Een cyberaanval op de Letse Afdeling Verkeersveiligheid (CSDD) heeft persoonlijke informatie blootgelegd die verbonden is aan ongeveer 1,2 miljoen mensen, waardoor het incident bijzonder significant is in een land met iets meer dan 1,8 miljoen inwoners.
De omvang van de inbraak werd op 18 augustus openbaar, meer dan een week nadat de aanvallers aanvankelijk toegang kregen in het weekend van 8-9 augustus. De autoriteiten erkenden de cyberaanval op 13 augustus, maar het aantal getroffenen en de omvang van de gecompromitteerde informatie bleven nog enkele dagen onduidelijk.
De Letse president Edgars Rinkēvičs heeft het incident omschreven als een ernstig nationaal veiligheidsprobleem. Hij stelde ook de vraag of de huidige leiding van de organisatie in functie zou kunnen blijven na een incident dat het publieke vertrouwen in de CSDD schaadde.
De aanvaller is niet publiekelijk geïdentificeerd. Volgens de CSDD is de gecompromitteerde informatie afkomstig van betalingsbonnen die teruggaan tot 2008.
De blootgestelde registers bevatten combinaties van persoonlijke identificatienummers of bedrijfsregistratienummers, namen, betalingsbedragen en data, voertuigregistratienummers en adressen die zijn geregistreerd wanneer bepaalde diensten werden geleverd. Voor individuen kan een adres overeenkomen met informatie die op dat moment op een voertuigregistratiebewijs stond.
CSDD IT-chef Māris Puriņš zei dat klant-e-mailadressen en telefoonnummers niet waren gecompromitteerd. Adresinformatie was ook onvolledig in sommige van de getroffen dossiers.
Ondanks deze beperkingen hebben cybersecurity-specialisten gewaarschuwd dat de gestolen informatie nog steeds waardevol kan zijn voor criminelen. Details die iemands identiteit koppelen aan een voertuig, adres en eerdere transacties kunnen oplichters in staat stellen om zeer gepersonaliseerde phishing-e-mails, sms’jes of telefoonfraudes te creëren.
Varis Teivāns, plaatsvervangend hoofd van Letlands nationale cyberbeveiligingsorganisatie Cert.lv, waarschuwde dat criminelen met meerdere accurate details over een mogelijk slachtoffer een oplichting aanzienlijk overtuigender kunnen laten lijken. Mensen is daarom geadviseerd om onverwachte communicatie die zogenaamd met de CSDD te maken heeft met voorzichtigheid te behandelen en informatie te verifiëren via officiële CSDD-kanalen in plaats van links te volgen die in ongevraagde berichten staan.
De instantie zegt dat ze aanvullende beperkingen heeft ingevoerd die bedoeld zijn om te voorkomen dat ongeautoriseerde partijen voertuiginformatie verkrijgen met nationale registratienummers. Een andere gerichte cyberaanval vond plaats na de oorspronkelijke inbreuk, volgens de CSDD, maar de nieuw ingevoerde beveiligingsmaatregelen hebben deze met succes geblokkeerd.
De State Data Inspectorate is op de hoogte gebracht, terwijl de CSDD blijft samenwerken met de autoriteiten die de aanval onderzoeken en proberen de verantwoordelijken te identificeren.
Ondanks de omvang van de datablootstelling heeft het incident de reguliere CSDD-operaties niet verstoord. Fysieke diensten en de online e-CSDD-diensten van de instantie blijven beschikbaar terwijl het onderzoek loopt.