Кибератаки на государственные службы: кто несет ответственность и как граждане могут защитить себя?
24 октября Агентство электронного управления (AGE), Служба информационных технологий и кибербезопасности (STISC) и Агентство по кибербезопасности (ASC) объявили, что пресекли кибератаки на ряд государственных служб Республики Молдова, которые произошли в ночь на 22 октября, после того как было зарегистрировано около 11 млн. запросов на доступ. Позже, 25 октября, те же ведомства сообщили, что «прошлой ночью, примерно в 02:00, специалисты выявили и заблокировали новую попытку взлома информационных систем ряда государственных служб», а 26 октября сообщили, что услуги по подаче заявок и выдаче разрешительных документов были восстановлены.
Однако 27 октября власти сообщили, что в результате кибератаки на правительственные системы, произошедшей 19–23 октября, были похищены данные, связанные с примерно 750 тыс. идентификационных номеров IDNP, в том числе идентификационные данные, статус застрахованного лица, финансовая информация, включая IBAN.
Серджиу Бозиану, председатель Ассоциации по защите частной жизни
Кто несет ответственность? В первую очередь – те, кто проник в базу данных и взломал ее. Именно их необходимо в первую очередь установить. Но на практике административная и юридическая ответственность ложится на владельца государственных реестров и интегратора, то есть на Агентство электронного управления, а также на другие учреждения, такие как STISC, Агентство по кибербезопасности и Национальный центр по защите данных. Именно эти учреждения должны дать нам ответ.
Послушайте, я не хочу быть циничным в этой ситуации, но рано или поздно этот инцидент все равно произошел бы; я бы даже сказал, что он произошел с опозданием – слишком мало внимания было уделено сфере защиты данных и мерам безопасности.
Наталья Спыну, директор Европейского института политических исследований Молдовы
Правильный ответ имеет несколько уровней, и я считаю, что важно не смешивать их. Первый уровень – уголовный: ответственность несут те, кто совершил атаку. Какой бы слабой ни была система, сбор данных 750 000 человек является преступлением, а не «тестированием». Расследование полиции и СИБ должно привести к установлению личностей виновных, и для этого государству нужна помощь международных партнеров.
Первый урок для властей должен заключаться в том, что нельзя переходить на цифровые технологии до того, как обеспечить их защиту. Каждая новая служба должна пройти независимое тестирование с точки зрения злоумышленника до запуска, а не после инцидента.
Золотое правило на ближайшие несколько месяцев: не принимайте никаких решений по телефону. Если вам звонят «из банка», «из пенсионного фонда», «из полиции» или «из налоговой инспекции», и особенно если вас называют по имени, знают вашу пенсию или имя вашего ребенка, это ничего не доказывает. Повесьте трубку и позвоните сами по официальному номеру. Ни одно учреждение не запрашивает по телефону пароли, коды или деньги.
И остерегайтесь мошенников, которые используют сообщения типа «проверьте, не были ли украдены ваши данные, перейдите по ссылке». Власти уведомляют граждан через официальные каналы, а не через ссылки, отправленные в WhatsApp или SMS.
Андрей Курэрару, эксперт Watchdog
Я считаю, что у нас слишком мало информации, чтобы давать советы сотрудникам этих агентств. Могу только сказать, что подобные атаки будут повторяться. Мы видели атаки на государственные системы в нескольких странах, в том числе в Европе. Например Дания подверглась подобным атакам, а во Франции была атака на инфраструктуру торговых сетей, в ходе которой злоумышленники повысили температуру в холодильниках, что привело к порче продуктов.
Еще летом мы получили предупреждения от СИБ о том, что лица, связанные с правительством России, хотели бы получить доступ к персональным данным граждан Республики Молдова. Речь шла и о базе данных Шора, и о взломе некоторых правительственных баз данных. Ранее мы также столкнулись с довольно масштабной волной мошенничества. Я бы установил связь между этими двумя явлениями. Эти данные могут быть использованы мошенниками, чтобы ввести общественность в заблуждение и изъять у граждан значительные суммы денег.
Виктор Гузун, эксперт в области цифровизации
Включите двухфакторную аутентификацию на любой платформе, которой вы пользуетесь. Небольшое усилие, которое нужно приложить всего один раз, но которое обеспечит вам гораздо большую безопасность, контроль и душевное спокойствие. Смените сегодня пароли для входа в любые системы аутентификации и электронной подписи. Использование предустановленного пароля 1……1 – это не просто небрежность, а прямое приглашение для злоумышленников. Никому не передавайте свой инструмент цифровой аутентификации или пароли. Ни физически, ни онлайн, ни по телефону. Ни министру, ни главе канцелярии, ни начальнику, ни бухгалтеру, который ведет финансы вашей компании – никому. Окончательная ответственность всегда будет лежать только на вас, как и последствия. И ни за что на свете вы не сможете доказать, что не вы совершили ту или другую операцию. Любой, кто этого требует, совершает противоправное действие. Меньше риска, если вы отдадите ключ от дома или сейфа. Относитесь к любому звонку/просьбе/запросу/SMS/электронному письму как к потенциально опасному. Лучше потратить лишний день на раздумья, чем сразу же пожалеть об этом. Ни одно официальное учреждение не будет запрашивать пароль или код аутентификации. Если его запрашивают – вы стали целью атаки. В любой ситуации включайте критическое мышление.
