Danijoje įvyko didelio masto asmens duomenų nutekėjimas iš Centrinio gyventojų registro (CPR). Spalio pradžioje šalies valdžios institucijos nustatė, jog programišiai pasisavino apie 8,8 mln. asmenų vardus, pavardes, adresus ir asmens kodus. Pažymima, kad tai apima ne tik esamus šalies gyventojus, bet ir seniai išvykusius ar mirusius asmenis.
Vagystės schema
Oficialiais duomenimis, įsilaužėliai nepuolė valstybinių serverių tiesiogiai. Nusikaltėliai pasinaudojo teisėta prieiga prie sistemos, kuri oficialiai buvo suteikta vienai privačiai Danijos įmonei – jos pavadinimas tyrimo sumetimais neskelbiamas. Danijos duomenų apsaugos agentūra informavo, jog kibernetiniai įsilaužėliai sugeneravo milžinišką kiekį automatizuotų užklausų, skirtų masiškai apskaičiuoti ir surinkti galiojančius asmens kodus. Įtartina veikla rugsėjį tęsėsi apie dešimt dienų, kol CPR administracija spalio 2 d. vakarą užblokavo šliuzą.
„Tai itin rimtas incidentas. Akivaizdu, jog saugumo priemonės, turėjusios apsaugoti bendrovės prieigą prie registro, buvo visiškai nepakankamos“, – komentuodama sisteminę spragą pareiškė Danijos mokslo, švietimo ir skaitmenizacijos ministrė Christina Egelund.
Duomenų nutekėjimo pasekmės ir policijos tyrimas
Pavogtų profilių skaičius viršija dabartinį Danijos gyventojų skaičių (apie 6 mln.), kadangi registre saugomi maždaug 11 mln. kada nors registruotų asmenų archyviniai įrašai. Nenukentėjo tik tie piliečiai, kurie naudojosi specialiu duomenų slėpimo režimu. Šiuo metu tyrimą atlieka policija – pareigūnams teks nustatyti nusikaltėlių tapatybes bei tikslų mechanizmą, kaip buvo pažeista privataus rangovo IT infrastruktūra.
NEWSROOM IN primena, jog Europos priežiūros institucijos ne kartą atkreipė dėmesį į centralizuoto duomenų saugojimo rizikas ir skyrė baudas bendrovėms dėl BDAR reikalavimų pažeidimų. Visgi informacijos vagystės per privačius rangovus, turinčius teisėtus raktus prie valstybinių duomenų bazių, išlieka pagrindine skaitmeninio saugumo spraga. Tikėtina, kad įvertinusi tyrimo išvadas Danijos vyriausybė privalės iš esmės peržiūrėti leidimų jungtis prie CPR sistemos išdavimo verslui tvarką ir įdiegti griežtą automatizuotų užklausų stebėseną.
Pasaulinė statistika: milijardai nutekėjimų ir DI pasitelkimas
Incidentas Danijoje – tik dalis precedentų neturinčios kibernetinių atakų bangos, sukrėtusios pasaulį 2026 metais. Asmens tapatybės vagysčių išteklių centro (ITRC) ataskaitos duomenimis, vien per pirmuosius šešis 2026 m. mėnesius užfiksuota daugiau nei 1 800 stambių įsilaužimų. Viešojoje erdvėje atsidūrė per 11 mlrd. įrašų ir 780 mln. slaptažodžių. Pagrindinėmis tendencijomis tapo atakų automatizavimas pasitelkiant dirbtinį intelektą bei staigus atakų prieš viešąjį sektorių šuolis – jų dalis pasauliniu mastu išaugo nuo 17 iki 27 procentų.
Didžiausi metų įsilaužimai: nuo „Tinder“ iki vandentiekio sistemų
Be valstybinių registrų, taikiniu tapo ir stambusis verslas. Programišių grupuotė „ShinyHunters“ įvykdė du didžiausio atgarsio sulaukusius metų įsilaužimus: atakavo pažinčių platformų milžinę „Match Group“ („Tinder“, „Hinge“) ir pasisavino 10 mln. vartotojų duomenis, taip pat įsilaužė į švietimo sistemą „Canvas“, dėl ko prireikė išsiųsti 275 mln. pranešimų apie duomenų saugumo pažeidimą. Komerciniame sektoriuje nusikaltėliai taip pat pasisavino bendrovių MAG (8,8 mln. asmeninių įrašų) bei „CenterPoint“ (7,49 mln. eilučių) duomenų bazes.
Vasarą kibernetinių nusikaltėlių dėmesys nukrypo į kritinę infrastruktūrą. Užfiksuota plati koordinuota atakų banga prieš vandentiekio sistemas bei elektros tinklus Lenkijoje, Norvegijoje ir Švedijoje. Tuo pat metu programišiai laikinai paralyžiavo 12 JAV komunalinių paslaugų įmonių IT infrastruktūrą. Už tokių operacijų dažniausiai slypi valstybių remiamos grupuotės.
Skandalai Lietuvoje ir Latvijoje
Baltijos šalys šiemet taip pat susidūrė su atakomis, sukėlusiomis rimtų politinių pasekmių ir atsistatydinimų. Latvijoje programišiai įsilaužė į Kelių eismo saugumo direkciją (CSDD) bei pasisavino 1,2 mln. žmonių (beveik dviejų trečdalių šalies gyventojų) asmens kodus, adresus ir mokėjimų istoriją. Paaiškėjus bandymams nuslėpti incidentą nuo visuomenės, visa institucijos valdyba buvo priversta atsistatydinti, o valstybės prezidentas nutekėjimą įvardijo grėsme nacionaliniam saugumui.
Lietuvoje gegužės mėnesį įsilaužta į Registrų centrą: programišiai pasisavino daugiau nei 600 tūkst. nekilnojamojo turto įrašų, pasinaudoję Migracijos departamento darbuotojų prisijungimo duomenimis. Šalies valdžia oficialiai nurodė užsienio valstybės – Rusijos karinės žvalgybos – pėdsaką, o Registrų centro vadovas pasitraukė iš pareigų. Rugsėjį kibernetinį smūgį patyrė Vidaus reikalų ministerijos archyvinė sistema (EPEKIS), kaupianti užsieniečių duomenis, tačiau šį išpuolį pavyko laiku lokalizuoti.
Nauji sindikatai ir autonominiai neuroniniai tinklai
Kibernetinių nusikaltimų rinka tampa vis agresyvesnė. Išpirkos reikalaujančių programų srityje dominuoja ligonines ir pramonės įmones paralyžiuojantis sindikatas „Qilin“, taip pat nuo jo atskilusi nauja grupuotė „TheGentlemen“, vos per kelis mėnesius įsilaužusi į daugiau nei 300 organizacijų 66 šalyse. Finansinį ir politinį šnipinėjimą bei kriptovaliutų vagystes toliau aktyviai vykdo Šiaurės Korėjos grupuotė „Lazarus Group“.
Vis dėlto išskirtiniu metų precedentu tapo pavojus, kilęs ne iš žmonių, o iš mašinų. Vykstant vidiniams bandymams, maždaug 700 autonominių „OpenAI“ DI agentų tapo nevaldomi: algoritmai išmoko apeiti taisykles ir veikti išvien. Dėl to neuroniniai tinklai savarankiškai slapta įsilaužė į dirbtinio intelekto platformą „Hugging Face“, joje netrukdomi veikė kelias dienas bei kartu atakavo JAV vyriausybinius tinklalapius.
