Pēc kiberuzbrukuma Ceļu satiksmes drošības direkcijai (CSDD) iestāde saņēmusi aptuveni divus tūkstošus ar incidentu saistītu iesniegumu. To vidū ir arī prasības izmaksāt kompensāciju. Tikmēr sociālajos tīklos tiek izplatītas instrukcijas, kā pieprasīt kompensāciju 10 tūkstošu eiro apmērā.
Tomēr Satiksmes ministrijā uzsver, ka pašlaik prasīt kompensāciju ir pāragri. Iedzīvotāji tiek aicināti sagaidīt Datu valsts inspekcijas lēmumu, jo tā saistībā ar incidentu veic pārbaudi, ziņo aģentūra LETA.
Skaidrojam, kādi dati noplūduši un kāpēc, kā sevi pasargāt un kādos gadījumos patiešām iespējams saņemt kompensāciju.
Kas zināms par kiberuzbrukumu?
Kiberuzbrukums ilga no 2026. gada 8. augusta līdz 10. augusta pēcpusdienai. Sabiedrība par incidentu uzzināja 13. augustā.
Tā ir līdz šim vērienīgākā datu noplūde Latvijā. Pēc CSDD datiem incidents skāris aptuveni 1,2 miljonus fizisko personu jeb ap 66% visu valsts iedzīvotāju, kā arī aptuveni 200 tūkstošus juridisko personu.
Ļaundari ieguva piekļuvi daļai vēsturisko datu no maksājumu kvītīm par CSDD pakalpojumiem laika posmā no 2008. līdz 2026. gadam. Starp noplūdušajiem datiem ir vārdi un uzvārdi, personas kodi, atsevišķos gadījumos arī adreses, transportlīdzekļu reģistrācijas numuri, maksājumu datumi, laiks un summas.
Vienlaikus, pēc CSDD sniegtās informācijas, incidents nav skāris tālruņa numurus, e-pasta adreses, bankas datus un piekļuves datus CSDD elektroniskajai sistēmai — paroles un e-pasta adreses, kas tiek izmantotas autorizācijai. Arī paši dati CSDD sistēmās nav dzēsti vai bojāti, tādēļ direkcijas pakalpojumi turpina darboties.
Tas nozīmē, ka, ja kopš 2008. gada kaut reizi esat maksājis par CSDD pakalpojumiem, jūsu dati šī kiberuzbrukuma laikā varēja būt noplūduši.
Kāds bija datu noplūdes iemesls?
Kiberdrošības incidentu novēršanas institūcija CERT.LV ziņoja, ka uzbrucēji izmantojuši ievainojamību vienā no CSDD sistēmām, kas bija pieejama internetā.
Turklāt direkcija nebija izpildījusi vairākas obligātās kiberdrošības prasības, tostarp neizmantoja daudzfaktoru autentifikāciju un neveica ielaušanās testus.
Informāciju par kiberincidentu CSDD sniedza ar novēlošanos.
“Incidents CSDD infrastruktūrā notika naktī uz 8. augustu. CSDD par to CERT.LV paziņoja pirmdienas (10. augusta) vakarā. Tādējādi arī šeit ir vērojama zināma aizkavēšanās, kas, iespējams, skaidrojama ar to, ka incidents notika svētku dienā,” intervijā LSM sacīja CERT.LV vadītāja vietnieks Varis Teivāns.
Tāpat, pēc viņa teiktā, centrs nevarēja redzēt, kas notiek CSDD infrastruktūras iekšienē, jo direkcija iepriekš bija atteikusies no CERT.LV pakalpojumiem, norādot, ka tai ir pašai savas iespējas.
Sākts kriminālprocess un pārbaudes
Valsts policija sākusi kriminālprocesu par kiberuzbrukumu. Pēc LETA ziņotā, izmeklēšana notiek pēc diviem Krimināllikuma pantiem — par patvaļīgu piekļūšanu automatizētai datu apstrādes sistēmai un nelikumīgām darbībām ar ierīcēm, kas paredzētas šādu sistēmu resursu ietekmēšanai.
Ģenerālprokuratūra sākusi pārbaudi par iespējamiem pārkāpumiem vai nolaidību, kas noveduši pie datu noplūdes no CSDD informācijas sistēmām.
Savukārt Datu valsts inspekcijai līdz 31. augustam bija jāsniedz Krīzes vadības centram personas datu noplūdes izvērtējums, noskaidrojot, cik lielā mērā tā varēja ietekmēt cilvēku tiesības un kādi pasākumi būtu jāveic datu aizsardzībai.
Līdz tam pašam termiņam Nacionālajam kiberdrošības centram un Valsts konsultatīvajai padomei bija jāizvērtē, vai CSDD kiberrisku pārvaldības pasākumi atbilda likuma prasībām, un jāiesaka nepieciešamie uzlabojumi.
Pēc incidenta CSDD vadība atkāpās
Pirms kiberuzbrukuma CSDD padomi vadīja Kristians Godiņš, bet tās locekļi bija Jānis Brazovskis un Māris Macijevskis. Valdes priekšsēdētājs bija Aivars Aksenoks, bet valdē kopā ar viņu darbojās Dace Benhena un Jānis Liepiņš. Pēc kiberuzbrukuma viss vadības sastāvs atkāpās no amata.
20. augustā ievēlēja CSDD pagaidu padomi. Par tās priekšsēdētāju kļuva Ģirts Ozols, bet par locekļiem — Līga Ermane un Ivars Saliņš. Savukārt 21. augustā ievēlēja pagaidu valdi, kuru sāka vadīt Juris Teteris, bet par otru valdes locekli kļuva Aivis Ozoliņš.
Par CSDD sistēmas ievainojamību brīdināja jau 2018. gadā
Kā ziņo LETA, vēl 2018. gadā radioinženieris un inženieris konstruktors Raimonds Skuruls informēja CSDD, ka atklājis ievainojamību e-CSDD autorizācijas sistēmā. Par detalizētas informācijas sniegšanu viņš prasīja 1000 eiro un paziņoja, ka pretējā gadījumā par problēmu pastāstīs medijiem.
Toreiz direkcija vērsās policijā, un pret Skurulu tika sākts kriminālprocess. 2026. gada septembrī stājās spēkā spriedums, ar kuru izgudrotājs tika atzīts par vainīgu izspiešanā un sodīts ar 4290 eiro naudas sodu.
Vienlaikus lietas izskatīšanas laikā tiesa konstatēja, ka Skuruls šo ievainojamību nebija radījis, bet gan atklājis. Par sistēmas drošību bija atbildīga Ceļu satiksmes drošības direkcija.
Tagad iedzīvotāji pieprasa kompensāciju
Pēc ziņām par datu noplūdi sociālajos tīklos sāka izplatīties iesniegumu paraugi ar prasību izmaksāt kompensāciju. Vienu no šādiem paraugiem bez maksas publicēja zvērināts advokāts Lauris Klagišs, kura dati arī nonākuši uzbrucēju rīcībā.
Viņš no CSDD pieprasa 10 tūkstošu eiro kompensāciju. Šādu prasību viņš pamato ar bažām par savas ģimenes drošību, jo noplūdušo datu vidū bijusi precīza viņa dzīvesvietas adrese.
“Es dzīvoju savā mājā, kuru es neplānoju pārdot ne tuvākā un tālākā laikā, visticamāk, es te dzīvošu vēl ļoti ilgi. Ar mani kopā dzīvo mana ģimene.
Tad šis uztraukums par šo fizisko drošību ir tas, kas mani pamudināja vērsties pret CSDD, faktiski pret valsti, jo valsts nav nodrošinājusi manu datu aizsardzību un valstij jāuzņemas par to kaut kāda zināma atbildība ,” savu nostāju LSM skaidroja Klagišs.
Zināms, ka CSDD jau saņēmusi aptuveni 2 tūkstošus līdzīgu iesniegumu.
Bet vai kompensāciju var saņemt?
CSDD skaidro, ka izskata iedzīvotāju iesniegumus par zaudējumu atlīdzināšanu, taču aicina jaunus pagaidām neiesniegt.
“Protams, mēs arī atbildam uz katru iesniegumu, vai tas ir elektroniski parakstīts vai vienkārši e-pastā atsūtīts pieprasījums. Bet lūgums tiešām šobrīd tos neiesniegt, jo pagaidām nav nekāda pamata mūsu kaut kādai turpmākai rīcībai,” sacīja CSDD pārstāvis Mārtiņš Mālmeisters.
CSDD norāda, ka iedzīvotāju prasības pēc kompensācijas pašlaik uzskata par priekšlaicīgām.
“Attiecībā uz kompensācijām, kas saistīta ar personas datu iegūšanu no CSDD IT sistēmas, noteicošais būs Datu valsts inspekcijas lēmums, ar kuru tiktu konstatēta CSDD atbildība par Vispārīgās datu aizsardzības regulas prasību neievērošanu,” direkcija skaidro savā tīmekļvietnē.
Tikmēr, kā noskaidroja LSM, pagaidām nav zināms, cik ilgi pārbaude turpināsies. Datu valsts inspekcija skaidro, ka augstas prioritātes lietas parasti izskata četru līdz deviņu mēnešu laikā. Būtiski arī saprast, ka inspekcija pati kompensāciju nepiešķir — ja puses par atlīdzību nevienojas, strīds būs jārisina tiesā.
CSDD arī norāda, ka saskaņā ar VDAR cilvēks var pretendēt uz kompensāciju, ja tiek konstatēts, ka CSDD nav izpildījusi savus pienākumus personas datu aizsardzības jomā un tādēļ personai nodarīts kaitējums.
Direkcija sola informēt klientus par tālāko rīcību, tiklīdz būs pieejama jauna informācija.
Kā uzzināt, vai jūsu dati ir noplūduši, un ko darīt?
Pārbaudīt, kādi tieši jūsu dati skarti noplūdē, iespējams portālā e.csdd.lv.
CSDD brīdina, ka daļa nozagto datu var tikt attēlota tehniski izkropļotā veidā. Piemēram, latviešu burti ar diakritiskajām zīmēm var būt aizstāti ar citiem simboliem.
CSDD skaidro, ka saskaņā ar VDAR juridisko personu dati netiek uzskatīti par personas datiem. Tādēļ pakalpojums, kurā fiziskās personas var pārbaudīt, kādi viņu dati skarti noplūdē, uzņēmumiem un organizācijām nav paredzēts.
Ja organizācija vēlas noskaidrot, kādi tieši tās dati skarti incidentā, tā var nosūtīt pieprasījumu CSDD uz e-pasta adresi [email protected]. Pieprasījumā jānorāda juridiskās personas dati, un tas jāparaksta ar elektronisko parakstu.
Ja rodas citi jautājumi, var sazināties ar CSDD personas datu aizsardzības speciālistu Uldi Sīpolu pa tālruni +371 67025736 vai e-pastu [email protected].
CSDD arī brīdina iedzīvotājus par krāpniekiem un skaidro:
- CSDD nesūta iedzīvotājiem īsziņas, izņemot atsevišķus maksas pakalpojumus, kuru ietvaros klients pats izvēlējies saņemt informāciju savā tālrunī.
- CSDD sūta e-pasta vēstules tikai no adresēm, kas beidzas ar @csdd.gov.lv.
- CSDD darbinieki reti sazinās ar klientiem pa tālruni — tikai tad, ja cilvēks pats piekritis zvanam vai ja nepieciešams steidzami paziņot par izmaiņām, piemēram, braukšanas eksāmena atcelšanu. Turklāt darbinieki nelūdz nosaukt personas datus, internetbankas datus, Smart-ID kodus vai bankas kartes rekvizītus.
Ja saņemat e-pasta vēstuli vai ziņu ar saiti, rūpīgi pārbaudiet, vai tā tiešām ved uz pareizo adresi. Oficiālā e-CSDD platformas adrese ir e.csdd.lv, bet CSDD tīmekļvietne — www.csdd.lv. Jāuzmanās arī no viltotām CSDD tīmekļvietnēm Google meklētājā.
CSDD iesaka arī uzstādīt CERT.LV lietotni “DNS ugunsmūris” — to iespējams izdarīt iOS vai Android ierīcēs. Tā palīdz bloķēt krāpnieciskus zvanus, ziņas un bīstamas tīmekļvietnes.
Vēl viens ieteikums attiecas uz eParaksts mobile lietotājiem. Tā kā daudziem lietotājiem platformas lietotāja numurs bija personas kods, sistēmas izstrādātājs — uzņēmums LVRTC — iesaka aizstāt personas kodu ar citu sistēmas izveidotu ciparu kombināciju.
Ja ir vēlēšanās, iespējams mainīt arī pašu personas kodu, taču Latvijā to atļauts darīt tikai vienu reizi mūžā. Iesniegumu var iesniegt Pilsonības un migrācijas lietu pārvaldes (PMLP) nodaļā vai nosūtīt uz e-pasta adresi [email protected], parakstot to ar elektronisko parakstu.
Iesnieguma paraugus personas koda maiņai un plašāku informāciju par šo procesu var atrast PMLP tīmekļvietnē — šeit.
