„Situacija, apie kurią yra kalbama reportaže, NKSC yra žinoma. NKSC nuolatos ieško ir analizuoja informaciją apie paviešintus nutekintus asmens duomenis, taip pat tokia informacija yra gaunama iš atsakingų pranešėjų bei partnerių užsienyje“, – komentare Eltai nurodė NKSC viešųjų ryšių specialistė Silvija Žemaitytė.
„NKSC nuolatos informuoja visas organizacijas apie jų paviešintus nutekintus duomenis, didžiausią dėmesį skiriant kritines paslaugas teikiančioms organizacijoms. Vien 2024 m. NKSC išsiuntė apie 200 pranešimų apie šimtus tūkstančių nutekintų duomenų“, – aiškino ji.
NKSC pastebi, jog dalis organizacijų vis dar taiko nepakankamas kibernetinės apsaugos priemones – prie viešai pasiekiamų informacinių sistemų leidžia prisijungti naudojant silpnus slaptažodžius, netaiko periodinio slaptažodžių keitimo politikos, nenaikina senų ir nebegaliojančių paskyrų, netaikomo kelių veiksmų tapatybės patvirtinimo procedūrų ir pan.
NKSC nuolatos informuoja visas organizacijas apie jų paviešintus nutekintus duomenis, didžiausią dėmesį skiriant kritines paslaugas teikiančioms organizacijoms. Vien 2024 m. NKSC išsiuntė apie 200 pranešimų apie šimtus tūkstančių nutekintų duomenų.
Be to, pažymima, dalis įspėjamų įmonių ir įstaigų nesiima papildomų priemonių duomenų apsaugojimui.
„Taip pat tenka pripažinti, kad šiuo metu ne visos NKSC pranešimus gavusios organizacijos imasi reikiamų apsaugos priemonių. Šių metų spalio viduryje, įsigaliojus naujai Kibernetinio saugumo įstatymo redakcijai, NKSC įgis daugiau teisinių priemonių ir galės įpareigoti organizacijas skubiai įgyvendinti kibernetinio saugumo nurodymus. Tuo tarpu dabar galime tik informuoti apie įvykusius incidentus ir pateikti rekomendacijas, kokių užkardymo priemonių įmonės turėtų imtis“, – pažymėjo centro atstovė.
Po S. Malinausko paviešintos informacijos NKSC nesulaukė papildomų kreipimųsi iš vaizdo įraše minimų įmonių.
„Situacija yra priešinga, nes dažniausiai NKSC kreipiasi į organizacijas informuodamas apie galimą kibernetinį incidentą ar kibernetinio saugumo spragą bei pateikdamas rekomendacijas, kokių saugumo priemonių reikėtų imtis“, – teigė S. Žemaitytė.
Tiesa, NKSC nurodo, jog apie tokius įsilaužimus į sistemas ar pastebėtus duomenų nutekėjimus galima pranešti centrui.
„Šiais metais NKSC jau yra sulaukusi 30 pranešimų iš kompetentingų asmenų apie galimas saugumo spragas įvairiose Lietuvos informacinėse sistemose“, – nurodoma komentare, akcentuojant, jog pernai buvo sulaukta 74 tokių pranešimų.
„Visais šiais atvejais NKSC kontroliavo spragų pašalinimą“, – priduria S. Žemaitytė.
„Telia“ atstovas: kreipėmės į paslaugos tiekėjus, pradėjome vidinį tyrimą
S. Malinausko vaizdo įraše demonstruojama, kaip įsilaužėliams yra prieinama mobiliojo ryšio operatoriaus „Telia“ darbuotojų automobilių rezervavimo sistema.
„Telia“ atstovas Audrius Stasiulaitis Eltai nurodė, kad pastaroji sistema nėra vidinė įmonės platforma. Jo teigimu, pasirodžius informacijai viešojoje erdvėje įmonė kreipėsi į paslaugą suteikusį išorės tiekėją dėl asmens duomenų saugos pažeidimų. Taip pat pradėtas vidinis tyrimas.
„Telia“ automobilių parko rezervacijos sistema nėra vidinė įmonės platforma, tai yra mūsų išorės partnerio teikiama paslauga. Dėl asmens duomenų pažeidimo kreipėmės į šios paslaugos tiekėjus ir patys pradėjome vidinį tyrimą. Tai nebuvo išorinis įsilaužimas į mūsų partnerių sistemą, o prisijungimas su vieno iš vartotojų nutekintu slaptažodžiu“, – Eltai komentavo sakė A. Stasiulaitis.
„Iš karto kreipėmės į savo automobilių rezervacijos platformos paslaugų tiekėją su rekomendacijomis ir gairėmis dėl būtinų saugumo priemonių taikymo, kurios yra numatytos ir duomenų tvarkymo sutartyje. Tuo pačiu informavome ir savo darbuotojus dėl papildomų saugumo priemonių naudojantis šia platforma“, – sakė jis.
Sekmadienį tinklaraštininkas S. Malinauskas savo „YouTube“ kanale paskelbė vaizdo įrašą, kuriame kalbama apie didžiųjų šalies įmonių ir institucijų duomenų apsaugos spragas. Šią informaciją S. Malinauskui perdavė šaltiniai. Vaizdo įraše minimos tokios įmonės kaip „Unipark“, „Maxima“, „varle.lt“, „Telia“, „Fastlink“ ir pan.