После кибератаки на CSDD злоумышленники получили персональные данные 1,2 миллиона физических лиц и регистрационные номера примерно 150 000 юридических лиц. Теперь мошенникам гораздо проще выдавать себя за государственные учреждения, банки и другие организации - особенно в сообщениях о штрафах за нарушение правил дорожного движения. Эксперты предупреждают: знание ваших настоящих данных еще не означает, что сообщение действительно пришло от CSDD или полиции.
Один из главных рисков - персонализированные SMS и электронные письма. Человеку могут написать якобы от имени CSDD и сообщить, что автомобиль с конкретным номером превысил скорость, после чего предложить оплатить штраф по ссылке. Поскольку сообщение содержит реальные сведения о владельце или машине, оно может выглядеть убедительно даже для осторожного получателя.
Читайте нас также
Если человек решит перепроверить информацию через Google, его тоже могут поджидать мошенники. Злоумышленники используют поддельную рекламу, ведущую на сайт-копию CSDD. Внешне такая страница может практически не отличаться от настоящей, а введенные на ней данные отправляются мошенникам.
Есть и другая схема - телефонные звонки. Аферист представляется сотрудником полиции, банка, Google или другой организации, называет настоящие персональные данные человека и пытается убедить его подтвердить операцию через Smart-ID либо сообщить банковские данные. Эксперты советуют не пытаться разоблачить собеседника во время разговора: надежнее сразу положить трубку и самостоятельно связаться с организацией по официальному номеру.
Особенно опасны неожиданные запросы в Smart-ID и eParaksts mobile. Личный идентификационный код сам по себе не дает мошеннику доступа к цифровым сервисам, однако злоумышленник может инициировать запрос на аутентификацию и попытаться заставить человека подтвердить его. Поэтому любой запрос, который пользователь не запускал сам, подтверждать нельзя.
«Мошенники часто прибегают к методам социальной инженерии, чтобы побудить человека действовать вопреки собственным интересам. Это достигается путем вхождения в доверие к жертве и принуждения ее выполнять указания злоумышленника. Доверие проще всего завоевать, продемонстрировав человеку его собственные данные: он полагает, что такой информацией может располагать только та организация, от имени которой выступает мошенник», - рассказал Элвисс Страздиньш.
ИТ-эксперт отдельно советует использовать разные PIN-коды для разблокировки телефона и Smart-ID. По его словам, мошенники уже пытались использовать его личный идентификационный номер, отправляя запросы от имени разных организаций. Автоматическое подтверждение такого запроса может закончиться потерей денег со счета.
Cert.lv также предупреждает, что после утечки мошеннические сообщения могут стать намного убедительнее. Если злоумышленникам доступны имя, персональный код, номер автомобиля, адрес или сведения о предыдущих платежах, они могут использовать эти данные для точечной социальной инженерии.
Проверять подозрительные сообщения эксперты рекомендуют только самостоятельно. Нужно вручную открыть официальный сайт или приложение нужного учреждения - например, e-CSDD, EDS или Latvija.gov.lv - и проверить информацию там. Переходить по ссылкам из SMS и писем с требованием оплатить штраф или обновить данные не стоит.
Отдельное предупреждение поступило от Swedbank. Банк сообщил о мошеннических письмах с просьбой обновить банковские данные и призвал клиентов не пользоваться ссылками из таких сообщений, а самостоятельно входить в интернет-банк. Представители банка также предупредили о продолжающейся работе поддельных сайтов CSDD и призвали жителей особенно внимательно относиться к любым обращениям от имени ведомства.
На этом фоне эксперты говорят не только о мошенничестве, но и о более серьезных последствиях утечки. Элвисс Страздиньш считает, что полученная база может представлять угрозу национальной безопасности, поскольку позволяет устанавливать адреса людей и собирать сведения о владельцах автомобилей, включая представителей власти.
ИТ-эксперт Илмар Пойканс («Нео») в свою очередь раскритиковал отказ CSDD от дополнительных мер киберзащиты, которые могло предоставить Cert.lv. Он также напомнил о случае 2018 года, когда обнаруживший уязвимость в системе CSDD Раймондс Скурулс столкнулся с уголовным преследованием и многолетними судебными разбирательствами.
Главный практический вывод после утечки прост: не доверять сообщению только потому, что в нем указаны ваши настоящие данные. Любой штраф, письмо от банка или запрос на подтверждение личности нужно проверять через официальный сайт или приложение. И главное - никогда не подтверждать в Smart-ID операцию, которую вы не инициировали сами.
