Liettuan 600 000:n valtiollisen rekisterin tietomurto yhdistetty ulkovaltoihin
Liettuan syyttäjät tutkivat maan historian yhtä merkittävintä valtiollisen rekisterin tietomurtoa. Hyökkääjien, joiden uskotaan olevan yhteydessä ulkovaltoihin, onnistui saada haltuunsa yli 600 000 tietuetta Liettuan kansallisista rekisterijärjestelmistä. Varastettuihin tietoihin kuuluu nimiä, syntymäaikoja, henkilötunnuksia ja omaisuustietoja, mikä asettaa huomattavan osan maan väestöstä vakavaan pitkäaikaiseen riskiin. Tämä tapaus on karu muistutus siitä, ettei valtiollisen rekisterin tietosuojasta huolehtimista voi jättää täysin laitosten varaan.
Mitä varastettiin ja miksi valtiolliset rekisterit houkuttelevat ulkovaltoja
Kansalliset rekisterit eivät ole tavallisia tietokantoja. Ne ovat keskitettyjä, todennettujen ja ristiinviitattujen henkilötietojen varastoja, joita hallitukset käyttävät kansalaisten asioiden hoitamiseen terveydenhuollossa, verotuksessa, omaisuuden omistuksessa ja oikeudellisessa asemassa. Tämä tarkkuuden ja kattavuuden yhdistelmä tekee niistä erittäin arvokkaita ulkopuolisille tiedustelutoimijoille.
Liettuan tietomurrossa vaarantuneet tiedot ovat erityisen arkaluonteisia. Henkilötunnukset toimivat avaimina lukuisiin julkisiin ja rahoitusjärjestelmiin. Kiinteistötiedot paljastavat varallisuutta, jota voidaan käyttää taloudellisten suhteiden kartoittamiseen, kiinnostavien henkilöiden tunnistamiseen tai taloudellisen painostuksen tukemiseen. Yhdistettyinä nämä tiedot muodostavat yksityiskohtaisia profiileja, jotka ovat ulkovaltiolle paljon hyödyllisempiä kuin luottokorttinumerot tai salasanat, jotka voi vaihtaa.
Syvällisempi katsaus tapahtuneen tietomurron tietoluokkiin ja Liettuan viranomaisten toimiin löytyy artikkelista Liettuan 600 000 tietueen kansallisrekisteritietomurto selitettynä.
Miten valtiolliset uhkatoimijat toimivat eri tavalla kuin rikolliset hakkerit
Rikolliset hakkerit yleensä rahastavat tietomurrot nopeasti: myymällä tietoja pimeässä verkossa, käyttämällä niitä identiteettipetoksiin tai hyödyntämällä niitä kiristysohjelmahyökkäyksissä. Valtiolliset toimijat toimivat täysin eri aikajanalla ja eri tavoittein.
Ulkopuolisiin tiedustelupalveluihin yhdistetyt murtautumiset tähtäävät usein jatkuvaan läsnäoloon ja tiedusteluarvoon välittömän hyödyn sijaan. Kansallisen rekisterin tietoja voidaan käyttää toisinajattelijoiden tunnistamiseen, sotilas- tai hallintohenkilöstön omaisten jäljittämiseen, pitkäaikaisia vaikutusprofiileja varten tai ristiinvertailuun muiden varastettujen tietoaineistojen kanssa aukkojen täyttämiseksi olemassa olevissa tiedustelutiedoissa.
Tästä syystä Liettuan syyttäjien kuvaus siitä, että tietomurron alkuperä on todennäköisesti ulkovaltiollinen toimija, on merkittävä. Se muuttaa uhkamallin täysin. Tämän tietomurron uhrit eivät välttämättä koe välitöntä petosta. Sen sijaan seuraukset voivat nousta esiin vuosia myöhemmin tavoilla, joita on vaikea jäljittää tähän nimenomaiseen tapahtumaan.
Miksi institutionaaliset tietomurrot paljastavat henkilötietojen hallituksille luovuttamisen rajat
Hallitukset keräävät henkilötietoja perustellen sitä välttämättömien palvelujen mahdollistamisella. Kansalaisilla ei ole juuri muuta käytännön vaihtoehtoa kuin osallistua: kansallisesta henkilötunnusjärjestelmästä ei voi kieltäytyä eikä kiinteistöviranomaiseen rekisteröitymistä voi välttää. Tämä epäsymmetria tekee institutionaalisista tietomurroista niin kohtalokkaita.
Kun tiedot ovat keskitetyssä valtion järjestelmässä, yksilö ei voi vaikuttaa siihen, miten niitä säilytetään, kuka niihin pääsee käsiksi tai miten hyvin ne on suojattu. Liettuan tietomurto osoittaa, etteivät edes hyvin hallinnoidut EU:n jäsenvaltiot, jotka noudattavat GDPR:ää, ole immuuneja kehittyneille ulkopuolisille murtautumisille. Tietosuoja-asetus, joka edellyttää tietomurron ilmoittamista ja tietosuojaa, ei estä itse murtoa.
Kyseessä on rakenteellinen haavoittuvuus. Henkilötietojen keskittäminen yhteen rekisteriin tekee hallinnosta tehokasta, mutta se luo myös arvokkaan yksittäisen virhepisteen. Kun tämä pettää, miljoonat ihmiset kantavat seuraukset, joita he eivät ole voineet estää.
Mitä tämä tarkoittaa sinulle: Yksityisyyden työkalut ja käytännöt, jotka vähentävät altistumistasi
Kun rekisterit pettävät, ja Liettuan tapaus osoittaa, että niin voi käydä, henkilökohtainen yksityisyyden hygienia on ensisijainen puolustuslinjasi. On olemassa käytännön toimia, jotka rajoittavat altistumistasi silloinkin, kun instituutiot pettävät.
Seuraa identiteettiäsi ennakoivasti. Jos asut maassa, joka tarjoaa luotonvalvonta- tai identiteettihälytyspalveluita, käytä niitä. Epätavallinen tilitoiminta, uudet luottotiedustelut tai tuntemattomat rekisteröinnit nimissäsi voivat olla varhaisia signaaleja siitä, että varastettuja tietoja käytetään.
Rajoita vapaaehtoista tietojen jakamista. Julkiset järjestelmät saattavat olla pakollisia, mutta monet yksityiset palvelut pyytävät paljon enemmän tietoja kuin tarvitsevat. Antamalla mahdollisimman vähän tarkkoja tietoja valinnaisille palveluille vähennät identiteettisi kokonaisaltistuspintaa, joka voi paljastua useiden tietomurtojen kautta.
Käytä yksilöllisiä yhteystietoja, jos mahdollista. Erilliset sähköpostiosoitteet tai puhelinnumerot eri tililuokille helpottavat sen havaitsemista, milloin jokin tietty järjestelmä on murrettu, ja rajoittavat järjestelmien välistä altistumista.
Ymmärrä, mitä tietoja hallituksesi pitää sinusta. Useimmat EU:n jäsenvaltiot, mukaan lukien Liettua, tarjoavat GDPR:n mukaisesti mekanismeja, joilla kansalaiset voivat pyytää julkisten elinten hallussa olevat tiedot. Sen tietäminen, mitä sinusta on olemassa, on ensimmäinen askel riskisi ymmärtämisessä.
Käytä VPN:ää julkisissa tai jaetuissa verkoissa. Vaikka VPN ei olisi estänyt tätä palvelinpuolen murtoa, se suojaa siirrettäviä tietojasi salakuuntelulta, mikä muuttuu tärkeämmäksi, kun muut suojakerrokset ovat pettäneet.
Liettuan valtiollisen rekisterin tietomurron tietosuojahaaste ei ole ainutlaatuinen Liettualle. Keskitettyjä julkisia tietokantoja on jokaisessa maassa, ja niitä tavoittelevat uhkatoimijat kehittyvät yhä hienostuneemmiksi. Pysyminen ajan tasalla siitä, miten nämä tapaukset etenevät, on itsessään suojan muoto. Lue koko selvitys siitä, mitä tapahtui, mitä tietoja vietiin ja mitä Liettuan viranomaiset tekevät asian suhteen artikkelista Liettuan 600 000 tietueen kansallisrekisteritietomurto selitettynä.
Tärkein opetus tästä tapauksesta on yksinkertainen: mikään instituutio, olipa se kuinka hyvin säännelty, ei korvaa omaa huomiotasi henkilötietojesi jalanjälkeen.
