После кибератаки на Центр государственного технического надзора Латвии (CSDD) злоумышленники получили доступ к персональным данным 1,2 миллиона физических лиц и регистрационным номерам примерно 150 000 юридических лиц. Это создаёт серьёзные риски для граждан, поскольку мошенники могут использовать эти данные для выдачи себя за государственные учреждения и банки, особенно в сообщениях, касающихся штрафов за нарушение правил дорожного движения.
Одним из наиболее опасных рисков являются персонализированные SMS и электронные письма. Злоумышленники могут написать с якобы официального аккаунта CSDD, сообщая, что автомобиль с конкретным номером превысил скорость, и предлагая оплатить штраф по предоставленной ссылке. Поскольку сообщение содержит настоящие данные о владельце или автомобиле, оно может быть довольно убедительным даже для осторожного получателя.
Эксперты напоминают о том, что даже при проверке информации через поисковые системы мошенники могут вести в заблуждение. Они используют поддельные рекламные объявления, которые направляют пользователей на сайты-копии CSDD, где введённые данные попадают в руки мошенников.
Существуют и другие схемы, включая телефонные звонки, когда аферисты представляются работниками полиции или банков, сообщают личные данные жертвы и пытаются получить подтверждение операций через Smart-ID или банковские реквизиты. Специалисты настоятельно рекомендуют не обращаться к таким собеседникам и сразу прекращать разговор, а самостоятельно связываться с официальными учреждениями.
Опасность также представляют неожиданные запросы на подтверждение в Smart-ID и eParaksts mobile. Хотя личный идентификационный код сам по себе не предоставляет доступ к цифровым сервисам, злонамеренные лица могут инициировать запрос на аутентификацию, и их цель – заставить человека подтвердить его. Поэтому любые запросы, которые пользователь не инициировал, следует игнорировать.
«Мошенники часто прибегают к методам социальной инженерии, чтобы заставить человека действовать против собственных интересов», — объясняет Элвисс Страздиньш. Он добавляет, что доверие злоумышленников проще всего завоевать, используя личные данные жертвы, что создаёт иллюзию, что информация может быть известна только организации, от имени которой действует мошенник.
Специалисты по информационным технологиям рекомендуют использовать разные PIN-коды для разблокировки телефона и Smart-ID. По словам эксперта, мошенники уже пытались воспользоваться его личным идентификационным номером, отправляя запросы от имени разных организаций. Автоматическое подтверждение таких запросов может привести к потере денег со счетов.
Cert.lv также предупреждает, что после утечки данных мошеннические сообщения могут стать ещё более убедительными. Если злоумышленники располагают именем, персональным кодом, номером автомобиля или информацией о предыдущих платежах, они могут более точно проводить социальную инженерию.
Эксперты призывают проверять подозрительные сообщения исключительно самостоятельно, открывая официальный сайт или приложение соответствующей организации, например e-CSDD или Latvija.gov.lv, для проверки информации. Переходить по ссылкам из SMS или электронных писем с просьбами об оплате штрафов не рекомендуется.
Представители Swedbank также выпустили предупреждение о мошеннических письмах, которые требуют обновления банковских данных, призвав клиентов обходить подобные ссылки и самостоятельно входить в интернет-банк. Они также указали на продолжающуюся работу поддельных сайтов CSDD и призвали граждан быть особенно внимательными к обращениям от имени данного учреждения.
На фоне этих событий эксперты указывают на серьёзные последствия утечки данных. Элвисс Страздиньш считает, что такая база данных может представлять угрозу национальной безопасности, позволяя злоумышленникам устанавливать адреса людей и собирать информацию о владельцах автомобилей, включая должностных лиц.
ИТ-эксперт Илмар Пойканс раскритиковал отказ CSDD от дополнительных мер киберзащиты, которые могла предоставить Cert.lv. Он также напомнил о случае 2018 года, когда человек, обнаруживший уязвимость в системе CSDD, столкнулся с уголовным преследованием.
Главное правило после утечки данных заключается в том, что не следует доверять сообщению только на основании наличия собственных данных. Любые штрафы, письма от банков или запросы на подтверждение личности необходимо проверять через официальные ресурсы, и, что наиболее важно, никогда не подтверждать в Smart-ID операции, которые не были инициированы самостоятельно.
