Un ciberataque contra la Dirección de Seguridad Vial de Letonia (CSDD) ha dejado al descubierto información personal relacionada con aproximadamente 1,2 millones de personas, lo que hace que el incidente sea especialmente significativo en un país con una población de poco más de 1,8 millones.
La magnitud de la brecha se hizo pública el 18 de agosto, más de una semana después de que los atacantes accedieran inicialmente durante el fin de semana del 8 al 9 de agosto. Las autoridades reconocieron el ciberataque del 13 de agosto, pero el número de personas afectadas y el alcance de la información comprometida permanecieron sin estar claros durante varios días más.
El presidente letón Edgars Rinkēvičs ha descrito el incidente como una grave preocupación de seguridad nacional. También cuestionó si el liderazgo actual de la organización podría mantenerse tras un incidente que dañó la confianza pública en la CSDD.
El atacante no ha sido identificado públicamente. Según la CSDD, la información comprometida se originó en recibos de pago que datan de 2008.
Los registros expuestos contienen combinaciones de números de identificación personal o números de matrícula de la empresa, nombres, importes y fechas de pago, números de matrícula de vehículos y direcciones registradas cuando se prestaron servicios particulares. Para las personas, una dirección podría corresponder a información que apareció en un certificado de matrícula de vehículo en ese momento.
El jefe de TI de CSDD, Māris Puriņš, dijo que las direcciones de correo electrónico y números de teléfono de los clientes no fueron comprometidos. La información de la dirección también estaba incompleta en algunos de los registros afectados.
A pesar de esas limitaciones, los especialistas en ciberseguridad han advertido que la información robada podría seguir siendo valiosa para los delincuentes. Los detalles que vinculen la identidad de una persona con un vehículo, dirección y transacciones previas podrían permitir a los estafadores crear correos electrónicos de phishing altamente personalizados, mensajes de texto o estafas telefónicas.
Varis Teivāns, subdirector de la organización nacional de ciberseguridad de Letonia, Cert.lv, advirtió que los delincuentes que posean varios datos precisos sobre una posible víctima pueden hacer que una estafa parezca mucho más convincente. Por ello, se ha aconsejado a las personas tratar con cautela las comunicaciones inesperadas supuestamente relacionadas con la CSDD y verificar la información a través de canales oficiales de la CSDD en lugar de seguir enlaces contenidos en mensajes no solicitados.
La agencia afirma haber introducido restricciones adicionales destinadas a impedir que partes no autorizadas obtengan información de vehículos utilizando números de matrícula nacionales. Otro ciberataque dirigido ocurrió tras la brecha original, según la CSDD, pero las nuevas medidas de seguridad implementadas lo bloquearon con éxito.
La Inspección Estatal de Datos ha sido notificada, mientras que la CSDD continúa cooperando con las autoridades que investigan el ataque e intentan identificar a los responsables.
A pesar de la magnitud de la exposición de los datos, el incidente no ha interrumpido las operaciones regulares del CSDD. Los servicios presenciales y los servicios de e-CSDD en línea de la agencia siguen disponibles mientras continúa la investigación.