Си Ен Ен за изтичането на данни от НАП: Цяла нация беше хакната

Асен Генов е доста бесен. Личните му данни бяха публикувани, след като тази седмица информацията на повече от 5 милиона българи беше открадната от хакери от данъчната служба на страната, пише Си Ен Ен в своя редакционен материал за кибератаката срещу НАП, носещ заглавието „Цяла нация току-що беше хакната“.

В страна с население от едва 7 милиона души, мащабът на атаката означава, че почти всеки гражданин в активна работна възраст е бил засегнат.

„Всички трябва да бъдем бесни… Информацията вече е свободно достъпна за всеки. Много, много хора в България вече са придобили този файл, а най-вероятно и не само в България“, коментира Генов, който е блогър и политически анализатор. Той знае, че данните му са били откраднати, защото макар и да не е ИТ експерт, той е успял да намери файловете онлайн.

Атаката е необичайна, но не и уникална.

Правителствените бази данни са златни мини за хакери. Те съдържат огромно количество информация, която може да бъде „полезна“ с години, казват експерти.

„Може да направите паролата си по-дълга и сложна, но информацията, която правителството ви има за вас, няма да се промени“, казва Гай Бънкър, експерт по информационна сигурност и главен технологичен директор в „Клиърсуифт“(Clearswift), компания за киберсигурност.

 „Датата Ви на раждане няма да се промени, няма да промените адреса си утре“, казва той. „Голяма част от информацията, която е била придобита, е била валидна вчера,е валидна днес и за много хора вероятно ще бъде валидна за 5, 10 или 20 години.“, добавя той.

Рай за хакери

В миналото мащабните пробиви в бази данни бяха водени от настина умели хакери. В днешно време обаче все по-често не е необходима сложна и внимателно планирана операция, за да бъде осъществен пробив в ИТ системи. Хакерските инструменти и зловредния софтуер, които са достъпни в тъмната мрежа(dark web), позволяват дори на хакери-аматьори да причинят огромни щети.

Строгата директива за защита на данните, която миналата година влезе в сила в целия Европейски съюз, постави ново бреме върху всеки, който събира и съхранява лични данни. Тя също така въведе сурови глоби за лошо управление на данните, което може да отвори вратата пред българското правителство да си самоналожи глоба заради изтичането на данните.

Въпреки това,  атаките срещу правителствените системи стават все по чести, казва Адам Левин, основател на фирмата за киберсигурност „Сайбърскаут“(CyberScout). „В момента се води война, която ние ще спечелим, ако превърнем киберсигурността в приоритет“, добавя той.

Идеята, че правителствата трябва спешно да затегнат мерките в сферата на киберсигурността не е нещо ново. Експертите алармират за това от години.

Американското министерство по въпросите на ветераните стана жертва на един от най-големите пробиви на бази данни през 2006 г., като засегнати от атаката бяха личните данни на повече от 26 млн. ветерани и военнослужещи.

„Всичко тогава се сведе до: О това е ужасно.Трябва да направим нещо, за да го спрем… Ето ни 13 години по-късно, когато данните на една цяла страна са компрометирани, а междувременно се случиха и други инциденти с масиви от лични данни, които бяха компрометирани в различни страни“, казва Бънкър.

Много често проблемите се дължат на остарели системи. Някои правителства използваха частни компании, за да управляват събраните данни, преди поредицата от хакерски атаки да насочи вниманието им към киберсигурността.

„Преди години в много случаи, данните ни бяха изпращани на трети страни.“, казва Левин. „Начинът, по който гледахме на управлението на данните преди 10 години изглежда античен от днешна гледна точка, но тези стари данни все още са някъде там, управлявани от трети страни, които използват стари системи“, добавя той. Ако „старите данни“ не са се променили, те продължават да са ценни за хакерите.

Инцидентът в България дава поводи за притеснения, казва Десислава Кръстева, български адвокат в сферата на защитата на личните данни, съветващ някои от най-големите технологични компании в света за това как да съхраняват сигурно информацията на своите клиенти.

„Този тип инциденти не би трябвало да се случват в държавна институция. Изглежда, че операцията не е изисквала огромни усилия и вероятно са били откраднати личните данни на почти всички български граждани“, казва Кръстева, която е партньор в адвокатската кантора „Димитров, Петров & Co.“ в София.

Българската Комисия за защита на личните данни заяви, че ще започне разследване на кибератаката.

Говорител на Националната агенция за приходите отказа да коментира дали данните са добре защитени.

„Тъй като в момента тече разследване, не можем да предоставим повече подробности за причините зад атаката“, коментира говорителят на Националната агенция по приходите (НАП) Росен Бъчваров.

„Много срамно за правителството“

20-годишен специалист по киберсигурността беше арестуван от българската полиция във връзка с пробива. Компютърът и софтуерът, използвани при атаката, довели полицията до заподозрения, съобщиха от софийската прокуратура.

Мъжът беше задържан и полицията конфискува неговото оборудване, включително мобилни телефони, компютри и драйвъри. Ако бъде признат за виновен, той може да прекара осем години в затвора.

„Твърде рано е да се каже какво точно се е случило, но от политическа гледна точка, това, разбира се, е много срамно за правителството.“, казва Кръстева.

Срамът се засилва от факта, че това не е първият случай, в който българското правителство става обект на атака. Преди по-малко от година търговският регистър на страната се срина след подобна атака.

„Така че, поне за година, българското общество, политиците, тези, които ръководят страната, знаеха доста добре за сериозните проблеми с киберсигурността в правителствените инфраструктури. И те не направиха нищо по въпроса“, казва Генов