Pirmadienį paaiškėjus apie didelio masto „CityBee“ klientų duomenų vagystę ir paviešinimą įsilaužėlių forume, žmonės griebėsi ko išmano, kad apsisaugotų nuo dar didesnės žalos. Nors bankų atstovai šias priemones vadina perteklinėmis, pastebimas išaugęs skambučių skaičius, pastarosiomis dienomis užblokuota daugiau mokėjimo kortelių.
Kibernetiniams įsilaužėliams pirmadienį paviešinus iki 2018 vasario 22 d. automobilių dalijimosi programėlėje „CityBee“ užsiregistravusių naudotojų duomenis, sukluso daugelis, o smarkiau arba lengviau sunerimo bent 110 tūkst. žmonių.
Nutekinti klientų vardai, pavardės, asmens kodai, telefonų numeriai, elektroninio pašto ir gyvenamosios vietos adresai, vairuotojų pažymėjimo numeriai bei užkoduoti slaptažodžiai. Forume „RaidForums“ duomenis išplatinęs programišius slapyvardžiu „000“ žurnalistams teigė, kad „CityBee“ duomenų apsauga yra itin prasta – esą prie informacijos galėjo prieiti kone bet kas, turintis šiek tiek IT žinių.
Nors mokėjimo kortelių duomenys nutekinti nebuvo, „CityBee“ klientai ne tik puolė keisti slaptažodžius iš „kebabas1“ į „kebabas2“ – kai kurie visgi labai rimtai susirūpino savo banko sąskaitų turiniu. „Kas vyksta Kaune“ šaltiniai teigia, kad išaušus 103-iajam Lietuvos gimtadieniui klientų aptarnavimo ragelius teko kelti dažniau nei įprastai.
Blokuoja, nors būtinybės nėra
„Swedbank“ atstovas spaudai Saulius Abraškevičius portalui pateiktame komentare banko vardu sakė suprantantis tų gyventojų nerimą, kurie įtaria nutekėjus jų duomenims per įsilaužimą į „CityBee“ klientų duomenų bazę.
„Dalis jų kreipiasi į banką, norėdami pranešti apie atskleistus asmeninius duomenis ar užblokuoti mokėjimo kortelę. Tačiau norime pabrėžti, kad būtinybės perduoti šią informaciją bankui ar blokuoti savo mokėjimo kortelę nėra“, – tikino S. Abraškevičius.
Jis taip pat ramino gyventojus, kad jokio sukčių suaktyvėjimo dėl šio atvejo bankas nefiksuoja, taip pat negauna klientų skundų dėl patirtų žalų, kurias būtų galima sieti su „CityBee“ klientų duomenų nutekinimu.
Kiek plačiau susipažinti su finansinėmis rizikomis, kylančiomis dėl aptariamo duomenų paviešinimo, ir veiksmais, kurių reikia imtis, galima susipažinti Lietuvos bankų asociacijos (LBA) išplatintame pranešime. Jame, trumpai tariant, LBA aiškina, kad reikalo blokuoti mokėjimo korteles nėra, kaip ir galimybės sukčiams pasisavinus tapatybę atlikti banko operacijas, mat tam reikia asmens dokumento, o skaitmeninių paslaugų atveju – patvirtinimo „Smart-ID“ ar kitomis priemonėmis.
Kreiptis į banką nurodoma tik sąskaitoje pastebėjus neįprastų operacijų, apskritai raginama akylai saugoti asmeninius duomenis, kritiškai vertinti visus skambučius ir žinutes bei nepasitikėti gauta informacija, jei joje prašoma įrašyti prisijungimo duomenis pateiktoje formoje arba paspaudus pridėtą nuorodą.
Paimti kredito neįmanoma
Kaip „Kas vyksta Kaune“ sakė SEB banko atstovė žiniasklaidai Ieva Dauguvietytė-Daskevičienė, finansinio sukčiavimo atvejų pasitaiko periodiškai, bet šiuo metu nepastebima klientus apie sukčiavimą pranešant aktyviau.
I. Dauguvietytė-Daskevičienė visgi pripažino, kad gyventojai į banką skambina kiek dažniau – jų prašymu vasario 16-18 d. blokuota apie 300 daugiau mokėjimo kortelių negu įprastai.
„Tokia situacija, kad žinant asmens vardą, pavardę, asmens kodą ar vairuotojo pažymėjimo duomenis būtų galima paimti kreditą kito asmens vardu, SEB banke negalima. Taip pat žinant šiuos duomenis kitam asmeniui neįmanoma atlikti jokių veiksmų: nei atsidaryti sąskaitos, nei užsakyti mokėjimo kortelės, nei sužinoti lėšų likučius ar kitą asmeninę banko saugomą informaciją“, – pažymėjo SEB banko atstovė.
Ragina saugoti banko ir kortelių duomenis
I. Dauguvietytė-Daskevičienė priminė, kad sukčių kabliuką apiplauksite, jei ignoruosite prašymus savo interneto banko prisijungimo ar mokėjimo kortelių duomenų įvesti, kai gaunate įtartinas interneto svetainių nuorodas el. paštu, SMS žinutėmis ar kitais kanalais.
„Nesvarbu, kuo prisistato asmuo, su kuriuo žmogus bendrauja, – banko, „Sodros“, Valstybinės mokesčių inspekcijos darbuotoju ar policininku – savo interneto banko prisijungimo ir mokėjimo kortelių duomenų negalima atskleisti niekam. Nesvarbu, ar toks prašymas gaunamas telefonu, elektroniniu paštu, per pokalbių programėles ar SMS žinutėje atsiųstoje nuorodoje“, – situacijas, kuriose laikyti liežuvį už dantų apsimoka, vardijo I. Dauguvietytė-Daskevičienė.
Tuo tarpu veiksmus programėle „Smart-ID“ ar mobiliuoju parašu reikia tvirtinti tik tuomet, kai asmuo pats juos inicijuoja, t. y. jungiasi prie interneto banko ar tvirtina mokėjimą. I. Dauguvietytė-Daskevičienė pabrėžė, kad bankas nesiunčia klientams aktyvių nuorodų į interneto banką ar sutrumpintų nuorodų (//bit.ly).
Nukentėjo daugiau kaip 100 tūkst. klientų
Apie paviešintus asmens duomenis „CityBee“ paskelbė vasario 15 d. Iš pradžių pranešta, kad užsienyje registruotame forume „RaidForums“ įkelti maždaug 110 tūkst. bendrovės klientų vardai, pavardės ir asmens kodai, bet antradienio naktį paaiškėjo įsilaužėlius turint ir telefonų numerius, elektroninio pašto ir gyvenamosios vietos adresus, vairuotojų pažymėjimo numerius bei užkoduotus slaptažodžius.
Anot „CityBee“, informacija apie duomenų vagystę buvo nustatyta kibernetinio saugumo specialistams vykdant nuolatinę stebėseną, paviešinti duomenys klientų, kurie sistemoje užsiregistravo iki 2018 m. vasario 22 d. Mokėjimo kortelių duomenys liko apsaugoti, bet nemanykite, kad tai išskirtinis „CityBee“ nuopelnas – kaip nurodo LBA, išmaniųjų paslaugų teikėjai vadovaujantis PCI saugumo standartu tiesiog nedisponuoja mokėjimo kortelių duomenimis.
K. Kaikario komentaras apie „CityBee“ klientų duomenų vagystę
Tuo metu „CityBee“ vadovas Kristijonas Kaikaris antradienį surengtoje spaudos konferencijoje stebėjosi, kad paviešinta informacija yra trejų metų senumo. „Jeigu ji buvo pavogta seniau, atrodo, turėjo būti paskelbta seniau, kam laikyti tiek laiko. Kitas dalykas yra tai, kad dabar, ta informacija, kokia yra paskelbta, mes tokios nebeturime, nes mūsų klientų bazė yra išaugusi ir infrastruktūra yra pasikeitusi“, – dėstė K. Kaikaris, pridūręs, kad nusikaltėlių stilius rodo juos ieškant naudos.
Įvykį tiria policija ir VDAI
Ikiteisminį tyrimą dėl duomenų vagystės pradėjo Lietuvos kriminalinės policijos biuras, situaciją tiria Valstybinė duomenų apsaugos inspekcija.
Pagal Baudžiamojo kodekso 198 str., tas, kas neteisėtai stebėjo, fiksavo, perėmė, įgijo, laikė, pasisavino, paskleidė ar kitaip panaudojo neviešus elektroninius duomenis, baudžiamas bauda arba laisvės atėmimu iki ketverių metų. Neteisėtai prisijungęs prie informacinės sistemos ar jos dalies asmuo baudžiamas viešaisiais darbais, bauda, areštu arba laisvės atėmimu iki dvejų metų.
Vadovaujantis Bendruoju duomenų apsaugos reglamentu, duomenų saugumo pažeidimą patyrusi organizacija turi nedelsiant imtis visų priemonių padėčiai ištaisyti. Be kita ko, ne vėliau kaip per 72 val. apie tai pateikti pranešimą VDAI ir informuoti, su šiuo incidentu susijusius asmenis, kurių duomenys galėjo nukentėti.
Beje, „CityBee“, ko gero, gresia brangesni nemalonumai nei internetinių tinklų užkaboriuose tūnantiems anoniminiems piktadariams. Lietuvos vartotojų organizacijų aljansas (LVOA) rengia grupinį ieškinį dėl žalos, padarytos bendrovei neužtikrinant asmens duomenų apsaugos. Teisininkai prognozuoja, kad nukentėję klientai gali tikėtis prisiteisti kelių šimtų eurų kompensaciją, tiesa, bylinėjimasis gali trukti nuo dvejų iki septynerių metų.
„CityBee“ veikia Lietuvoje, Latvijoje, Estijoje ir Lenkijoje. Automobilių ir kitų transporto priemonių nuomos paslaugą Lietuvoje teikia Vilniuje registruota UAB „Prime Leasing“. Bendrovės valdomą automobilių parką sudaro daugiau nei 2 tūkst. transporto priemonių, įmonė turi daugiau kaip 750 tūkst. registruotų klientų bazę.
