Dar viena duomenų vagystė: pavogta apie 60 tūkst. medikų duomenų Generalinė prokuratūra pradėjo tyrimą, sureagavo NKSC vadovas (2)

Pirminio vertinimo duomenimis, incidentas įvyko birželio 7–8 dienomis, pažeidimas pastebėtas naktį iš birželio 8 d. į birželio 9 d. Pirminiais duomenimis, pasinaudojus trečiųjų šalių atviro kodo įrankio „Apache Superset“ spraga, buvo atliktas neautorizuotas prisijungimas.

Sureaguota buvo iš karto ir per kelias valandas pažeidimas buvo užkardytas – atjungta išorinė prieiga, lokalus prisijungimas, deaktyvuoti prieigos raktai, imtasi kitų saugumo priemonių. Institucijos ir sistemą prižiūrinčio tiekėjo specialistai tęsia stebėseną, yra pasiruošę ir, jei bus indikacijų apie kibernetinį pavojų, iškart bus taikomos papildomos priemonės.

Incidento metu galimai galėjo būti pasiekta sveikatos priežiūros specialistų profesinė ir kontaktinė informacija (iki 62 203 įrašų), įstaigų administratorių duomenys (iki 156 įrašų), pakopinių kompetencijų duomenys (iki 365 įrašų) ir sisteminiai – techniniai metaduomenys. Visi vartotojai, kurių duomenys galėjo būti pasiekti, apie situaciją informuoti elektroniniu paštu. Incidentas šiuo metu yra tiriamas, daugiau informacijos pasidalinsime artimiausiomis dienomis.

Apie incidentą pagal nustatytą tvarką informuoti Nacionalinis kibernetinio saugumo centras, Valstybinė duomenų apsaugos inspekcija, Valstybinė skaitmeninių sprendimų agentūra. Palaikomas nuolatinis ryšys su Sveikatos apsaugos ministerija, kuri dėl incidento kreipėsi į Generalinę prokuratūrą.

Tarnybos informacinė sistema, kuri patyrė incidentą yra praėjusi kibernetinio saugumo bandymus, vartotojai į ją jungiasi per el. valdžios vartus.

„Nustačius incidentą buvo aktyvuotos reagavimo procedūros ir kartu su specialistais imtasi visų būtinų veiksmų galimai neteisėtai prieigai sustabdyti. Šiuo metu mūsų prioritetas – išsamiai ištirti incidento aplinkybes, įvertinti galimą poveikį ir užtikrinti, kad būtų įgyvendintos visos papildomos priemonės duomenų saugumui stiprinti, ir informuoti sistemos vartotojus. Suprantame šios situacijos jautrumą ir siekiame užtikrinti maksimalų skaidrumą bei naujausios informacijos teikimą visuomenei“, – sako VASPVT direktorius Tadas Žentelis.

Apgailestaujame dėl susidariusios situacijos. Apie reikšmingą naują informaciją ir tyrimo rezultatus visuomenę informuosime papildomai.

Generalinė prokuratūra pradėjo ikiteisminį tyrimą dėl galimai neteisėto prisijungimo prie Valstybinės akreditavimo sveikatos priežiūros veiklai tarnybos sistemos, sako generalinė prokurorė Nida Grunskienė.

„Šiandien gavome iš Sveikatos apsaugos ministerijos pranešimą ir pradėtas ikiteisminis tyrimas (…) dėl neteisėto prisijungimo prie informacinių sistemų“, – žurnalistams Seime trečiadienį sakė Generalinė prokurorė.

Anksčiau sveikatos apsaugos ministrė Marija Jakubauskienė teigė, kad antradienį vėlai vakare suvaldytas kibernetinis incidentas šios tarnybos valdomoje sistemoje, pažeidėjai galėjo pasiekti medikų duomenis.

Pasak generalinės prokurorės, tyrimas pradėtas tik trečiadienį, todėl kol kas daugiau jokių duomenų pateikti nėra galimybės.

Ministrė anksčiau teigė, kad incidentas įvyko birželio 7–8 dienomis, o pastebėtas naktį iš birželio 8-osios į 9-ąją.

M. Jakubauskienės teigimu, pirminiais duomenimis, pasinaudojus trečiųjų šalių atviro kodo įrankio „Apache Superset“ spraga, buvo atliktas neautorizuotas prisijungimas, tačiau nebuvo pasiekta centrinė E.sveikatos sistema, kurioje saugomi jautrūs pacientų duomenys.

Pasak ministrės, incidento metu pažeidėjai galėjo pasiekti specialistų profesinę ir kontaktinę informaciją, daugiau nei 62 tūkst. įrašų, įstaigų administratorių duomenis, pakopinių kompetencijų duomenis ir sisteminius techninius metaduomenis.

Tyrimas dėl RC duomenų vagystės išplėstas: aiškinamasi dėl galimo tarnybos pareigų neatlikimo

Apie galimą incidentą SAM sistemose pranešta pastaruoju metu pranešus apie kelis galimus duomenų nutekėjimo incidentus iš valstybės institucijų.

Generalinė prokurorė trečiadienį Seime dalyvavo Teisės ir teisėtvarkos komiteto (TTK) posėdyje, kur bus aptariami neseniai paaiškėję duomenų nutekėjimo iš Registrų centro (RC), galimo įsilaužimo į Migracijos departamento darbuotojų paskyras incidentai.

N. Grunskienės teigimu, dėl RC incidento balandžio viduryje pradėtas ikiteisminis tyrimas atliekamas pagal tris Baudžiamojo kodekso straipsnius, o šią savaitę jis išplėstas įtraukiant dar vieną straipsnį – dėl tarnybos pareigų neatlikimo.

„Renkami visi įrodymai, stengiamasi atsakyti į visus klausimus. Taip pat šiandien galiu pasakyti, kad neturime jokios informacijos, kad būtų bandoma įsilaužti į registrus, kuriuose yra saugomi asmenų biometriniai duomenys, (…) ikiteisminis tyrimas tęsiamas, nežinau, kas bus po mėnesio“, – sakė ji.

Anot generalinės prokurorės, išplėtus tyrimą bus siekiama nustatyti, ar visos institucijos incidento kontekste tinkamai atliko pareigas, taip pat bus siekiama atsakyti į su visuomenės informavimu susijusius klausimus.

Anksčiau taip pat paskelbta, kad galėjo būti įsilaužta į Vidaus reikalų ministerijos (VRM) įstaigų darbuotojų paskyras.

Vidaus reikalų ministras Vladislavas Kondratovičius tuomet sakė, kad ministerijos informacinės sistemos ir gyventojų biometriniai duomenys yra saugūs.

Jis taip pat patikslino, kad šiuo metu duomenų nutekėjimo nefiksuota, įtarimai dėl galimo įsilaužimo susiję su VRM įstaigų darbuotojų elektroninio pašto dėžutėmis.

Kaip skelbė ELTA, Generalinė prokuratūra balandžio 15 d. pradėjo tyrimą dėl incidento, per kurį iš Registrų centro (RC) galėjo būti pavogta daugiau nei 600 tūkst. nekilnojamojo turto išrašų, dėl to patirta žala siekia ne mažiau nei 111 tūkst. eurų.

Duomenų apsaugos inspekcijos teigimu, per vagystę paveiktų gyventojų skaičius yra kiek mažesnis – siekia apie 0,5 mln.

Trečiadienį pasirodžius informacijai apie galimai neteisėtą prisijungimą prie Valstybinės akreditavimo sveikatos priežiūros veiklai tarnybos sistemos, Nacionalinio kibernetinio saugumo centro vadovas Antanas Aleknavičius tikina, jog tai neturėtų būti laikoma koordinuotos kibernetinės atakos dalimi. Esą anksčiau nuskambėję panašūs atvejai, susiję su Registrų centro (RC) ir Vidaus reikalų ministerijos (VRM) duomenimis, buvo kitokie.

„Kol kas to (koordinuotos kibernetinės atakos – ELTA) tikrai nematome. Tai yra pavieniai incidentai, nes realiai VRM ir RC incidentai yra vienas su kitu susiję. Čia buvo kaip trečiųjų šalių panaudojimo metodas. Ką matome su Sveikatos akreditavimo įstaigos sistemomis – tai yra susiję su tiekėjų problematika“, – žurnalistams trečiadienį sakė A. Aleknavičius.

Jis pažymėjo, kad kol kas nėra aišku, kokia tai galėjo būti trečioji šalis.

„Pagal mūsų turimą informaciją, skiriasi pats incidentas, incidento logika (…). Buvo pasinaudota spragomis ir galbūt sistemos netobulumais. Dėl to ir sakau, kad tai nėra tas pats metodas, kuris buvo panaudotas RC (…). Šiuo metu vertiname tos spragos poveikį, mastą, kiek ji galėtų būti išnaudojama kitose sistemose. Nes pirmines ataskaitas turime, tiksliname duomenis, kad galėtume pasakyti, kiek tai yra pavojinga“, – teigė jis.

Pasak NKSC vadovo, apie incidentą sužinota antradienį vakare, kiek truko neteisėti veiksmai – kol kas neaišku.

„Mes apie incidentą sužinojome vakar vakare, iškart jį užregistravome (…). Apie pačią trukmę dar turėsime patikslinti galutinėse ataskaitose, nes pirminiuose pranešimuose tos informacijos tiesiog nėra“, – sakė A. Aleknavičius.

Jo teigimu, ar tai – priešiškų valstybių veiklos rezultatas, atsakyti turėtų valstybės žvalgybos institucijos.

„Apie priešiškų veiklų veiklą – mes turime kolegas iš žvalgybos institucijų, kurie, matyt, ir galėtų pakomentuoti“, – žurnalistams sakė jis.

Paklaustas, ar duomenys, kurie buvo nutekinti pastarojo incidento metu, nebuvo pastebėti juodojoje rinkose, NKSC vadovas atsakė neigiamai.

„Jie (Valstybinė akreditavimo sveikatos priežiūros veiklai tarnyba – ELTA) ir viešame pranešime apie tai pakankamai aiškiai pasakė, kad tie duomenys nutekėjo. Iš to mes tai pat darome išvadą, kad jie buvo paimti (…). Kol kas jų nėra juodojoje rinkoje. Bent jau mes neužfiksavome, nors mes tą stebime. Pardavime, pavadinkime taip, jų nėra. Jei atsiras – informuosime, kokie tie duomenys“, – kalbėjo A. Aleknavičius.

„Kalbant apie RC, tų duomenų lygiai taip pat nėra (…). Pagal tai, ką mes stebime, tie duomenys rinkoje atsiranda po to, kai pasiekia savo pirminius tikslus. Kokie buvo tie pirminiai piktavalių tikslai – tik spėlionės“, – sakė jis.

Pasak A. Aleknavičiaus, pasikeitus kibernetinio saugumo reikalavimams, tai, kaip jų yra laikomasi, bus galima vertinti tik kitais metais, pasibaigus tam skirtam terminui.

„Pasikeitė kibernetinio saugumo reikalavimai ir tiek valstybinis, tiek nevalstybinis (…) sektorius privalo įgyvendinti naujuosius kibernetinio saugumo reikalavimus. Dėl organizacinės dalies – terminas jau yra suėjęs. Tai buvo šių metų balandžio 17 d. Dėl techninės dalies – kitų metų balandžio 17 d. Tuomet mes įgysime teisę realiai patikrinti visus ir turėti bendresnį žemėlapį, kiek atitinka kibernetinio saugumo reikalavimus, kiek neatitinka (…). Šiam momentui tokių duomenų nėra“, – trečiadienį aiškino NKSC vadovas.

„Kibernetinis saugumas susideda ne tik iš atitikties, bet ir iš to, kiek įstaigos skiria dėmesio šitai temai, nes tai nėra kažkoks vienkartinis veiksmas, kur sudėjai checklistus, ir jau saugu. Tai yra organizacijos kultūros dalis. Organizacijoms tą kultūrą susikurti (…) gali užtrukti ne vieną ir ne dvi dienas“, – pažymėjo A. Aleknavičius.

Anksčiau sveikatos apsaugos ministrė Marija Jakubauskienė teigė, kad antradienį vėlai vakare suvaldytas kibernetinis incidentas šios tarnybos valdomoje sistemoje, pažeidėjai galėjo pasiekti medikų duomenis. Ministrė anksčiau teigė, kad incidentas įvyko birželio 7–8 dienomis, o pastebėtas naktį iš birželio 8-osios į 9-ąją.

M. Jakubauskienės teigimu, pirminiais duomenimis, pasinaudojus trečiųjų šalių atviro kodo įrankio „Apache Superset“ spraga, buvo atliktas neautorizuotas prisijungimas. Tačiau nebuvo pasiekta centrinė e. sveikatos sistema, kurioje saugomi jautrūs pacientų duomenys.

Pasak ministrės, incidento metu pažeidėjai galėjo pasiekti specialistų profesinę ir kontaktinę informaciją, daugiau nei 62 tūkst. įrašų, įstaigų administratorių duomenis, pakopinių kompetencijų duomenis ir sisteminius techninius metaduomenis.

Anksčiau skelbta, kad galėjo būti įsilaužta į VRM įstaigų darbuotojų paskyras. Dar anksčiau paaiškėjo, kad iš RC nuo metų pradžios galėjo būti pavogta daugiau nei 600 tūkst. nekilnojamojo turto išrašų, dėl to patirta žala siekia ne mažiau nei 111 tūkst. eurų.

Atsižvelgiant į šiuos atvejus, A. Aleknavičius pažymi, jog Vladislavo Kondratovičiaus vadovaujama VRM pastaraisiai metais dėjo pastangas tobulindama savo sistemas. Tačiau ar buvo padaryta viskas, ko reikėjo, kol kas esą neaišku.

„Faktas tas, kad pagal mūsų įstatyminę sandarą už savo sistemas, kibernetinę saugą atsako vadovas. Ne be reikalo, kai atnaujinome Kibernetinio saugumo įstatymą prieš porą metų, tą nuostatą dar kartą (…) visiems įrašėme, kad įstaigos vadovai privalo organizuoti, mokytis patys, šviesti savo darbuotojus ir kurti tą kibernetinio saugumo kultūrą“, – kalbėjo A. Aleknavičius.

„VRM tikrai kūrė, tikrai tobulėjo. Ar viskas buvo padaryta, matyt, kitas vertinimas“, – pažymėjo jis.

A. Aleknavičius taip pat sakė, kad su krašto apsaugos ministru Robertu Kaunu aptarė galimas kibernetinio saugumo stiprinimo priemones.

„Tikrai turime idėjų, kalbame su krašto apsaugos ministru, su KAM, kokios priemonės būtų pačios efektyviausios. Artimiausiu metu, kai jau bus apsitarta, ir nuspręsime, kad tai bus efektyviausias modelis valstybei, kuris darys iš tiesų didžiausią pokytį (…), išgirsite daugiau“, – sakė NKSC vadovas.

Jo teigimu, vienas iš diskutuotinų variantų galėtų būti dalinis centralizavimas.

„Dalinis centralizavimas, pavadinkime taip. Bet čia nėra kalbama vien tik apie kibernetinę saugą, (kalbama – ELTA) apskritai apie IT architektūros klausimus, IT valdyseną, nes šiuo metu kiekviena organizacija pati sprendžia, kokių sistemų ji nori, kokios specifikacijos bus. Tai kalbama apie tokį bent iš dalies centralizuotą modelį, kur valstybėje atsirastų vienas IT sistemų architektas, kuris ir pasirūpintų visa architektūra. Su juo, iš principo, reikėtų derinti kiekvieną sistemą“, – kalbėjo centro vadovas.

„Tai nebūtų duomenų centras. Tai būtų kokia nors institucija ar pareigūnas, kuris būtų atsakingas už architektūrą“, – aiškino jis.

ELTA primena, jog pasirodžius informacijai apie galimai nutekintus medikų duomenis, Generalinė prokuratūra pranešė pradėjusi ikiteisminį tyrimą.

Ikiteisminį tyrimą pavesta atlikti Lietuvos kriminalinės policijos biurui.

Tuo metu dėl RC incidento balandžio viduryje pradėtas ikiteisminis tyrimas šią savaitę buvo išplėstas.

Paaiškėjus, kad per įsilaužimą į sistemą galėjo būti pasiekta 62,2 tūkst. gydytojų duomenų, Valstybinė akreditavimo sveikatos priežiūros veiklai tarnyba (VASPVT) teigia vertinanti galimą incidento poveikį ir užtikrinanti papildomas saugumo priemones.

„Nustačius incidentą buvo aktyvuotos reagavimo procedūros ir kartu su specialistais imtasi visų būtinų veiksmų galimai neteisėtai prieigai sustabdyti. Šiuo metu mūsų prioritetas – išsamiai ištirti incidento aplinkybes, įvertinti galimą poveikį ir užtikrinti, kad būtų įgyvendintos visos papildomos priemonės duomenų saugumui stiprinti, ir informuoti sistemos vartotojus“, – pranešime sakė VASPVT direktorius Tadas Žentelis.

„Suprantame šios situacijos jautrumą ir siekiame užtikrinti maksimalų skaidrumą bei naujausios informacijos teikimą visuomenei“, – teigė jis.

Tarnybos teigimu, į incidentą buvo sureaguota iš karto, todėl pažeidimas buvo užkardytas per kelias valandas.

Trečiadienį sveikatos apsaugos ministrė Marija Jakubauskienė pranešė, kad incidentas įvyko birželio 7–8 dienomis, o pastebėtas naktį iš birželio 8-osios į 9-ąją.

Pirminiais duomenimis, pasinaudojus trečiųjų šalių atviro kodo įrankio „Apache Superset“ spraga, buvo atliktas neautorizuotas prisijungimas, tačiau nebuvo pasiekta centrinė E.sveikatos sistema, kurioje saugomi jautrūs pacientų duomenys.

Incidento metu pažeidėjai galėjo pasiekti ir nukopijuoti daugiau nei 62 tūkst. sveikatos priežiūros specialistų asmens duomenis, maždaug 156 įstaigų administratorių ir kelis šimtus pakopinių kompetencijų ir techninių metaduomenų.

Generalinė prokurorė Nida Grunskienė pranešė, kad trečiadienį dėl incidento pradėtas ikiteisminis tyrimas pagal Baudžiamojo kodekso 198 str. dėl neteisėto prisijungimo prie informacinės sistemos.

Tarnyba teigia, kad visi vartotojai, kurių duomenys galėjo būti pasiekti, apie situaciją informuoti elektroniniu paštu.

Incidentas šiuo metu yra tiriamas, daugiau informacijos tarnyba ketina pateikti artimiausiomis dienomis.

Apie naujausią kibernetinį pažeidimą taip pat informuoti Nacionalinis kibernetinio saugumo centras (KKSC), Valstybinė duomenų apsaugos inspekcija, Valstybinė skaitmeninių sprendimų agentūra.