Само късметът спаси НАП и 5 млн. българи от пълна катастрофа с изтичането на лични и други данни от сървър на данъчните. Късметът е, че хакерът е бил относително добронамерен и не е манипулирал данни*. На второ място, НАП има шанса да разполага с отличен професионалист в лицето на говорителя Росен Бъчваров, който показа добри умения по управление на кризи. Последното не може да се каже за министъра на финансите Владислав Горанов и останалите институции, от които зависеше ограничаването на щетите от скандала. Сред тях е прокуратурата, която набързо намери виновен, но не успява да убеди, че разглежда всички хипотези и е загрижена да събере годни доказателства за пред съда.
Изтичането данни на над 5 млн. граждани (и 471 хил. имейла) е станало на 29 юни и бе оповестено на 15 юли. На 16 юли (вторник) НАП призна, че има неоторизиран достъп, а премиерът Бойко Борисов свика съвета по сигурността. Изглежда на това заседание е било обсъждано основно как да се омаловажи случилото се, а не как да се намалят щетите за гражданите.
Голяма част от мерките трябваше да се вземат на 15 юли – преди да излезе статията във в. „Капитал„, който единствен бръкна в получените от анонимен източник данни. Както става ясно, държавните органи са разполагали с няколко часа (от получаването на мейла до публикацията), за да се свържат с медиите, които бяха получили достъп до първоначално разпратените файлове, да преценят какъв е характерът на изтеклите данни, да оценят последиците и да се опитат да ограничат щетите.
Очаквах, че още на 16 юли, вторник, държавните институции, включително МФ, МВР, ГДБОП, Агенция по вписвания, КЗЛД, със съдействието на нотариуси, банки и доставчици на удостоверителни услуги ще излязат с оценка на риска и препоръки (например, трябва ли да се сменят пароли и кодове, да се сменят лични карти, да се активира известяване за транзакции и вписвания и пр.). Надцених ги. Вместо за сигурността на данните на гражданите и бизнеса, властниците се оказаха ангажирани единствено със собственото си оцеляване. Затова първата информация бе, че са изтекли само 3% от данните. Това не успя да предотврати бурята, особено след като линкът с хакнатата база данни и до днес може да бъде свалян свободно в интернет.
Появиха се съмнения, че е възможно да се подправят пълномощни, да се прехвърлят фирми със задължения, да се осъществи неоторизиран достъп до услугите на НАП, или да се изтеглят бързи кредити. Тези рискове, с изключение на достъпа до услугите на НАП, достъпни с ПИК, може би са преувеличени. Измами с бързи кредити не би следвало да са възможни, ако банките и останалите институции спазват ЗМИП, който изисква идентифициране на клиента, но не сме сигурни дали всички го правят. Измами с имоти също не трябва да са възможни, ако нотариусите си гледат работата. Недостигът на официална информация обаче пречи да се оценят опасносттите.
Рискът от измами не е единственият проблем. Изтичането на данни може да има и други неблагоприятни последици – например, работодателят Ви може да поиска да намали заплатата Ви на основание на това, че на предишната си работа сте получавали по-малко. Други могат да загубят работата си на основание на това, че са в списъка на залагащите онлайн. Трети може да се окажат жертва на телефонни измамници.
Не само данните на гражданите са застрашени. Възможно е да е разпространена чувствителна търговска информация. Част от данните са свързани с данъчни производства, което води до осуетяване на капацитета на НАП да осигури публичните приходи. Компрометирани са данни от обмена на информация в рамките на Юрофиск, което означава, че партньорските служби ще обменят данни с по-голямо нежелание. Има риск да се водят съдебни дела срещу НАП и българската държава, и то не само по линия на GDPR.
Повече от седмица след обявяването на хакерската атака нито една държавна институция не даде съвети за това какво следва да се направи, за да се предпази чувствителната информация на гражданите и бизнеса. Значително по-късно това бе направено от НАП, но информацията остава все така недостатъчна. Няма информация дали се работи да се възстанови доверието на засегнатите чуждестранни лица и компании и на партньорските организации.
Обърнете внимание, че до този момент коментарите са насочени към разпространените 57 папки. Ние не знаем какво има в останалата половина данни, изтеглени от хакера (които според прокуратурата са на компютъра на Кристиян Бойков – ако е вярно, това би означавало, че течът е ограничен) и това също е източник на несигурност.
Също така досега всички коментират изтичането на лични данни, а на заден план остава вероятността да са разпространени и фирмени данни, включително за данъчни проверки.
Как реагираха различните държавни институции и отговорни лица?
НАП: Приходната агенция обяви, че започва проверка на 15 юли и след като призна, че 20 дни по-рано е осъществен неоторизиран достъп. Не стана ясно защо агенцията не е реагирала още през юни и защо не е спазила изискването на ЗЗЛД да информира в рамките на 72 часа за изтичането на лични данни с висок риск. НАП уведоми едва на 16 юли ГДБОП, ДАНС, КЗЛД и други институции и започна информационен одит. Достъпът до някои услуги бе временно ограничен и започна проверка за евентуално манипулиране на масива от данни. Предстои агенцията да пусне приложение за проверка. Директорът на НАП Галя Димитрова бе в отпуск.
Много от действията на НАП, макар и правилни, се забавиха значително, което вероятно се дължи на факта, че агенцията бе оставена да се справя сама с последиците. Други още не са предприети. НАП все още не е взела мерки за постигане на съответствие с GDPR или поне не е променила политиката си защита на личните данни, която не отговаря на изискванията на регламента.
Допълнение: Препоръки на НАП за ограничаване на рисковете: Сменете паролите на електронните пощи
МС: Премиерът Бойко Борисов, който драматично отсъства от управлението на тази криза, се опита да отклони вниманието с несвързано изявление за уникалните мозъци и оправданието „винаги една защита е по-слаба, ако някой тръгне да я напада“. Вицепремиерът Томислав Дончев, която доскоро отговаряше за киберсигурността, видя опит да се клати правителството/държавата и определи случая като тежък инцидент. Неговата колежка Мариана Николова, която неусетно е поела отговорността за електронното управление преди месец, не коментира.
МВР: На министъра на вътрешните работи Младен Маринов дължим първоначалното обвързване на хакерската атака с покупката на изтребители F-16. Впоследствие тази версия бе изоставена, а министърът замина в командировка и загуби интерес към темата.
МФ: Министърът на финансите Владислав Горанов има пряко отношение към скандала не само защото НАП е на негово подчинение, а и тъй като от него зависи какъв бюджет се отделя за киберсигурност. Негова първоначална реакция бе да омаловажи случилото се: “ Съгласно направените проверки, структурата на изтеклата информация и данните в нея не могат да доведат до консистентен анализ, с който може да им бъде навредено.“, каза той пред БНТ. Според него няма какво толкова да се направи, тъй като и по-богати държави са имали проблеми с изтичане на лични данни. Освен това, твърди той, „ако НАП не предлагаше електронни услуги, нямаше да има казус с изтичане на лични данни“. Това изказване е доста проблематично, защото най-малкото, което следва да се свърши при отворена система и да се изолира достъпа, така че да не може през интерфейса за възстановяване на ДДС да се достъпват данни за залагания, данни на ГРАО и КАТ и прочие. Горанов, който в типичния си стил препоръчваше на програмистите, ако искат да останат на пазара, да използват отсрочката по Наредба Н-18 за писане (на код), а не за опозиция, настоява, че при съществуващите заплати в държавната администрация не може да се наемат качествени ИТ специалисти. Но фактът, че годишният бюджет за киберсигурност е едва 5 млн. лева, до голяма степен също е заслуга на финансовия министър. След този гигантски ИТ провал, упорството на НАП (всъщност на МФ) да се следва тяхното решение за отчитане на продажбите съвсем губи убедителност.
Още от Владислав Горанов:
„С изтичането на тези лични данни не може да се извърши престъпление без да се наруши някой друг закон”
„В момента не се налага да сменяме ЕГН-та и лични документи.”
„Ако си забравиш колата отключена и някой ти я открадне, това не те прави виновен.”
„Представете си какво ще стане, ако така лесно дадем оставка, заради една хакерска атака“
КЗЛД: Проверката на КЗЛД започна едва на 22 юли и ще приключи до 20.08.2019 г. Председателят на комисията Венцислав Караджов, чиийто мандат е изтекъл, първоначално заяви, че ще изчака правоохранителните органи и, че НАП няма веднага да бъде глобена, тъй като е по-добре средствата за заплащане на глобата от поне 20 млн. лева да бъдат вложени в информационна сигурност. Според чл. 39, ал. 4 от Закона защита на личните данни, за да могат гражданите да търсят обезщетение за понесените вреди по съдебен път, производството пред КЗЛД трябва да е приключило. Комисията също не излезе с препоръки към гражданите.
Агенция по вписвания: Агенцията не е реагирала. Предполагаемо вписванията с електронен подпис не би следвало да са под риск, но предвид множеството случаи на откраднати фирми дори формално изявление не би било излишно.
ДА Електронно управление и CERT: Без коментар
Да влезе Гешев
Отсъстващата или забавена реакция на редица отговорни лица остави широко поле за действие на заместник главния прокурор Иван Гешев, който тази седмица официално бе издигнат като единствен кандидат за главен прокурор. Обвинителят, чийто кариерен възход започна с делото КТБ, бе щедър на политически интерпретации.
В пространно интервю за БНТ на 23 юли той разви тезата, че атаката е организирана от врагове на властта – „десни екстремисти“, обединени около „Да, България“ на Христо Иванов и „обвиняемия“ Иво Прокопиев и сайта „Бивол“. Данни за тяхната съпричастност не присъстват в официалното съобщение на прокуратурата, но хипотезата е развита подробно в статия на свързания с Делян Пеевски вестник „Монитор“. Там е добавен и дежурният виновен – Иван Костов и … кремълската пропагандна машина.
Сравнително бързо – на фона на забавените мерки за защита на гражданите от безпрепятстването разпространение на откраднатите данни, бяха повдигнати обвинения в кибертероризъм на служители на TAD Group, която според Гешев се е занимавала с киберрекет – хакерство с цел последващо изнудване.
Тази фиксация върху враговете, вместо върху отговорните за този грандиозен пробив в информационната сигурност е притеснителна.
Активността на прокуратурата в този случай силно напомня трескавата й дейност в началото на кризата с КТБ. И тогава се бързаше да се създаде цветна история за виновник – помните чували с пари, изнасяни от счетоводителки, сега се разказва историята за папка „Търсене за бивол“. Целта на тези подробности е да ни накарат да забравим папка QneQnev и подобни интересно наименовани папки, които съдържат направена неизвестно за кого селекция от данни.
Фентъзи за наивници
Набързо скалъпената пропагандна теза издава, че според господата Борисов, Горанов и Гешев данъкоплатците могат лесно да бъдат заблудени с приказки за оставени отключени коли, хакери-магьосници и зли киберрекетьори, отгледани от политическия архивраг.
Дори обвинението да е открило истинския извършител, остават много други въпроси, с което то също следва да се занимае.
Първият такъв въпрос е за безгрижието, с което администрацията се отнася към защитата на данните на гражданите и фирмите. Защо след като специалистите отдавна са наясно с нивото на информационна сигурност в НАП (информация от достоверен източник), МФ не е взело мерки и не е предвидило бюджет за подобряването й. Твърди се, че е имало и предишни атаки и пробиви, но едва сега започнаха тестове за уязвимост и пълен информационен одит.
Също така не става ясно защо в продължение на 20 дни НАП не са засекли хакерската атака или (ако все пак са установили, че има пробив през юни), не са го докладвали в рамките на 72 часа, както изисква законът.
Информационната сигурност не зависи само от бюджета за киберзащита. Министерствата харчат ежегодно стотици милиони левове за информационни системи и е-управление, част от тези дейности се възлагат на външни фирми, други – не. Проблемът е, че в тези действия липсва синхрон, не се планират разходите за поддръжка и одит и нивото на защита не е добро. Затова данните на НАП например са били били източени сравнително лесно.
Освен това от известното до момента може да се направи извода, че НАП (както и други администрации) има значителни пропуски на организационно ниво: данните се копират и съхраняват за неопределен срок (данни на починали лица, които изглежда не са били минимизирани), от едно място може да се достъпят редица бази данни, вероятно няма нива на достъп за различните служители, изисквания за силна парола, надеждни процедури и прочие. Това не е свързано с липса на пари, а с липса на дисциплина и контрол.
ИТ сигурността е преди всичко организация, а не е нещо, което се купува, както се обяснява подробно в тази статия. В тази област държавата не се справя добре.
Както се посочва в статията на Божидар Божанов, въпросът с ниските заплати на ИТ специалистите в държавния сектор има решение, което е било обсъждано преди години, но е изоставено. Твърдението на депутата Валентин Радев (бивш министър), че „нямаме такива пари в държавата“ , издава не само неразбиране на проблема, но и сгрешени приоритети. Нека да припомним още, че държавата плаща значителни суми за персонална охрана на бивши и настоящи депутати от НСО.
Управляващите няма да успеят да заметат бързо този скандал, който надхвърля мащабите на НАП. Те обаче ще бъдат принудени от партньорските служби да вземат мерки и да посочат отговорните, тъй като са компрометирани данни за чуждестранни лица и за разследвания, в това число запитвания от чужбина във връзка с източване на ДДС.
* Предварителна оценка. НАП все още не е приключила проверката.
Обвинението
20-годишният Кристиян Бойков, служител на TAD Group, бе задържан още във вторник, 16 юли, на следващия ден прокуратурата му повдигна обвинение, а в четвъртък го смекчи и го освободи срещу „подписка“.
Бойков бе изобличен чрез никнейм, оставен в lock файла, записан в масива – Крисс. Там също се вижда и името на компютъра – DESKTOP-NSTGGRP. Възможно е такъв файл да е бил подправен (от някой, който знае името, което Бойков използва във форуми), но също толкова възможно е хакерът да е бил твърде самоуверен и да е забравил да прикрие следите си. Според прокуратурата в иззетия компютър се откриват следи от действия, извършени преди изпращането на файла до медиите (като промяна на датата с 10.11.1989).
В подкрепа на съмненията към служителя на TAD Group е фактът, че няма нови имейли до медиите след ареста на Бойков, както и изобличаващ негов коментар за инсталиран кийлогър (проследяващ софтуер) на компютъра на полицайка, който бе премахнат впоследствие от форума на TAD Group. Всичко това са косвени улики.
В същото време има съмнение, че заради бързането да се посочи виновен, обвинението е компрометирало доказателствата. Според Иван Гешев прокуратурата е успяла за 10 дни (всъщност от иззeмването на компютрите са изминали по-малко дни) да „разкриптират“ единия компютър. Както посочи адвокатът на TAD в интервю за Нова, ако са извлечени някакви данни от компютъра, това е незаконно, защото трябва да присъстват поемни лица и хора от защитата на обвиняемите, както и собственикът на съответното устройство (чл. 163 НПК). Ако нещо е могло да бъде изтеглено, то е можело и да бъде внесено в компютъра, казва той..
Седмица по-късно, Бойков и търговският директор на TAD Group Георги Янков бяха обвинени като извършител и подбудител на терористични действия. Собственикът на TAD Group Иван Тодоров е обявен за общодържавно издирване. По информация на адвокатите Тодоров е в командировка в Канада, където има семинар на веригата заведения Subway, чийто права у нас той държи.
