēc iekārtas nodošanas klātienē veica darbības tīmeklī, piemēram, apmaksāja rēķinu. Klienti, kuri ierīci nodeva klātienē un tīmeklī neveica neko, skarti netika. Ja pieteikumā biji norādījis ierīces atbloķēšanas kodu vai mājokļa durvju kodu, uzņēmums iesaka tos nomainīt.
Kāpēc mājaslapa ir tik bieža uzbrukuma vieta?
Tāpēc, ka tā ir vienīgā tava sistēma, kas pēc definīcijas ir pieejama visiem. Automatizēti skeneri nepārtraukti pārbauda publiskās vietnes, meklējot zināmas ievainojamības formās, spraudņos un failu augšupielādēs. Uzbrucējam nav tevi jāizvēlas — pietiek, ka tava lapa atbild.
Vai rezerves kopija būtu novērsusi datu noplūdi?
Nē. Ja dati ir nokopēti, kopija tos neatgriež. Rezerves kopija izšķir, cik ātri tu atgriezies darbā, vai spēj pierādīt, kas sistēmā atradās incidenta brīdī, un ko tu dari, ja uzbrucējs datus nevis nokopē, bet nošifrē vai izdzēš.
Cik ātri par datu noplūdi jāziņo?
Vispārīgā datu aizsardzības regula paredz paziņot uzraudzības iestādei 72 stundu laikā no brīža, kad pārkāpums kļuvis zināms. Ja pārkāpums rada augstu risku cilvēku tiesībām un brīvībām, bez nepamatotas kavēšanās jāinformē arī paši datu subjekti. Latvijā uzraudzības iestāde ir Datu valsts inspekcija.
Ko darīt uzreiz pēc ziņas, ka mani dati ir noplūduši?
Nomaini kodus un paroles, kas varēja būt iekļauti datos, un uz kādu laiku kļūsti īpaši skeptisks pret zvaniem un vēstulēm, kas atsaucas uz taviem patiesajiem datiem. Neviens uzņēmums un neviena iestāde neprasīs pa telefonu apstiprināt Smart-ID vai eParaksta pieprasījumu, nosaukt paroli vai steidzami veikt maksājumu.
