Kibernetinio saugumo tyrėjai patvirtino aptikę didžiulę, neapsaugotą duomenų bazę su beveik 1 mlrd. įrašų. Buvo paviešinti daugybės žmonių asmens kodai, el. pašto adresai, telefonų numeriai ir net tapatybės dokumentų kopijos. Incidentas siejamas su skaitmeninės tapatybės patvirtinimo paslauga, kurią visame pasaulyje teikia „IDMerit“.
Kibernetinio saugumo tyrėjai patvirtino aptikę didžiulę, neapsaugotą duomenų bazę su beveik 1 mlrd. įrašų. Buvo paviešinti daugybės žmonių asmens kodai, el. pašto adresai, telefonų numeriai ir net tapatybės dokumentų kopijos. Incidentas siejamas su skaitmeninės tapatybės patvirtinimo paslauga, kurią visame pasaulyje teikia „IDMerit“. Anot Dariaus Povilaičio, „Telia“ kibernetinio saugumo vadovo, šiandien reikia labai atsargiai vertinti platformas, kurioms žmonės patiki savo jautriausius duomenis.
Asociatyvi „Pixabay“ nuotr.
„Slaptažodį galima pasikeisti per minutę. Tačiau kai nuteka tapatybės dokumentai ar biometriniai duomenys, kelio atgal nebėra. Žmogus nebegali apsisaugoti, nes tai, kas esi tu – tavo veidas, tavo akys – atsiduria pas nusikaltėlius. Ir jie tais duomenimis gali naudotis metų metus, o žmogus nieko negalės padaryti. Todėl reikėtų būti labai atsargiais su programėlėmis arba platformomis dalinantis savo dokumentais ir biometriniais duomenimis“, – sako D. Povilaitis.
Pavogė duomenis iš 26 valstybių
Nutekėjęs 1 mlrd. asmeninių duomenų įrašų priklauso žmonėms iš 26 šalių. Iš viso buvo atskleistas beveik terabaito apimties duomenų rinkinys. Didžiausią dalį sudaro JAV gyventojų duomenys. Viešai neskelbiama, kad tarp nukentėjusiųjų būtų aiškiai identifikuoti Lietuvos gyventojai, tačiau paslauga veikė visame pasaulyje, todėl teoriškai duomenys galėjo apimti ir kitų šalių vartotojus. Tyrėjai apie pažeidžiamumą informavo įmonę, o ši saugumo spragą pašalino tą pačią dieną.
Su incidentu siejama „IDMerit“ yra JAV įmonė, kuri teikia DI paremtas tapatybės patvirtinimo paslaugas. Paprastai tariant, tai sistema, kuri padeda įmonėms nuotoliniu būdu patikrinti žmogaus tapatybę, pavyzdžiui, atsidarant banko sąskaitą.
Situaciją dar labiau apsunkino tai, kad netrukus paaiškėjo ir antras su DI susijęs nutekėjimas – viešai prieinami tapo dar 2 mln. nuotraukų ir vaizdo įrašų, susijusių su DI funkcijas naudojusia „Android“ programėle. Nors mastas mažesnis nei pirmojo incidento, pasekmės gali būti itin skaudžios – vaizdinė medžiaga gali būti panaudota tiek tapatybės vagystėms, tiek įvairioms manipuliacijoms ar šantažui.
Būtent DI šiuos duomenų nutekėjimus padaro tokius pavojingus. Pasak D. Povilaičio, anksčiau nusikaltėliams reikėdavo daug laiko, kad panaudotų vogtus duomenis, o dabar viską už juos padaro programos.
„Automatizuotos programėlės gali akimirksniu apdoroti tūkstančius nuotraukų ir klastoti tapatybes. Tai reiškia vieną dalyką – sukčiai nebeveikia aklai, o tiksliai, ir paprastam žmogui juos atremti tampa vis sudėtingiau“, – teigia D. Povilaitis.
Auksas duomenų pavidalu
Tapatybės patvirtinimo sprendimai šiandien plačiai naudojami finansų sektoriuje ir socialiniuose tinkluose. D. Povilaičio teigimu, jie padeda kovoti su sukčiavimu, netikromis paskyromis socialiniuose tinkluose ir botais. Vis dėlto centralizuotai kaupiami jautrūs duomenys tampa itin patraukliu taikiniu kibernetiniams nusikaltėliams.
„Socialiniai tinklai siūlo mainus: duokite mums savo pasą, o mes jūsų paskyrai suteiksime patikimumo ir „verified“ statusą. Nors socialiniuose tinkluose tai iš dalies padeda atsijoti tikrus žmones nuo robotų, žmonės dėl patogumo ar prestižo patys atiduoda savo dokumentus į dar vieną duomenų bazę. O taisyklė negailestinga – kiekviena sistema ir duomenų bazė anksčiau ar vėliau tampa programišių taikiniu“, – perspėja D. Povilaitis.
Kaip apsisaugoti?
Anot kibernetinio saugumo eksperto, šiandien vien budrumo nebeužtenka – grėsmių tiek daug ir jos tokios sudėtingos, kad visų jų pastebėti tiesiog neįmanoma.
„Žmonėms reikia sprendimų, kurie veiktų automatiškai ir apsaugotų dar prieš paspaudžiant pavojingą nuorodą ar atveriant užkrėstą svetainę. Tokie įrankiai padeda sukurti papildomą saugumo sluoksnį, perspėja apie nutekintus duomenis ar įtartinas svetaines. Papildomų saugumo priemonių siūlyčiau imtis kiekvienam, naršančiam internete, nes kibernetinėje erdvėje klaida gali kainuoti labai brangiai“, – apibendrina „Telia“ kibernetinio saugumo vadovas.
