Háromnegyed millió ember adatait lopták el Moldovában – Moszkvának aranybánya lehet a zsákmány

Mintegy 750 ezer ember személyes adatait szerezték meg a moldovai állami rendszereket megtámadó hackerek, akik napokon keresztül férhettek hozzá érzékeny információkhoz. Az elkövetőket a hatóságok egyelőre nem nevezték meg, de egy, az orosz hibrid hadviselésnek évek óta kitett ország esetében a Kremlhez kötődő művelet lehetősége nagyon is kézenfekvő. A megszerzett adatok ugyanis a pénzügyi csalások mellett megfélemlítésre, zsarolásra és személyre szabott politikai manipulációra is felhasználhatók.

A támadás október 19. és 23. között zajlott. A moldovai Információs Technológiai és Kiberbiztonsági Szolgálat, a STISC közlése szerint az elkövetők hozzávetőleg egymillió személyi azonosító számot kérdeztek le, és mintegy háromnegyed millió ember adatait nyerték ki. Ez a két és fél milliós ország lakosságának csaknem harmada, vagyis olyan nagyságrendű adatvesztésről beszélünk, amelynek következményei hosszú éveken át elkísérhetik az érintetteket.

A behatolók olyan állami szolgáltatások sebezhetőségét használták ki, amelyek hitelesítés nélkül is elérhetők voltak. A megszerezhető információk között személyazonosító és családi adatok, biztosítási jogviszonyok, háziorvosi kapcsolatok, szociális juttatások, nyugdíjak és fogyatékossági státuszok is szerepeltek. Hozzáférhettek jogosítványokhoz kapcsolódó adatokhoz, fényképekhez, járművekre, tulajdonolt vagy vezetett cégekre vonatkozó információkhoz, továbbá bankszámla-azonosítókhoz, adótartozásokhoz és az MPay rendszerben teljesített fizetések előzményeihez is. Nem minden érintettről került ki valamennyi felsorolt adat, de a lehetséges zsákmány így is megdöbbentően részletes képet adhat az emberek életéről.

Az adatkinyerést október 23-án délelőtt fél tizenkettőkor állították le, az E-kormányzati Ügynökség, az AGE pedig elővigyázatosságból 82 közszolgáltatást és több mint harminc informatikai rendszert kapcsolt le. A támadók később is próbálkoztak: október 25-én hajnalban és 27-én reggel újabb behatolási kísérleteket észleltek, ezeket a közlés szerint már sikerült kivédeni. A STISC hangsúlyozta, hogy bankkártyaadatok nem kerültek ki, mert az érintett kormányzati platform nem tárol ilyen információkat. Egy IBAN-szám ismerete önmagában nem teszi lehetővé a számla kiürítését, és az állami nyilvántartásokban sem találtak jogosulatlan módosítást. Az ingatlanok vagy vállalkozások adatainak megtekintése tehát nem jelenti azt, hogy bárki átírta volna a tulajdonjogukat. Ettől azonban a történet még nem válik megnyugtatóvá. Az adatlopás egyik legveszélyesebb következménye éppen az, hogy a csaló olyan részleteket tud felsorolni az áldozat életéből, amelyeket az ember ösztönösen egy valódi hivatal, bank vagy hatóság tudásával azonosít. Ha a telefonáló ismeri a rokonaidat, a nyugdíjadat, az autódat vagy az adótartozásodat, könnyebben hiheted el róla, hogy valóban onnan keres, ahonnan állítja.

Ion Tăbârță elemző szerint a támadás világosan megmutatta az állam digitális védelmének hiányosságait. Mint fogalmazott, Moldova kiberbiztonsága nem olyan fejlett, mint amilyennek hitték, vagy amilyennek bemutatták. A megszerzett valódi adatokkal a támadók telefonon, SMS-ben és közösségi felületeken is megkereshetik az embereket, banki alkalmazottnak, rendőrnek vagy más állami intézmény munkatársának kiadva magukat, hogy további információkat vagy pénzt csaljanak ki tőlük. Moldova esetében azonban ennél tovább is kell nézni. Egy országban, ahol a Kreml évek óta választási beavatkozással, szavazatvásárlással, dezinformációval és energiazsarolással próbálja alakítani a politikát, egy ekkora adatállomány biztonságpolitikai jelentőségét aligha lehet túlbecsülni. Az orosz szolgálatok vagy a velük együttműködő hálózatok számára különösen értékes lehet egy olyan gyűjtemény, amelyből kiderül, ki anyagilag kiszolgáltatott, ki milyen támogatást kap, kik a hozzátartozói, és milyen személyes körülményekkel lehet nyomást gyakorolni rá. Akinek a kezében ennyi személyes információ van, annak már nem kell mindenkire ugyanazt az ostoba propagandaszöveget ráönteni. A nyugdíjasnak a megélhetésén keresztül lehet félelmet kelteni, az adóssággal küzdő vállalkozót más történettel lehet megszólítani, a családjáért aggódó embert pedig a hozzátartozóira szabott hazugsággal lehet elérni. A személyes adat ebben a műfajban a célzás eszköze: segít megtalálni azt a pontot, ahol az ember a legkönnyebben megingatható.

Natalia Spînu kiberbiztonsági szakértő szerint a támadás az intézményekbe vetett bizalmat is rombolja, a védekezést pedig az embereknél és az eljárásoknál kell kezdeni, majd ezekre építeni a technológiát. A nyilvános információkra hivatkozva azt mondta, hogy az incidens idején nagyjából tizenöt szakember dolgozott az ország rendszereinek védelmén. Fontos munkát végeztek, de egy állam nem támaszkodhat ilyen kis létszámra: megfelelő számú szakemberre és olyan fizetésekre van szükség, amelyek mellett meg is lehet tartani őket Ugyanilyen világosan kellene rögzíteni azt is, ki felel az egyes szolgáltatások karbantartásáért, felügyeletéért, vészhelyzeti leállításáért és a lakosság tájékoztatásáért. Spînu szerint minden szolgáltatásnál ellenőrizni kell, ki kér adatot, és jogosult-e hozzáférni, a lekérdezések számát pedig korlátozni kell, hogy egy lakossági ügyintézésre szánt felületből ne lehessen tömeges adatkinyerő csatornát csinálni.

Az ügynek már személyi következménye is van: Nicoleta Colomeeț, az AGE vezetője lemondott, helyére ideiglenesen Artiom Cociut nevezték ki. Vasile Tofan miniszterelnök az átadáson az elveszített bizalom helyreállításáról beszélt, a Legfőbb Ügyészség büntetőeljárást indított, a parlament nemzetbiztonsági bizottsága pedig november 4-én zárt ülésen vizsgálja az esetet.

A felelősök azonosítása és a rések bezárása mellett most az is eldől, mennyire képes Moldova megvédeni azokat az embereket, akiknek az adatai már kikerültek az állami rendszerekből. A Kremlnek egy ilyen zsákmány aranybánya lehet, az intézményekbe vetett bizalom megrendülése pedig akkor is kedvez neki, ha a konkrét adatlopás mögött végül más elkövetőt találnak. Éppen ezért kell egyszerre felderíteni a támadást, komolyan venni az orosz felhasználás veszélyét, és számon kérni, hogyan maradhatott ennyire sebezhető az állampolgárok adatait őrző rendszer.

Ugar