Carp: datele a 750 de mii de locuitori ai Moldovei au ajuns la escroci

Pe 4 noiembrie, președintele comisiei parlamentare pentru securitate națională și ordine publică, Lilian Carp, a făcut totalurile audierilor închise despre atacurile cibernetice, după care datele personale a circa 750 de mii de locuitori ai Moldovei au ajuns la escroci.

Nu era vorba doar despre o defecțiune tehnică, ci despre un atac asupra serviciilor de stat, care a scos la iveală punctele slabe în protecția datelor și a obligat autoritățile să explice cum anume informația a ajuns în mâini străine.

Separat, autoritățile au precizat deja că mesajele despre presupuse semnături electronice sparte nu s-au confirmat. Rezultatele preliminare ale anchetei Serviciului Tehnologia Informației și Securitate Cibernetică au arătat tocmai acest lucru.

Motivul unui nou val de discuții a fost mesajul unui cetățean, care susținea că a descoperit un transfer între conturile bancare ale organizației pe care o reprezintă. El scria că operațiunea a fost confirmată prin semnătura sa mobilă, deși el însuși nu a efectuat-o.

Ulterior, această postare a dispărut, dar subiectul a apucat să se răspândească în spațiul public, iar la el au reacționat Ion Chicu și reprezentanții STISC.

Agenția de Guvernare Electronică, pe 30 octombrie, a dezvăluit deja noi detalii despre atac și a explicat prin ce servicii ar fi putut obține infractorii acces la datele personale ale cetățenilor. Instituția a admis atunci că persoanele afectate ar putea să nu fie informate individual.

Pe 2 noiembrie, Banca Națională (BNM) a dat separat asigurări că conturile bancare ale locuitorilor țării sunt în siguranță. Acolo s-a făcut apel să nu se cedeze panicii din cauza dezinformării care s-a răspândit în rețea.

Incidentul propriu-zis a început în octombrie, când Moldova s-a confruntat cu un atac cibernetic de amploare asupra serviciilor de stat. Infractorii ar fi putut obține date legate de aproximativ 750 de mii de IDNP-uri, iar autoritățile au avertizat imediat că aceste informații pot fi folosite de escroci.

Potrivit concluziilor preliminare, accesul a fost obținut prin câteva servicii de stat, iar punctul slab l-au constituit deficiențele din mecanismul de control. Tocmai prin acestea puteau fi solicitate informații fără verificarea cuvenită a identității.

Primele semnale despre problemă au apărut pe 22 octombrie, când utilizatorii au observat în contul personal EVO cereri suspecte de obținere a actelor de stare civilă.

Apoi, specialiștii au găsit în jurnalele tehnice urme ale unor accesări mai vechi. Potrivit evaluării preliminare, datele au fost extrase în perioada 19-23 octombrie, deși momentul exact al începerii atacului încă urmează să fie stabilit.

În prima comunicare comună din 24 octombrie, AGE și serviciile de profil vorbeau despre 11 milioane de cereri.

Peste trei zile a apărut o precizare: cererile vizau aproximativ 1 milion de IDNP-uri, iar extragerea datelor a fost confirmată pentru circa 750 de mii de numere personale.

În același timp, volumul datelor diferea de la o persoană la alta. În lista oficială figurează nume și prenume, date și locuri de naștere, fotografii, informații despre rudele apropiate, statutul de asigurat și medicul de familie.

În aceeași listă se află pensii, indemnizații, dizabilitate, permise de conducere, automobile și companii. Pentru persoanele afectate, aceasta înseamnă că lista datelor vizate a fost mai largă decât datele obișnuite din pașaport.

Separat sunt enumerate datele financiare: IBAN, restanțe fiscale și istoricul plăților MPay. Tocmai un astfel de set îi poate ajuta pe escroci să construiască istorii mai convingătoare pentru apeluri și mesaje.

Pentru a reduce riscurile, pe 23 octombrie, în Moldova au fost deconectate preventiv 82 de servicii electronice, peste 30 de sisteme informaționale și panouri administrative.

Mai târziu, autoritățile au anunțat că au reușit să blocheze noi încercări de acces, iar în decurs de o săptămână accesul la majoritatea serviciilor electronice a fost restabilit.

Dar verificarea încă continua, așa că CEC a decis să nu folosească documentele digitale din EVO pentru identificarea alegătorilor la noile alegeri locale și la referendumul local din 1 noiembrie.

Oficial, autoritățile au declarat că nu au descoperit modificări în înregistrările registrelor de stat. Cardurile bancare, potrivit lor, nici ele nu au fost afectate, pentru că platforma de stat nu le păstrează.

Mesajele despre spargerea semnăturii electronice mobile au fost ulterior infirmate. Verificarea preliminară nu a confirmat acest lucru.

La o săptămână după incident, procuratura a anunțat pornirea unui dosar penal. Acum, anchetatorii trebuie nu doar să ajungă la organizatori și executanți, ci și să înțeleagă de ce măsurile existente de protecție nu au funcționat.

Directorul Centrului Național de Management al Crizelor, Sergiu Diaconu, a declarat că riscurile directe pentru populație sunt foarte mici, deoarece datele sustrase, prin ele însele, nu sunt suficiente pentru operațiuni bancare sau tranzacții cu imobile și automobile.

În același timp, el a avertizat că infractorii pot folosi informațiile obținute pentru a câștiga încredere și apoi a smulge parolele sau codurile lipsă.

Asociația Băncilor din Moldova a atras separat atenția asupra IBAN-ului. Numărul contului bancar, în sine, nu oferă acces la bani, dar, în combinație cu circumstanțele personale, îl ajută pe infractor să convingă persoana să confirme operațiunea.

Președintele Asociației pentru Protecția Vieții Private, Sergiu Bozianu, vorbește despre riscurile unor fraude financiare, ale folosirii identității altcuiva și ale obținerii de informații suplimentare pe baza celor deja cunoscute. Potrivit lui, este deosebit de periculoasă combinația de informații despre familie, plăți și alte circumstanțe.

Bozianu consideră, de asemenea, că numărul persoanelor afectate poate crește din cauza dezvăluirii datelor despre rude. El insistă asupra notificărilor individuale și a verificării serviciilor de stat, iar în plus amintește că datele furate pot rămâne valoroase pentru escroci mulți ani.

Fostul viceministru al afacerilor externe și expertul în securitate Valeriu Ostalep a numit protecția datelor personale în Moldova „o poartă deschisă”. Potrivit lui, despre vulnerabilitatea sistemului a avertizat încă înainte de atac.

Ostalep a cerut să se explice cauzele scurgerii și le-a recomandat celor afectați să se adreseze Centrului Național pentru Protecția Datelor cu Caracter Personal, precum și să ia în calcul posibilitatea unei acțiuni în instanță pentru despăgubiri.

Pe acest fundal, mai mulți avocați au anunțat sute de cereri din partea cetățenilor care intenționează să meargă în judecată. Fosta deputată și fondatoarea mișcării „Construim încredere”, Olesea Stamate, a cerut, de asemenea, să se afle cât timp au existat vulnerabilitățile și cine era responsabil de ele.

Ea a pledat pentru un audit independent cu participare internațională și notificări adresate cetățenilor, subliniind că simplele remanieri de cadre nu sunt suficiente.

Pe 28 octombrie, demisia directoarei AGE, Nicoleta Colomeeț, a fost anunțată oficial, iar conducător interimar al agenției a fost numit Artem Cocea, fost consilier al prim-ministrului pentru gestionarea proiectelor și expert în digitalizare.

Colomeeț însăși a explicat plecarea prin necesitatea de a întări conducerea tehnică. Ea a amintit, de asemenea, despre lipsa de personal: schema agenției număra 74 de oameni, în condițiile unei necesități calculate de cel puțin 140 de angajați.

Premierul Vasile Tofan a anunțat o verificare privind posibila implicare a unor structuri de stat străine și a văzut semne ale unei campanii mai ample împotriva datelor personale și a infrastructurii digitale. Potrivit lui, inteligența artificială ar fi putut facilita căutarea și exploatarea vulnerabilităților care anterior rămâneau neobservate.

Maia Sandu, la rândul ei, a anunțat convocarea Consiliului Național de Securitate, pentru a evalua amploarea incidentului și a discuta măsurile de întărire a protecției sistemelor de stat.

Igor Grosu a revenit și el la acest subiect și a spus că acum trebuie clarificate circumstanțele compromiterii datelor și stabilit ce instituție poartă responsabilitatea pentru cele întâmplate.