Atacuri cibernetice asupra serviciilor publice: cine răspunde și cum se pot proteja cetățenii?
Pe 24 octombrie, Agenția de Guvernare Electronică (AGE), Serviciul Tehnologia Informației și Securitate Cibernetică (STISC) și Agenția pentru Securitate Cibernetică (ASC) au anunțat că au oprit un atac cibernetic asupra mai multor servicii publice din R. Moldova, care s-a produs în noaptea de 22 octombrie, după ce au înregistrat aproximativ 11 milioane de solicitări de acces. Ulterior, pe 25 octombrie, aceleași instituții anunțau că „noaptea trecută, în jurul orei 02:00, specialiștii au identificat și blocat o nouă tentativă de accesare forțată a unui număr de servicii publice guvernamentale”, iar pe 26 octombrie au comunicat că serviciile pentru depunerea și emiterea actelor permisive au fost restabilite.
Pe 27 octombrie însă, autoritățile au anunțat că în urma atacului cibernetic din 19–23 octombrie asupra sistemelor guvernamentale, ar fi fost extrase date asociate unui număr de aproximativ 750 de mii de IDNP-uri, printre care date de identificare, statutul de asigurat, informații financiare, inclusiv IBAN-ul.
Cine poartă răspundere pentru compromiterea datelor? Ce lecție trebuie să învețe autoritățile și cum se pot proteja cetățenii?
Sergiu Bozianu, președinte al Asociației pentru Protecția Vieții Private
Cine poartă răspundere? În primul primul rând, cei care au penetrat și au spart baza de date. Ei, în primul rând, trebuie să fie identificați. Dar, la mod practic, răspunderea administrativă și juridică cade pe deținătorul registrelor de stat și a integratorului, deci Agenția de Guvernare Electronică, celelalte instituții, cum ar fi STISC, Agenția pentru Securitate Cibernetică, Centrul Național pentru Protecția Datelor. Acestea sunt instituțiile vizate care trebuie să ne ofere răspuns.
Uitați-vă, nu vreau sa fiu răutăcios în această situație, dar, mai devreme sau mai târziu, acest incident urma să se întâmple, eu chiar aș spune că el s-a intamplat tardiv, prea puțină atenție s-a acordat domeniului protecției datelor și măsurilor de securitate.
Natalia Spînu, expertă în securitate cibernetică
Răspunsul corect are mai multe niveluri și cred că e important să nu le amestecăm. Primul nivel este cel penal: răspund cei care au atacat. Oricâte slăbiciuni ar fi avut sistemul, extragerea datelor a 750 de mii de oameni este o infracțiune, nu o „testare”. Ancheta Poliției și a SIS trebuie să ducă la identificarea autorilor, iar statul are nevoie de partenerii internaționali pentru asta.
Prima lecție pentru autorități trebuie să fie că nu digitalizezi mai repede decât poți proteja. Fiecare serviciu nou trebuie să treacă printr-o testare independentă, din perspectiva unui atacator, înainte de lansare, nu după incident.
Regula de aur pentru următoarele luni: nu luați nicio decizie la telefon. Dacă vă sună cineva „de la bancă”, „de la pensii”, „de la poliție” sau „de la fisc”, și mai ales dacă vă spune pe nume, vă știe pensia sau numele copilului, asta nu dovedește nimic. Închideți și sunați dumneavoastră la numărul oficial. Nicio instituție nu cere parole, coduri sau bani prin telefon.
Și fiți atenți la escrocheria care va exploata chiar această știre: mesaje de genul „verificați dacă datele dumneavoastră au fost furate, accesați linkul”. Autoritățile vor anunța persoanele afectate prin canale oficiale, nu prin linkuri trimise pe WhatsApp sau SMS.
Andrei Curăraru, expert Watchdog
Eu cred că avem prea puține informații ca să le dăm sfaturi celor de la agențiile respective. Ceea ce pot eu să spun este că astfel de atacuri vor fi repetabile. Am văzut atacuri asupra sistemelor guvernamentale în mai multe state, inclusiv din Europa. Danemarca a suferit de atacuri similare, în Franța am văzut un atac asupra infrastructurii unor magazine comerciale, în care au ridicat temperatura la frigidere, stricând produsele din acestea.
Încă în vară am avut avertizări din partea SIS că actori legați de Guvernul Rusiei ar vrea să aibă acces la datele cu caracter personal ale cetățenilor R. Moldova. Ei vorbeau și despre baza de date a lui Șor, dar și despre spargerea anumitor baze de date guvernamentale. Anterior, am avut și un val destul de înalt de escrocherii. Eu aș face legătura dintre cele două fenomene. Datele ar putea să fie utilizate de escroci pentru a induce în eroare populația și a sustrage sume semnificative de bani de la ei.
