Latvijas IT datu bāžu "urķu" topā indiešu studenti, izmaksātas lielas prēmijas
Latvijas IT drošības ekspertus satraucis tiesas spriedums, ar kuru par izspiešanu notiesāts kāds inženieris – viņš bija atklājis drošības "caurumu" Ceļu satiksmes drošības direkcijas IT sistēmā un vēlējās par to saņemt tūkstoš eiro, taču tagad viņam jāmaksā pašam desmitkārt lielāka summa. Izskan bažas, ka tagad tā sauktie "urķi" par atklājumiem neziņos, un tas radīs vēl lielākus riskus.
Pirms sešiem gadiem Raimonds Skaruls atklāja drošības caurumu CSDD sistēmā, taču viņa vēlme par to saņemt 1000 eiro beidzās ar konfliktu, krimināllietu un tiesvedību. Tiesa lēma, ka Skarula rīcība ir izspiešana un viņam pašam jāmaksā vairāk nekā 12 000 eiro par savām darbībām.
Par to sašutums manāms sociālajā medijā "X".
Ar šādu attieksmi, mēs valsts informācijas sistēmas drošībā nenoturēsim. Sen pieņemta prakse, nopietniem spēlētājiem ir izaicināt "white hat hackers" meklēt ievainojamības viņu sistēmās Atradušajiem ievainojamību pienākas pieklājīga atlīdzība no uzņēmuma. ⬇️ https://t.co/oL6jMOhI1p
— Jānis Sārts (@janis_sarts) June 26, 2024
CSDD sīkāk šo lietu nekomentē, vien uzsver, ka iestājas par atbildīgu ziņošanu par iespējamiem informācijas drošības incidentiem saskaņā ar CERT programmu.
Latvijas kibertelpas uzraugs cert.lv ir izveidojis Ievainojamību ziņošanas platformu – mājaslapu, kurā ikviens var ziņot par caurumiem valsts iestāžu IT drošībā, to var darīt arī anonīmi. Naudu gan par to nemaksā, bet ir izveidots tops ar urķiem, kuri atklājuši visvairāk problēmu. Izrādās, ka indiešu studenti ir aktīvākie ziņotāji par Latvijas iestāžu datu sistēmu drošības caurumiem.
"Viena daļa savā akadēmisko studiju ietvarā to dara kā prakses elementu, tāds mums minējums, vai savam CV, citi uzdod šo jautājumu – vai jums ir "bug bounty" programma, ja tādas nav, tad viņu nesadarbojas, kas ir indivīda izvēle."
Kamēr valsts iestādes urķiem par viņu atklājumiem naudu nemaksā, privātajā biznesā tā ir visai ierasta prakse. Arī Latvijā urķi ir saņēmuši iespaidīgu atlīdzību par atklātajiem caurumiem privātfirmu sistēmās, bet skaļi par to nerunā – kā vēsta senā paruna, nauda mīl klusumu.
Teivāns norāda: "Es personīgi zinu vismaz padsmit gadījumus. Tās atlīdzības variē no dažiem simtiem līdz dažiem tūkstošiem, man nav zināms, ka tie būtu desmitiem tūkstoši vai simts tūkstoši, kā tas ir ASV, bet tas nevar būt kā instruments, lai pieprasītu obligāti."
Tehnoloģiju entuziasts Elviss Strazdiņš pats ir atklājis caurumus valsts iestāžu mājaslapās un saskāries ar negatīvu attieksmi.
"Vienā reizē es ziņoju kādai valsts iestādei, kura pēc tam draudēja ar tiesu darbiem. Nekad neesmu prasījis atlīdzību par to, ko daru, bet pilnībā saprotu drošības pētniekus, kas grib samaksu par to, ko ir izdarījuši."
Strazdiņš piebilst, ka visi drošības pētnieki zina mājaslapas, kur par ļoti labām summām šīs ievainojamības var pārdot, un pašlaik Latvijā radītais precedents, kas urķiem skaidri pasaka – pat ja caurums drošības sistēmā pamanīts, labāk par to neziņot, var tikai vairot šādu datu nelegālu tirgošanu.
Ziņo par kļūdu rakstā
Iezīmē kļūdaino tekstu un spied Ctrl+Enter.
Iezīmē kļūdaino tekstu un ziņo par to!
