Valsts ieņēmumu dienestā (VID) jau pagājušā gada jūlijā konstatēts mēģinājums piekļūt Elektroniskās deklarēšanās sistēmas (EDS) datiem, ziņo "TV3" raidījums "Nekā personīga".
Savukārt par aizdomīgām darbībām EDS VID sistēmas izstrādātājam ziņoja novembrī.
"Nekā personīga" rīcībā esošā informācija liecina, ka par mēģinājumiem izmantot caurumu EDS jūlijā saglabājušies ieraksti sistēmas žurnālos. Tomēr tie bija tikai daži gadījumi un VID tam nepievērsa lielu uzmanību.
Oktobra beigās uzbrukums sistēmai izdevās un dati sāka aizplūst lielos apjomos. Kaut ko nelāgu nojauta arī VID un pagājušā gada 9.novembrī par to ziņoja programmētājiem - "Exigen Services Latvia". Sistēmas izstrādātāji to nenovērtēja pienācīgi.
Divus mēnešus vēlāk - 11.janvārī - VID atkal ziņoja "Exigen Services Latvia", ka sistēmā rodas daudz kļūdu. Taču to nopietnai analīzei izstrādātāji pievērsās tikai pēc mēneša - februāra sākumā. Tad atklājās, ka programmētājs bijis paviršs un nodevis VID programmatūru ar izslēgtiem drošības risinājumiem.
"Exigen Services Latvia" izpilddirektors Ivars Puksts skaidro, ka programmētājs kļūdījās un aizmirsa ieslēgt drošības sistēmu, VID kļūdījās un nepievērsa uzmanību nelegālai aktivitātei sistēmā un tā rezultātā trīs mēnešus netraucēti EDS saglabātos dokumentus kopēja kāds, kam nav atļaujas. Tas darīts ārpus VID darba laika, automatizēti un no dažādām ārvalstu IP adresēm, kuras regulāri mainītas. Izmeklēšana liecina, ka šī ir vienīgā nelegālā pieslēgšanās VID datu bāzei.
Lai arī kļūda programmatūrā bijusi vienkārša, kiberdrošības eksperti lēš, ka to tik vienkārši pamanīt nevarēja un tam vajadzēja zināšanas informācijas tehnoloģiju (IT) jomā.
"Tā kļūda, man jāatzīst, bija vienkārša un tur lauzt neko nevajadzēja. Bet zināmu IT kvalifikāciju tur vajadzēja. Tas nebija tik vienkārši," norāda Puksts.
Lai arī VID darbojas vesela Informātikas pārvalde, ne tās darbinieki, ne auditētāji no malas kļūdu nepamanīja. Tikai tagad ar izbrīnu tiek konstatēts lielais pieprasījums pēc datiem.
Šī nolaidība, visticamāk, maksās amatu VID Informātikas pārvaldes vadītājai Ivetai Bērtulsonei, arī pašreizējai VID ģenerāldirektora pienākumu izpildītājai Nelijai Jezdakovai durvis uz patstāvīgu šī amata ieņemšanu varētu būt aizvērušās.
Par sankcijām kompānijai, kuras darbinieks kļūdu pieļāva, vēl nav lemts, taču neizskatās, ka VID un "Exigen Services Latvia" sadarbība pārtrūks.
"Tie ir mūsu ilgstoši partneri, cilvēki, kuri strādā ar mūsu sistēmām. Mēs tos augsti vērtējam. Bieži vien viņi ir lielāki nodokļu speciālisti par mums," uzsver Jezdakova.
EDS galvenokārt ir uzņēmumu grāmatvežu darbarīks. Viņi ievada ziņas par deklarētajiem nodokļiem, algām, atlaistajiem vai pieņemtajiem darbiniekiem. Sistēmas otrā pusē VID datus saņem un ik mēnesi aprēķina, par cik auguši vai krituši ieņēmumi valsts kasē. Gandrīz visi šie dati arī līdz šim bija publiski pieejami.
Sensetīvie dati, par kuru nozagšanu tiešām būtu jāuztraucas, atrodami Valsts amatpersonu deklarāciju nepubliskojamā daļā. Tās ir ziņas par amatpersonu radiniekiem, darījumu partneriem. Līdz šim gadam amatpersonas deklarācijas varēja pildīt ar roku, tāpēc šī datu bāze nav pilnīga.
Ka agri vai vēlu pienāks stunda, kad valsts nozīmes datu bāzēm uzbruks, nojauta ne tikai žurnālisti. Pērn decembra beigās valdība lika izveidot īpašu padomi, ko vada Satiksmes ministrija. Padomes uzdevums - novērtēt katra kiberuzbrukuma iespējamo kaitējumu un ātri reaģēt. Padomē ietilpst piecu ministriju, kā arī Valsts un Drošības policijas, Satversmes aizsardzības biroja, Militārās izlūkošanas dienesta, bruņoto spēku, NATO Kiberaizsardzības centra un Datoru drošības incidentu reaģēšanas vienības cilvēki. Bet, lai padome varētu zibenīgi reaģēt un pārliecināties, vai apdraudējums var kaitēt valsts drošībai, kādam par to ir jāpaziņo. VID gadījumā tas nenotika, šis posms iztrūka.
Kā norāda "Nekā personīga", VID ne tik nav zinājis kā pareizi rīkoties "X stundā", bet nav varējis "X stundu" atpazīt. Piektdien dienests izplatīja paziņojumu, kurā atklājas, ka ātrās reaģēšanas vienībai tomēr kāds no VID zvanījis, bet nav atklājis, kuru valsts iestādi pārstāv. VID datorspeciālisti uzskatījuši, ka sistēmā notiekošā datu zagšana neatbilst kiberuzbrukuma definīcijai.
Pēc skandāla nākšanas gaismā izmeklēšanā iesaistījušies gan Drošības policijas, gan Satversmes aizsardzības biroja darbinieki.