Milžiniško duomenų nutekėjimo atomazga: dviem institucijoms gresia baudos, vienai skirtas papeikimas
Valstybinė duomenų apsaugos inspekcija (VDAI) užbaigė tyrimą dėl nutekintų gyventojų duomenų. Registrų centrui bei Informatikos ir ryšių departamentui pradėta administracinių baudų skyrimo procedūra, o Migracijos departamentui skirtas papeikimas.
Penktadienį paskelbtame pranešime VDAI nurodė, kad tokie sprendimai priimti įvertinus pažeidimų pobūdį, jų įtaką asmens duomenų saugumo incidentui ir kitas per tyrimą nustatytas aplinkybes.
Pasisavinta daugiau kaip 600 tūkst. registro įrašų
Kaip skelbė BNS, Generalinė prokuratūra gegužę pranešė pradėjusi tirti galimus neteisėtus prisijungimus prie Registrų centro ir daugiau nei 600 tūkst. Nekilnojamojo turto registro įrašų, tarp jų – asmens kodų, pasisavinimą.
VDAI duomenimis, informaciją pasisavinę asmenys neteisėtai pateko į dviejų Migracijos departamento darbuotojų elektroninio pašto paskyras. Taip jie gavo prieigą prie Nekilnojamojo turto registro (NTR) ir Juridinių asmenų registro (JAR).
Per incidentą buvo paveikti 678 tūkst. 976 NTR išrašai, susiję su 538 tūkst. 226 asmenimis. Taip pat paveikti 33 JAR išrašai, susiję su 66 asmenimis.
Inspekcija įvardijo saugumo spragas
VDAI nustatė, kad Informatikos ir ryšių departamentas neužtikrino pakankamos elektroninio pašto sistemos prieigos kontrolės. Nebuvo naudojamas kelių faktorių autentifikavimas (MFA), neįdiegtos papildomos apsaugos priemonės, o paskyrų kompromitavimo rizika įvertinta netinkamai.
Registrų centras, inspekcijos vertinimu, taip pat neužtikrino tinkamos prieigos prie NTR ir JAR valdymo kontrolės. Nebuvo taikomi MFA ir IP adresų filtravimas, o slaptažodžių kontrolė bei naudotojų užklausų stebėjimas buvo nepakankami. Be to, apie incidentą laiku nepranešta nei VDAI, nei duomenų subjektams.
Migracijos departamentas, prašydamas savo darbuotojams suteikti prieigą prie registrų, Registrų centrui nepateikė konkrečių išorinių IP adresų, iš kurių būtų jungiamasi prie NTR ir JAR. VDAI teigimu, dėl to nebuvo išnaudotos visos priemonės, galėjusios sumažinti neteisėtos prieigos prie sistemų riziką.
Šis sprendimas teisės aktų nustatyta tvarka gali būti skundžiamas teismui.
Dėl duomenų nutekėjimo į teismą jau kreipėsi daugiau nei tūkstantis nukentėjusiųjų. Teismas nagrinės mažiausiai 6,69 mln. eurų vertės grupinį skundą.
