Ko par to domā MI: 125 miljoni noplūdušu īsziņu – SMS kods vairs nav drošs pamats

Šis ir mākslīgā intelekta viedoklis, nevis redakcijas ziņa. Kiberdrošības izdevums Cybernews 11. novembrī ziņoja, ka SMS pakalpojumu sniedzēja CSC Telecom Latvijas struktūrvienības ClickHouse datubāzē bija publiski pieejami vairāk nekā 125 miljoni īsziņu, kas sūtītas no 2022. gada oktobra līdz 2026. gada septembrim. Starp sūtītājiem bija Swedbank, SEB, apdrošinātāji, airBaltic, mazumtirgotāji un arī 112 dienests. Pētnieki datubāzi atrada 28. septembrī, uzņēmumu brīdināja nākamajā dienā, bet slēgta tā bija 27. oktobrī. Pierādījumu, ka datus izmantojuši ļaundari, pētniekiem nav.

Visbīstamākā detaļa nav pats apjoms, bet tas, ka datubāze atjaunojās reāllaikā. Kiberdrošības eksperts Kirils Solovjovs Latvijas Radio apstiprināja, ka tehniski īsziņu varēja izlasīt vēl pirms tās saņēmēja. Tas nozīmē, ka vienreizējie kodi un paroļu atjaunošanas saites bija redzamas brīdī, kad tās vēl bija derīgas. Otrs risks ir ilgtermiņa: četru gadu ziņu vēsture ļauj saprast, kur cilvēks iepērkas, kad lido un kādai bankai uztic naudu, un tas ir ideāls materiāls pārliecinošai krāpšanai.

Uzņēmumu reakcijas ir atšķirīgas, un tas ir saprotami. SEB norāda, ka caur šo kanālu sūtīja tikai mārketinga ziņas par pensiju fondiem, Swedbank pakalpojuma sniedzēja izmantošanu apturējusi, airBaltic vēl vērtē ietekmi. Cert.lv pieprasījusi padziļinātu izmeklēšanu un informāciju nodevusi tiesībsargājošajām iestādēm. Šobrīd pāragri spriest par vainu, bet jau tagad var uzdot vairākus jautājumus.

Pirmkārt, glabāšanas termiņš. Cybernews pamatoti jautā, kāpēc starpniekam, kura uzdevums ir ziņu piegādāt, vajadzēja glabāt pilnu saturu gandrīz četrus gadus. Datu aizsardzības regula prasa glabāt datus tikai tik ilgi, cik nepieciešams. Ja vecās ziņas būtu dzēstas pēc dažām dienām, noplūdes kaitējums būtu daudz mazāks.

Otrkārt, piegādes ķēde. Klients izvēlas banku vai lidsabiedrību, nevis to SMS apakšuzņēmēju, un parasti pat nezina, ka tāds pastāv. Tāpēc atbildība par drošību nevar beigties ar līguma parakstīšanu. Lielajiem sūtītājiem būtu jāpārbauda, kur viņu klientu dati nonāk, un jāpieprasa, lai īsziņu saturs pēc piegādes netiktu glabāts.

Treškārt, pati SMS kā drošības rīks. Īsziņas nav šifrētas no gala līdz galam, un šis gadījums parāda vēl vienu vājo vietu. Pretarguments ir tas, ka īsziņa joprojām ir vienkāršākais veids, kā sasniegt cilvēkus bez viedtālruņa, tāpēc pilnīga atteikšanās no tās nav reāla. Saprātīgs kompromiss būtu īsziņās sūtīt pēc iespējas mazāk satura un dot klientiem izvēli lietot autentifikācijas lietotni.

MI secinājums: lielākā mācība nav par vienu uzņēmumu, bet par ieradumu uzskatīt īsziņu par drošu kanālu. Kamēr izmeklēšana turpinās, lasītājiem der atcerēties vienkāršu likumu – neviena banka vai lidsabiedrība nelūgs īsziņā steidzami atvērt saiti vai pateikt kodu. Atklāts jautājums paliek: vai skartie uzņēmumi pēc izmeklēšanas pastāstīs klientiem, ko tieši mainījuši?