“Šodien uz vīra vārda jau tiek vērts konts amerikāņu bankā. Nu nopietni?” Sieviete nikna uz CSDD; LA.LV izpēta, vai tas ir reāli iespējams 0
Pēc vērienīgā kiberuzbrukuma Ceļu satiksmes drošības direkcijai (CSDD) jautājums par nozagto personas datu iespējamo izmantošanu kļūst arvien aktuālāks. Kā jau vēstīja LA.LV, uzbrucēju rīcībā nonākuši aptuveni 1,2 miljonu fizisko personu un 200 000 juridisko personu dati, kas bijuši CSDD maksājumu kvītīs par pēdējiem 18 gadiem. Kopš 27. augusta ikviens klients, autentificējoties e-CSDD, var individuāli pārbaudīt, vai tieši viņa dati nonākuši uzbrucēju rokās un kāda informācija ir noplūdusi.
Tagad parādās jau pirmās sūdzības par reālām nelikumīgām darbībām, kas ar šiem datiem veiktas. Kāda sieviete publiski paziņojusi:
“Es esmu nikna uz CSDD. Tādi dati ir aizgājuši tālēs zilajās! Šodien uz vīra vārda jau tiek vērts konts amerikāņu bankā. Nu nopietni?” raksta sieviete, aicinot cilvēkus vērsties pret CSDD ar prasībām un sūdzībām.
Vēlāk diskusijā viņa precizē, ka nerunā par jau sekmīgi atvērtu kontu vai no tā izņemtu naudu, bet gan par mēģinājumu atvērt kontu, turklāt kā konkrēto finanšu institūciju nosauc ASV banku “Wells Fargo”.
No sociālajā tīklā publicētās informācijas gan nav iespējams neatkarīgi apstiprināt ne to, kas tieši mēģinājis kontu atvērt, ne arī to, ka šis mēģinājums patiešām saistīts ar CSDD datu noplūdi.
Arī komentētāji pret šo secinājumu izturas ļoti atšķirīgi.
Kāds cilvēks ironiski iesaka pirms “CSDD apbēršanas ar prasībām” pārbaudīt, vai aiz negaidītā paziņojuma nevarētu būt kāds pavisam cits izskaidrojums. Viņš arī norāda, ka ar CSDD noplūdušo informāciju vien, visticamāk, nepietiktu, lai ASV bankā izietu pilnvērtīgu klienta identitātes pārbaudi.
Cits komentētājs vaicā pavisam tieši: “Un kā jūs zināt, ka Amerikā tiek vērts konts?” Vēl kāds norāda, ka ASV bankās klienta identitātes pārbaudes jeb KYC (“Know Your Customer” – “Pazīsti savu klientu”) prasības ir stingras un ar svešu vārdu, uzvārdu un Latvijas personas kodu vien nepietiek.
Diskusijā gan izskan arī daudz satraucošāki stāsti. Kāda komentētāja apgalvo, ka zina gadījumu, kad cilvēks pēc personas datu zādzības nonācis situācijā, kur viņam nācies pierādīt, ka ar viņa identitāti veiktas darbības, par kurām viņš pats neko nav zinājis.
Savukārt ieraksta autore norāda, ka viņu satrauc ne tikai konkrētais bankas konta atvēršanas mēģinājums. “Nozagtos datus var izmantot jebkur un jebkam – noformēs kredītkarti, aizdevumu un citas nepatīkamas lietas,” viņa raksta.
Citi diskusijas dalībnieki tam iebilst, uzsverot, ka CSDD noplūdē nebija cilvēku e-pasta adrešu, tādēļ nav skaidrs, kādā veidā iespējamie krāpnieki būtu ieguvuši tieši konkrētā cilvēka e-pastu. Ieraksta autore pieļauj, ka tas varētu būt izveidots vai uzminēts pēc cilvēka vārda un uzvārda. Arī šis ir tikai viņas pieņēmums, nevis pierādīts fakts.
Jau ziņots, ka noplūdušo datu vidū var būt cilvēka vārds un uzvārds, personas kods, maksājuma summa un datums, transportlīdzekļa valsts reģistrācijas numurs, kā arī adrese, kas CSDD bija norādīta konkrētā pakalpojuma saņemšanas laikā. Savukārt CSDD uzsver, ka uzbrucēji nav ieguvuši klientu tālruņa numurus, e-pasta adreses, bankas informāciju vai e-CSDD piekļuves datus.
Tomēr gan CSDD, gan kiberdrošības speciālisti jau iepriekš brīdinājuši, ka arī šāda informācija var tikt izmantota mērķētiem krāpšanas mēģinājumiem. Cilvēkam nosaucot viņa vārdu, personas kodu, adresi vai automašīnas numuru, krāpniekam ir daudz vieglāk radīt iespaidu, ka viņš patiešām pārstāv banku, policiju, CSDD vai citu uzticamu institūciju.
Ko tad rāda pašas ASV bankas prasības?
Ja runājam tieši par “Wells Fargo”, kas minēta sociālo tīklu diskusijā, bankas oficiālā informācija rāda, ka CSDD noplūdušais datu komplekts pats par sevi nav pietiekams, lai parastā kārtībā internetā atvērtu bankas kontu.
Lai tiešsaistē atvērtu konkrētu “Wells Fargo” norēķinu kontu, klientam nepieciešams ASV sociālās apdrošināšanas numurs jeb SSN vai individuālais nodokļu maksātāja identifikācijas numurs ITIN, fiziska adrese ASV un savs mobilā tālruņa numurs. Savukārt, atverot kontu klātienē, nepieciešami identifikācijas dokumenti, un ārvalstniekiem, kuriem nav ASV nodokļu maksātāja numura, banka prasa valdības izdotu personu apliecinošu dokumentu.
Tātad Latvijas personas kods nav tas pats, kas ASV Social Security Number vai ITIN.
Arī iespēja “Wells Fargo” vārdā paņemt parastu patēriņa aizdevumu ir vēl sarežģītāka. Banka norāda, ka personīgos aizdevumus piedāvā tikai esošajiem klientiem, kuriem atbilstošs bankas produkts bijis atvērts vismaz 12 mēnešus. Pieteikumā tiek prasīts SSN vai ITIN, dzimšanas datums, pilsonības statuss, e-pasts, tālruņa numurs, dzīvesvietas adrese, darba un ienākumu informācija, bet nepieciešamības gadījumā arī algas dokumenti, nodokļu deklarācijas, komunālo maksājumu rēķini vai identifikācijas dokumentu kopijas.
Līdz ar to ar CSDD noplūdušo vārdu, uzvārdu, Latvijas personas kodu, adresi un automašīnas numuru vien legāli iziet šādu pārbaudi un saņemt “Wells Fargo” patēriņa kredītu nevajadzētu būt iespējams.
Tas gan nenozīmē, ka risks ir izdomāts. CERT.LV skaidro, ka identitātes zādzības gadījumā noziedznieki patiešām var izmantot svešu personīgo informāciju, lai mēģinātu cita cilvēka vārdā pieteikties kredītkartei, aizdevumam vai citam finanšu pakalpojumam.
Atšķirība ir būtiska – personas datu esamība nenozīmē, ka kredīts automātiski tiks izsniegts. Krāpniekam parasti nepieciešams daudz plašāks informācijas un autentifikācijas līdzekļu kopums. Taču dažādu datu noplūžu informāciju iespējams savienot. Ja vienā vietā iegūts vārds, personas kods un adrese, citā – e-pasts vai telefona numurs, bet pēc tam ar pikšķerēšanu izkrāpti Smart-ID vai bankas autentifikācijas dati, risks kļūst daudz nopietnāks.
Tieši tāpēc Latvijas Banka pēc CSDD incidenta īpaši brīdināja iedzīvotājus par finanšu krāpniecības riskiem. Tā aicina nekad neizpaust bankas paroles, maksājumu karšu datus vai Smart-ID kodus un neapstiprināt autentifikācijas pieprasījumus, kurus cilvēks pats nav uzsācis.
CSDD savukārt brīdinājusi, ka ar noplūdušu personas kodu iespējams mēģināt iniciēt Smart-ID vai citu elektroniskās identifikācijas līdzekļu autentifikācijas pieprasījumus. Tas vēl nedod krāpniekam piekļuvi cilvēka kontam – izšķirošais brīdis var būt tad, ja pats cilvēks, apjucis vai noticējis krāpnieka stāstam, pieprasījumu apstiprina.
Tāpēc arī sociālajā tīklā aprakstītajā gadījumā šobrīd nav pamata apgalvot, ka CSDD nozagtie dati jau ļāvuši krāpniekiem atvērt ASV bankas kontu vai paņemt kredītu. Turklāt e-pasta adreses CSDD noplūdušo datu vidū nebija. Taču sievietes aprakstītais gadījums vēlreiz parāda, kādēļ pēc šādas datu noplūdes cilvēkiem jābūt īpaši uzmanīgiem.
CSDD tagad ļauj ikvienam savā e-CSDD profilā pārbaudīt, kādi tieši viņa dati nonākuši uzbrucēju rokās. Direkcija aicina šo informāciju nepublicēt sociālajos tīklos un īpaši uzmanīties no aizdomīgiem e-pastiem, īsziņām, zvaniem un negaidītiem autentifikācijas pieprasījumiem.
