Potrivit șefului statului, incidentul s-a produs în infrastructura administrată de Agenția de Guvernare Electronică (AGE), afectând câteva servicii. Cauza de fond a fost una structurală și de guvernanță, în care sistemele verificau doar aplicația care cere date, nu și identitatea utilizatorului sau dreptul lui de a accesa datele. Astfel, o singură aplicație cu acces defect a deschis registrele a cel puțin zece instituții. Atacatorul, având un set de IDNP-uri, a intrat în sistem și a extras date pe care ulterior le-a folosit pentru a pătrunde mai departe și a extrage dosare complete. Incidentul este consecința unei arhitecturi în care datele tuturor registrelor sunt accesibile printr-un singur punct, fără control al deținătorilor și fără limitări de volum. De asemenea, nu exista o alertă automată în situațiile în care se depășea o cotă anumită de extracție. Cronologic, instituțiile au prezentat atacul în felul următor: cererile automate prin peste 638 de adrese IP care ascundeau sursa reală au început pe 19 octombrie seara. Cea mai intensă zi a fost 20 octombrie, circa un milion de cereri într-o singură zi, de 30 de ori mai mult decât media. Tot pe 20 octombrie au fost extrase peste 260.000 de date despre rude. Pe 21 octombrie, AGE oprește exfiltrarea de date despre rude. Deja pe 23 octombrie începe blocarea atacatorilor. Pe 24 octombrie toate atacurile sunt blocate, iar atacatorii nu mai reușesc să fure date. Tentativele au continuat, însă au fost blocate repetat de instituții.

„Comunicarea instituțiilor statului despre incident a fost întârziată și nu a răspuns tuturor îngrijorărilor oamenilor. Lipsa unui protocol de comunicare pentru asemenea situații a dus la ezitări în roluri și reacții.

Ultimele evaluări arată că au fost accesate datele a în jur de 450.000 de cetățeni – este o cifră mai mică decât cifrele care s-au vehiculat în ultimele zile, dar oricum este o cifră mare. Acești oameni urmează să fie notificați de către Agenția de Guvernare Electronică”, a mai spus oficialul.

Maia Sandu a comunicat și ce au făcut instituțiile statului între timp: 

Atacul masiv a fost oprit. AGE a deconectat toate serviciile electronice și platformele integrate cu MPass, iar după remediere, acestea au fost repornite gradual.

Au fost rezolvate problemele din serviciul de autentificare și control al accesului. Se verifică ca sursa care cere datele să fie titularul acelor date. Au fost securizate punctele de acces prin autentificare obligatorie, au fost limitate răspunsurile care puteau fi oferite la date strict necesare.

Administratorii tuturor sistemelor integrate cu MPass au primit instrucțiuni și un test suplimentar de verificare implementat de urgență.

„Ce trebuie să știe cetățenii:

În primul rând, atacul cibernetic nu a afectat integritatea datelor bancare. Chiar dacă au fost extrase datele IBAN, această informație nu este suficientă pentru a accesa conturile dumneavoastră bancare. Oricum, băncile vor fi informate despre oamenii ale căror date au fost accesate pentru a face verificări suplimentare în cazul în care vor fi inițiate tranzacții în numele acestor oameni.

Riscul este ca datele extrase să fie folosite în combinație, de exemplu IDNP-ul cu cunoașterea rudelor sau a datelor din permisul de conducere, uneori cu IBAN-ul pentru a contacta diverși oameni în scop de înșelăciune. Adică cineva care are acces la anumite date ale dumneavoastră vă poate suna sau scrie să se dea drept reprezentant al băncii, poliției și să ceară alte informații.

Dragi cetățeni, nicio instituție de stat și nicio bancă nu solicită prin telefon sau prin SMS coduri PIN, parole sau date de card. Când aveți un asemenea apel, închideți și sunați acea bancă sau poliția direct la numerele de telefon care sunt afișate pe paginile oficiale ale instituțiilor, nu pe numărul de la care ați fost sunați. E mai bine să refuzați un apel decât să cădeți pradă înșelăciunii.

Agenția de Guvernare Electronică a publicat numere de telefon și alte adrese de contact la care cetățenii se pot adresa dacă suspectează o tentativă de fraudă sau au nevoie de informații despre datele lor personale. Pentru intervenții imediate apelați 112”, a mai spus președintele.

La CNS s-a convenit ca instituțiile, inclusiv Ministerul Educației, să pregătească o lecție-cadru pentru elevii de gimnaziu și liceu, în care tinerilor să li se explice câteva reguli de bază de protecție personală a datelor, precum evitarea unor parole prea simple sau unice pentru mai multe platforme și schimbarea periodică a acestora, activarea identificării în doi pași pentru email, pentru rețele sociale și alte aplicații, atenție sporită la link-uri suspecte sau oferte gratuite și alte soluții tehnice. Și sperăm că, ulterior, tinerii pot să îi ajute și pe părinții lor să fie mai vigilenți și mai protejați.

De asemenea, CNMC, în cooperare cu Agenția pentru Securitate Cibernetică, va pregăti un ghid simplu de protecție a datelor cu pași explicați clar pentru toți cetățenii.

„Bunăstarea securității noastre cibernetice se bazează și pe capacitatea statului de a-și securiza infrastructura, dar și pe capacitatea fiecăruia dintre noi de a-și proteja datele.

Mai poate exista un risc. Oamenii să nu poată accesa anumite servicii din cauza căderii sau opririi preventive a unor platforme.

Una dintre cele mai grave consecințe este, de fapt, slăbirea încrederii în securitatea cibernetică a statului și siguranța serviciilor digitale, și anume aici instituțiile responsabile ale statului trebuie să acționeze imediat și sustenabil”, a subliniat ea.

Maia Sandu a spus și ce vor face instituțiile statului:

Blocarea furtului de date a fost oprită, însă instituțiile trebuie să se adapteze continuu pentru a reduce pe viitor riscul unor asemenea atacuri.

Cele mai importante schimbări țin de limitarea datelor accesibile fără autentificare, testarea de securitate a tuturor serviciilor și reingineria infrastructurii pentru a avea o arhitectură digitală uniformă și securizată.

De asemenea, un lucru care trebuie reparat este fragmentarea responsabilităților între actorii guvernamentali, lucru care a întârziat detectarea problemei și, respectiv, coordonarea răspunsului la incident.

„Astăzi la CNS am discutat multe soluții – soluții pe termen scurt care să remedieze problema creată recent, dar mai ales soluții pe termen mediu și lung, pentru că este clar că în epoca inteligenței artificiale aceste riscuri vor crește.

Am convenit că se va crea un grup de lucru sub conducerea domnului Prim-ministru și că acest grup de lucru, timp de o lună, va propune soluții sistemice pentru problemele care țin de securitate cibernetică în Republica Moldova, iar peste trei luni ne vom revedea la Consiliul Național de Securitate pentru a monitoriza progresul din aceste trei luni.

Am vorbit despre soluționarea problemelor de arhitectură, pentru că ce am menționat mai sus denotă că a fost o problemă serioasă de arhitectura sistemului, deci a fost o eroare.

Sistemul este vechi – și asta tot trebuie să spunem. Trebuie să avem și data expirării sistemelor, pentru că ne bucurăm atunci când lansăm un sistem nou, dar uneori instituțiile uită să stabilească care este termenul de exploatare și data expirării. E nevoie de un sistem nou și de un sistem care să rezolve problema de arhitectură pe care a avut-o acest sistem.

Am vorbit despre nevoia de a reforma sistemul de achiziții în domeniul tehnologiilor informaționale. Și aici vorbim despre faptul că e nevoie să securizăm mai mult procesul.

Am discutat despre nevoia de a crea și implementa reguli clare pentru întreg ciclul de viață al sistemelor informaționale, deci, la toate etapele – de testare, operare și mentenanță. Și această măsură trebuie să garanteze că sistemele informaționale rămân sigure cu trecerea timpului, iar atunci când nu mai sunt sigure trebuie înlocuite.

Pe subiectul guvernanței, în primul rând, problema a fost depistată cu întârziere, iar atunci când a fost depistată, răspunsul instituțiilor nu a fost suficient de coordonat. Aici, Guvernul și-a asumat să vină cu o propunere pentru a delimita rolurile între instituții, așa încât să se evite suprapunerile în mandate și, în același timp, să se asigure o conlucrare interinstituțională rapidă și eficientă.

Detaliile tehnice ale mai multor decizii nu pot fi făcute publice din motive de securitate pentru a nu ajunge la actorii rău intenționați”, a mai declarat președintele țării.