Lietuvių kompanijos hakerių taikinyje: nutekinti svarbūs žmonių duomenys

Buvo nutekinti populiarių lietuviškų kompanijų vartotojų duomenys.

Nutekinti vartotojų duomenys verčia nerimauti, jog lietuviškos kompanijos galimai taupo saugumo klausimais

Pastorosiomis savaitėmis įvairių paslaugų naudotojus pasiekia žinios apie nutekintus svarbius duomenis. Tokio vienas po kito įvykstančio vartotojų duomenų nutekinimo Lietuva vargu ar buvo patyrusi. Šiuo metu yra žinoma, kad klientų duomenų bazių dalijimosi forume, pavadinimu „Raid Forums“, jau buvo paviešinti „CityBee“, „Orakulo“, „Filmai.in“, „Darnipora.lt“ vartotojų duomenys, tačiau stebint didelį internetinių nusikaltėlių aktyvumą lietuviškų kompanijų atžvilgiu, galima tikėtis, jog toks sąrašas ateityje dar pailgės.

Veikiausiai labiausiai nuskambėjo naujiena apie nutekintus automobilių dalijimosi paslaugos „CityBee“ vartotojų duomenis. Nors nukentėjo asmenys, kurie naudojosi šia paslauga prieš trejus metus (t. y. užsiregistravo iki 2018 m. vasario 22 d.), o ne naujesni vartotojai, tačiau žala visgi išties rimta. Buvo nutekinta tokia svarbi informacija kaip klientų vardai bei pavardės, vairuotojo pažymėjimų numeriai, adresai ir asmens kodai.

Tiesa, pats kompanijos vadovas Kristijonas Kaikaris vis tiek iš pradžių tikino, kad vartotojai yra saugūs ir toks duomenų nutekinimas nepadarys žalos nei jų finansinių paslaugų saugumui, nei „CityBee“ klientų paskyroms.^[1] Visgi, net ir įvykus duomenų vagystei, apie ją „CityBee“ sužinojo iš kibernetinių saugumo specialistų, o kompanijos atstovai negalėjo paaiškinti kaip tai įvyko, todėl tai rodo didelę saugumo spragą.

Tuo tarpu dėl duomenų nutekinimo nukentėjo per 400 000 pažinčių svetainės „Darnipora.lt“ vartotojų. Visiškai nemokamai buvo paskelbti elektroniniai pašto adresai ir slaptažodžiai. Tai įvyko praėjusiais metais, tačiau informacija pakliuvo į viešumą tik dabar.^[2] Kibernetiniai nusikaltėliai buvo sukaupę didžiulę, maždaug 10 metų duomenų bazę.

Dar daugiau vartotojų – net apie 650 000 – tapo hakerių aukomis, kai šie pasikėsino į Lietuvoje veikiančią, tačiau blokuojamą piratinio turinio transliavimo svetainę „Filmai.in“. Šiuo atveju, kaip ir kitais, taip pat buvo pavogti vartotojų prisijungimo duomenys ir kibernetiniai nusikaltėliai suskubo juos patalpinti į „Raid Forums“. Buvo nutekinti žmonių, kurie naudojosi šia svetaine 2019-2020 metais prisijungimo vardai bei slaptažodžiai.^[3] O su lygiai tokia pačia problema susidūrė ir „Orakulas“^[4] – tai svetainė, kurios valdymą šiuo metu yra perimusi „OlyBet“. Iš viso hakeriai sugebėjo nutekinti 257 000 „Orakulo“ vartotojų duomenų.

Tokios didelio masto duomenų vagystės išties neramina, nes kyla klausimų, jog lietuviškos kompanijos galimai nesilaiko tinkamų reikalavimų ir duomenis laiko pakankamai nesaugiai. Tačiau, kol vyksta detalesni tyrimai, o specialistai intensyviai aiškinasi kaip buvo nutekinta svarbi informacija, negalima griežtai teigti, kad bendrovės neturėjo saugios, šiuolaikinį technologijų lygį atitinkančios duomenų saugojimo sistemos.

Bandoma tikinti, jog neverta nerimauti dėl pavogtų duomenų ar saugumo, tačiau specialistai mano kitaip

Tiek tokias rimtas saugumo spragas skaudžiai suvokusios lietuviškos kompanijos, tiek ir įvairūs pareigūnai bando raminti nukentėjusius vartotojus, jog nutekinti duomenys neturėtų kelti didelės panikos. Pavyzdžiui, Lietuvos Respublikos teisingumo ministrė tikino:^[5]

Būtent susitikime visgi įvertinome tas rizikas, kurias matome pakankamai žemas dėl vairuotojo pažymėjimo panaudojimo arba banko kortelių duomenų.

Savo išvadas teikiantys kompanijų atstovai taip pat iš pradžių stengėsi tikinti, kad vartotojai nepatirs kažkokios apčiuopiamos žalos, o iki šiol jų paslaugomis besinaudojantys asmenys yra visiškai saugūs. Tačiau kibernetinio saugumo specialistai tokių drąsių kalbų visgi vengia.

Pavyzdžiui, nagrinėdami „CityBee“ vartotojų duomenų nutekinimo atvejį, specialistai padarė išvadą, kad yra gan lengva iššifruoti klientų slaptažodžius, nors kompanijos vadovas tikino, kad jų sistema yra išties saugi ir slaptažodžiai koduojami daug sunkiau nei seniau. Saugumo specialistai tikina, kad „CityBee“ naudojo nesaugų SHA1 kriptografinį algoritmą, dėl kurio daugybės nukentėjusių vartotojų slaptažodžiai gali būti pasiekiami pernelyg nesistengiant ir vos per kelias sekundes.^[5] Tokie faktai iš tiesų verčia sunerimti dėl lietuviškų kompanijų gebėjimo apsaugoti jautrius duomenis.

Nukentėjusieji nežada tylėti – ketina bylinėtis, ieškodami teisybės

Dėl pagrobtų svarbių vartotojų duomenų policija jau pradėjo ikiteisminius tyrimus.^[6] Nors daug vartotojų per šias savaites sulaukė įvairių elektroninių laiškų, raginančių susimokėti už savo duomenis arba už tai, kad hakerių turima informacija apie juos nesklistų viešai, policija prašo netikėti jokiais grasinimais ir raginimais.

Deja, tačiau susimokėjus už savo duomenis galima prisidaryti tik dar daugiau problemų – veikiausiai teks kęsti ne tik svarbių duomenų nutekinimą, bet ir veltui prarastus pinigus. Vietoj mėginimo bendradarbiauti su kibernetiniais nusikaltėliais, policija tiesiog ragina apie tokius atvejus iš karto pranešti epolicija.lt. Taip pat visi nukentėjusieji turėtų kuo greičiau pakeisti savo prisijungimo duomenis – tiek naudotus puslapiuose ar programėlėse, tiek ir elektroniniame pašte. Reikėtų pasirinkti pakankamai sudėtingus, lengvai neatspėjamus slaptažodžius. O jei kyla klausimų dėl saugumo – kreiptis į policiją.

Dalis nukentėjusiųjų jau spėjo pradėti žengti teisiniu keliu. Pavyzdžiui, dėl „CityBee“ duomenų nutekinimo nukentėję asmenys pradėjo burtis į „Facebook“ socialiniame tinkle įkurtą grupę „Nukentėjusieji nuo Citybee“. Šios grupės nariai siekia surinkti kuo daugiau nukentėjusiųjų ir drauge teikti grupinį ieškinį dėl asmens duomenų nutekinimo. Vartotojai tikina, jog jaučiasi pagrįstai nesaugūs, o kompanija turėtų atsakyti už patirtą žalą.

Deja, tačiau tikėtina, jog ateityje vis dar pasitaikys įvairios svarbios informacijos nutekinimo atvejų. Kad būtų sumažinta tikimybė, kad įvyks tokios vagystės, kompanijos turėtų reguliariai atnaujinti savo saugumo sistemas ir visada ieškoti dar patikimesnių būdų apsaugoti jautriausius duomenis. Be to, vartotojai taip pat turėtų neužmiršti elgtis kuo atsargiau, nes įvairūs pavojai tyko net ir atsidarius neaiškų elektroninį laišką ar registruojantis įtartinose svetainėse.