Valstybinė duomenų apsaugos inspekcija (VDAI), užbaigusi tyrimą dėl gyventojų duomenų nutekėjimo, pradės administracinių baudų skyrimo procedūrą Registrų centro ir Informatikos ir ryšių departamento atžvilgiu. Migracijos departamentui skirta poveikio priemonė – papeikimas.
VDAI teigimu, sprendimas priimtas įvertinus nustatytų pažeidimų pobūdį, jų įtaką asmens duomenų saugumo incidentui ir kitas tyrimo metu paaiškėjusias aplinkybes.
Įsilaužus į darbuotojų elektroninį paštą pasiekta registrų informacija
Kaip skelbė BNS, Generalinė prokuratūra gegužę pradėjo tirti galimus neteisėtus prisijungimus prie Registrų centro sistemų ir daugiau nei 600 tūkst. Nekilnojamojo turto registro įrašų, tarp jų – asmens kodų, pasisavinimą.
VDAI nustatė, kad duomenis pasisavinę asmenys neteisėtai prisijungė prie dviejų Migracijos departamento darbuotojų elektroninio pašto paskyrų. Per jas buvo gauta prieiga prie Nekilnojamojo turto registro (NTR) ir Juridinių asmenų registro (JAR).
Per incidentą paveikti 678 tūkst. 976 NTR išrašai, susiję su 538 tūkst. 226 asmenimis. Taip pat paveikti 33 JAR išrašai, susiję su 66 asmenimis.
Institucijoms pritrūko prieigos kontrolės priemonių
Inspekcija konstatavo, kad Informatikos ir ryšių departamentas neužtikrino tinkamos elektroninio pašto sistemos prieigos kontrolės. Nebuvo naudojamas kelių faktorių autentifikavimas (MFA), neįdiegtos papildomos apsaugos priemonės, o paskyrų kompromitavimo rizika įvertinta netinkamai.
Registrų centras savo ruožtu neužtikrino tinkamos prieigos prie NTR ir JAR valdymo kontrolės. VDAI nurodė, kad nebuvo taikomas MFA ir IP adresų filtravimas, o slaptažodžių kontrolė bei naudotojų užklausų stebėsena buvo nepakankamos. Be to, apie incidentą inspekcija ir duomenų subjektai nebuvo informuoti laiku.
Migracijos departamentas, prašydamas darbuotojams suteikti prieigą prie registrų, Registrų centrui nenurodė konkrečių išorinių IP adresų, iš kurių turėjo būti jungiamasi prie NTR ir JAR. VDAI vertinimu, taip nebuvo panaudotos visos priemonės, galėjusios sumažinti neteisėtos prieigos prie sistemų riziką.
VDAI sprendimas gali būti skundžiamas teismui teisės aktų nustatyta tvarka.
Dėl nutekintų duomenų į teismą jau kreipėsi daugiau nei tūkstantis nukentėjusiųjų. Teismas nagrinės grupinį skundą, kurio vertė siekia mažiausiai 6,69 mln. eurų.
