PROGRAMIŠIAI GRASINA NUTEKINTI E. SVEIKATOS DUOMENIS: SUSTABDYKITE PRIVERSTINĘ VAKCINACIJĄ

Praėjusį mėnesį Lietuvą purtė duomenų nutekinimo skandalai. Tačiau, panašu, kibernetiniai nusikaltėliai ir toliau nesnaudžia – šįkart viešai prieinamame forume grasina nutekinti platformoje e. sveikata.lt kaupiamus duomenis. 

Apie forume aptiktą informaciją feisbuke pasidalijo vienas internautas, tačiau, kaip portalo žurnalistus informavo Sveikatos apsaugos ministerijos (SAM) Spaudos tarnybos vyriausiasis specialistas Julijanas Gališanskis, informacija apie grasinimus žinoma ir jų specialistams.

Elektroninės sveikatos paslaugų ir bendradarbiavimo infrastruktūros informacinės sistemos (ESPBI IS) pagrindinis tvarkytojas Registrų centras viešame forume yra pastebėjęs kovo 13-15 dienomis paskelbtą informaciją.

Programišiumi prisistatęs asmuo tikina, kad tai – įspėjimas Lietuvos institucijoms, jog Konstitucija nebūtų pakeista taip, kad įpareigotų atlikti COVID-19 testus norintiems dirbti.

„Mes esame už demokratiją ir žmogaus laisvę <...> Jei bus pažeista Konstitucija ir žmonių laisvė, mes paviešinsime ne tik studentų duomenų bazę iš universitetų ir kolegijų, bet ir e. sveikatos.lt daugiau nei metų senumo duomenis, jų turime virš 100 tūkst. Sustabdykite priverstinę vakcinaciją“, – rašoma forume.

„Prieiga prie e. sveikata suteikiama tik banko sąskaita arba elektroniniu parašu. Tai reiškia, kad jie gali identifikuoti asmenį ir visus jo veiksmus. „e. sveikata api“ porą metų buvo vieša ir visi galėjo siųsti „http“ užklausą, kad gautų informacijos apie bet ką ir tik maždaug prieš metus ar mažiau išsprendė problemą“, – skelbia anonimas.

Freepik.com nuotr.

„E. sveikata.lt duomenų bazė buvo viešai prieinama prieš keletą metų. Aš galėjau gauti per API kitus asmens duomenis ir aš tai padariau. Nenoriu pakenkti nekaltiems įstatymams, todėl netiriu ligų istorijos, tik bendrą (informaciją, – aut. past.), bet neatmetu ir tokio scenarijaus. Kitas nutekėjimas gali būti gruodžio 21 dieną“, – įspėja anonimas.

Kaip nurodė SAM atstovas, apie šiuos pranešimus informuotas ir Nacionalinis kibernetinio saugumo centras. „Šiuo metu vykdomas tyrimas dėl galimo įsilaužimo ir informacijos konfidencialumo pažeidimo, tačiau kol kas įrodymų, kad įvyko asmens duomenų saugumo pažeidimas, nėra“, – teigė J. Gališanskis.

Portalo žurnalistai susisiekė ir su Registrų centru, kurio atstovas Mindaugas Samkus sutiko plačiau pakomentuoti šią situaciją.

„Registrų centras šiuo metu neturi duomenų apie galimą e. sveikatos sistemos asmens duomenų nutekėjimą 2018 metais. Su bandymais įvykdyti kenkėjiškas veikas susiduriame reguliariai, todėl, kaip įprasta tokiais atvejais, informaciją perdavėme kompetentingoms institucijoms, su kuriomis aktyviai bendradarbiaujame. Registrų centras tvarkomų registrų ir informacinių sistemų saugumui užtikrinti naudoja įvairias kibernetinės saugos priemones, sistemų stebėsena atliekama 24 val. per parą, septynių dienų per savaitę režimu“, – apie duomenų saugumą informavo M. Samkus.

Registrų centro atstovo teigimu, e. sveikatos sistema, kurios valdytoja yra SAM, pradėta kurti 2012 metais, baigta – 2015 metais. Nuo 2018-ųjų pabaigos, pasibaigus sistemos diegėjų garantiniam priežiūros laikotarpiui, Registrų centras tapo savarankišku ir tiesioginiu sistemos prižiūrėtoju.

„Tinkamas ir visapusiškas tokio sudėtingumo, apimties ir kompleksiškumo sistemos kaip e. sveikata, su visa jos kūrimo istorija, tvarkymas reikalauja itin daug žmogiškųjų ir techninių resursų. Įgyvendindamas tvarkytojo funkcijas, Registrų centras vadovaujasi sistemos valdytojo – Sveikatos apsaugos ministerijos – nustatytomis taisyklėmis ir tvarkomis, nuolat teikia pasiūlymus dėl sistemos tobulinimo, atnaujinimo ir greitaveikos didinimo“, – teigė Registrų centro atstovas.

Primename, kad savaitgalį pasirodžius informacijai apie kibernetinį incidentą, per kurį, kaip įtariama, nutekėjo Vilniaus kolegijos studentų asmens duomenys, policija pradėjo ikiteisminį tyrimą. „Taip, pradėtas ikiteisminis tyrimas pagal Vilniaus kolegijos kreipimąsi“, – BNS trečiadienį sakė Policijos departamento atstovas spaudai Ramūnas Matonis.

Policija taip pat tikrina informaciją dėl kito incidento Vilniaus Gedimino technikos universitete – įstaiga kreipėsi į policiją dėl, jos teigimu, savaitgalį įvykusios kibernetinės atakos, per kurią buvo užkoduoti jos sistemose esantys duomenys. Nacionalinio kibernetinio saugumo centro vadovas Rytis Rainys pabrėžė, kad duomenų nutekėjimas iš Vilniaus kolegijos ir Vilniaus Gedimino technikos universiteto atvejis tiriami kaip du skirtingi ir nesusiję incidentai.

Apie kibernetinių nusikaltėlių atakas portale rašyta ir vasario 18 dieną. Viename forume programišiai paskelbė parduodantys buvusios lažybų bendrovės „Orakulas“ klientų duomenis, šią įmonę prieš kelerius metus įsigijusi bendrovė „Olympic Casino Group Baltija“, valdanti prekinį ženklą „OlyBet“, sako, kad dabartiniai vartotojų duomenys yra saugūs.

Forume įdėta dalis lažybų portalo vartotojų vardų, paviešinti jų elektroninio pašto adresai. Įrašą padaręs asmuo anglų kalba skelbia, kad iš viso yra daugiau nei 257 tūkst. vartotojų duomenų, su kuriais galima prisijungti prie paskyros ir taip valdyti ten esančius pinigus, kuriuos vartotojai naudojo statymams. Programišius nurodo, kad iš sąrašo pašalinti visi neaktyvūs vartotojai bei vadinamosios šlamšto anketos.

Taip pat pridėta informacija, kad visi duomenys suskirstyti daugiau nei 3 tūkst. lentelių. Dalis slaptažodžių esą yra nulaužti, todėl galima laisvai naudotis visais prisijungimo duomenimis. Forume nurodyta, kad už pilną nutekintų duomenų informaciją norima 1,5 tūkst. dolerių, tačiau juos prašoma sumokėti bitkoinais.

Vasarį nutekinta apie 110 tūkstančių Lietuvoje registruotų automobilių dalijimosi paslaugos „CityBee“ vartotojų informacija. Kaip tąkart pranešė bendrovė, nusikaltėliai viename iš kibernetinių įsilaužėlių pamėgtų forumų paskelbė trejų metų senumo vartotojų duomenis. Buvo pavogti ne tik dalies „CityBee“ klientų vardai, pavardės ir asmens kodai, bet taip pat ir telefonų numeriai, elektroninio pašto adresai, gyvenamosios vietos adresai, vairuotojų pažymėjimo numeriai bei užkoduoti slaptažodžiai.

Vasario pabaigoje internautai forume aptiko dar vieną atvejį, kai galimai buvo pasisavinta žmonių asmeninė informacija. Tąkart dėmesio centre atsidūrė pažinčių svetainės darnipora.lt lankytojų duomenys. Tiesa, duomenys nutekinti ne šiais metais. Forume informacija apie 400 tūkst. asmenų informacijos nutekinimą pasirodė 2020-ųjų rugpjūčio 31 dieną.

Kaip tąkart rašė informaciją paskelbęs asmuo, nutekinti išties konfidencialūs duomenys: vartotojų vardai, slaptažodžiai, telefono numeriai, elektroninio pašto adresai, lytis, amžius ir kita informacija. Taip pat pridurta, kad šie duomenys buvo nutekinti iš 2016 metų duomenų bazės.