Inspekcijai baigus devynis mėnesius trukusį tyrimą po to, kai pernai liepą įsilaužėliai nutekino dalies „Švaros brolių“ automobilių plovyklų Vilniuje klientų duomenis, bendrovė teigia nesutinkanti su dalimi išvadų, tačiau sprendimo neskųs.

„Nors ir nesutinkame su dalimi tyrimo išvadų, sprendimą gerbiame, jo neskųsime ir baudą apmokėsime“, – pranešime sakė „Švaros brolių“ vadovė Lina Žagarienė.

Anot pranešimo, tyrimas patvirtino anksčiau „Švaros brolių“ skelbtą informaciją, kad rusišką IP adresą turintys programišiai įgijo neteisėtą prieigą prie vidinių bendrovės duomenų bazių ir taip paviešino Vilniuje veikiančių švaros centrų klientų asmeninę informaciją – įvairias vardų, pavardžių, automobilių valstybinių numerių, el. paštų ir telefonų numerių kombinacijas.

Su mokėjimais susijusi informacija – banko sąskaitų, mokėjimo kortelių duomenys, ir kiti itin jautrūs duomenys kaip asmens kodai, namų adresai nutekėjusioje duomenų bazėje renkami ir saugomi nebuvo.

„Iki šiol negavome informacijos, jog kas nors būtų bandęs tikslingai pasinaudoti nutekintais duomenimis ar klientams būtų padaryta pagrįsta žala dėl švaros centrų klientų duomenų nutekinimo. VDAI sprendime taip pat įvardinta, kad nenustatyta, jog klientams būtų padaryta materialinė žala“, – teigė L. Žagarienė.

Po incidento „Švaros broliai“ atliko vidinį auditą, kuris patvirtino, kad kitų įmonės verslų – tunelinių plovyklų, patalpų valymo verslų, savitarnos plovyklų – klientų duomenys nebuvo paliesti.

Policijos tyrimas dėl šio incidento dar nebaigtas.

„Švaros broliai“ Vilniuje valdo penkis automobilių švaros centrus.

Šio tyrimo ataskaitą centras perdavė tyrimus dėl įvykio tęsiantiems Policijos departamentui ir Valstybinei duomenų apsaugos inspekcijai.

„NKSC atliktas tyrimas rodo, kad „CityBee“ klientų duomenys buvo paviešinti, nes rezervinė tų duomenų kopija buvo prieinama be papildomos autorizacijos piktavaliui atradus būdą prisijungti prie internetinės debesijos paslaugų teikėjo tarnybinių stočių“, – teigia NKSC direktorius Rytis Rainys.

„CityBee“ naudotojų duomenų bazės rezervinė kopija buvo patalpinta „Microsoft Azure“ debesijos paslaugų tarnybinėse stotyse atlikus nustatymus, kad duomenų prieiga būtų vieša. Dėl šios priežasties buvo sudarytos sąlygos tretiesiems asmenims be autorizacijos pasiekti „CityBee“ klientų duomenis ir juos pasisavinti.

NKSC turimais duomenimis, vieša prieiga buvo palikta vykdant duomenų bazės migravimą 2018 metais ir ši kibernetinio saugumo spraga buvo užkardyta tik paaiškėjus apie incidentą šių metų vasarį.

„Internetinės debesijos paslaugos yra plačiai naudojamos, tačiau bendrovės, besinaudojančios tokiomis paslaugomis, privalo žinoti ir naudoti tokių paslaugų gerąsias praktikas bei užtikrinti ten esančių duomenų saugumą“, – pabrėžia R. Rainys.

Siekiant išvengti panašių incidentų, NKSC rekomenduoja debesijos paslaugose naudoti ugniasienes aplikacijos lygmenyje (angl. – web application firewall), įgalinti administratorių prisijungimus tik patvirtinus tapatybę keliais faktoriais (angl. – multi-factor authentication), periodiškai atlikti privilegijuotų naudotojų paskyrų ir jų veiksmų analizę, valdyti prieigos teises pagal mažiausios privilegijos principą.

Virtualius kietuosius diskus ir kitą jautrią informaciją rekomenduojama šifruoti patikimais kriptografiniais algoritmais, o jų raktus saugoti tretiesiems asmenims neprieinamose vietose. Slaptažodžių saugojimui naudoti tam skirtus specialius algoritmus, tokius kaip „Bcrypt“, „Argon2“, dokumentuoti duomenų migravimo procesus, taip pat užtikrinti žurnalinių įrašų agregavimą incidentų identifikavimui, įsigyti papildomus centralizuotus debesijos paslaugų valdymo sprendimus (angl. Cloud Access Security Broker). Taip pat siūloma vykdyti nuolatinį virtualių mašinų atnaujinimą.

NKSC atkreipia dėmesį, jog tirdamas šio kibernetinio incidento tyrimo aplinkybes disponavo ribota tyrimui pateikta „CityBee“ informacija.

Apie „CityBee“ klientų duomenų nutekėjimą paskelbta vasario viduryje. Į programišių rankas pakliuvo ir buvo viešai paskelbta apie 110 tūkst. vartotojų, kurie platformoje užsiregistravo iki 2018-ųjų vasario 22 dienos, vardai, telefono numeriai, el. pašto adresai, asmens kodai, slaptažodžiai.

„CityBee“ veikia Lietuvoje, Latvijoje, Estijoje ir Lenkijoje. Bendrovės valdomą automobilių parką sudaro daugiau nei 2 tūkst. transporto priemonių, įmonė turi daugiau kaip 750 tūkst. registruotų klientų bazę.