Lietuvoje tiriamas masinis šauktinių duomenų nutekėjimas

Lietuvos skaitmeninio saugumo srityje kilo naujų abejonių dėl galimai neteisėtai paviešintų karo prievolininkų duomenų. Jaunųjų rinkos dalyvių asociacija (JRDA) kreipėsi į Generalinę prokuratūrą, prašydama pradėti ikiteisminį tyrimą dėl informacijos apie Lietuvos kariuomenės šauktinius patekimo į trečiųjų šalių platformas.

Asociacijos teigimu, atlikus atvirojo kodo žvalgybos analizę nustatyta, kad internete galėjo būti surinkti, susisteminti ir paskelbti 158 391 karo prievolininko duomenys. Tarp jų – vardai, pavardės, gimimo metai, karo prievolininkų kodai, informacija apie šaukimo eigą ir statusą.

Kokie pažeidimai galėjo būti padaryti?

JRDA nurodo iš viso užfiksavusi mažiausiai 218 tūkst. galimų duomenų tvarkymo pažeidimų. Asociacijos vertinimu, dalis veiksmų gali atitikti Baudžiamajame kodekse numatytą neteisėtą informacijos apie privatų asmens gyvenimą rinkimą, atskleidimą ar panaudojimą.

Pasak asociacijos, pirmasis galimas incidentas siekia 2019 m. Kiti atvejai esą nustatyti 2023–2026 m. Kadangi tyrimas dar nepradėtas arba nėra baigtas, galutinį pažeidimų mastą ir atsakingus asmenis turės įvertinti teisėsaugos institucijos.

JRDA teigia į Generalinę prokuratūrą kreipusis gindama viešąjį interesą ir penkių galimai nukentėjusių asmenų teises. Asociacijos vadovas Ignas Plunksnis kritikavo institucijų komunikaciją ir pabrėžė, kad daugiau kaip 150 tūkst. jaunuolių duomenų prieinamumas internete kelia realią grėsmę jų saugumui.

Vieši sąrašai ir kibernetinio saugumo rizika

Šis atvejis aktualus ne tik šauktiniams, bet ir visai Lietuvos skaitmeninei infrastruktūrai. Viešai prieinami asmens duomenys gali būti automatiškai kopijuojami, indeksuojami paieškos sistemose, susiejami su informacija iš socialinių tinklų ir naudojami tikslinėms sukčiavimo ar grasinimų kampanijoms.

Kibernetinio saugumo specialistai šį procesą dažnai vadina duomenų praturtinimu: keli iš pirmo žvilgsnio nedideli informacijos fragmentai sujungiami į išsamų asmens profilį. Lietuvoje tai gali būti ypač jautru, nes karo prievolės statusas susijęs ne tik su privatumu, bet ir su nacionalinio saugumo interesais.

Skaitmeninių sistemų palyginimas: viešas sąrašas ar individualus pranešimas?

Viešo sąrašo modelis leidžia greitai patikrinti informaciją, tačiau kartu didina masinio duomenų rinkimo riziką. Alternatyva galėtų būti individuali prieiga prie saugios elektroninės sistemos, patvirtinus tapatybę, arba asmeninis pranešimas elektroniniu paštu ar kitu oficialiu kanalu.

Toks sprendimas turėtų keletą privalumų: sumažėtų duomenų matomumas, būtų lengviau registruoti prisijungimus, o institucijos galėtų tiksliau kontroliuoti, kas ir kada pasiekė konkrečią informaciją. Vis dėlto bet kuri sistema turi būti patogi naudoti tiek Vilniuje ir Kaune, tiek mažesniuose Lietuvos miestuose, taip pat pritaikyta žmonėms, neturintiems nuolatinės prieigos prie modernių įrenginių.

Seimo kontrolierė taip pat atkreipė dėmesį į problemą

Šių metų pradžioje Seimo kontrolierė Erika Leonaitė paragino institucijas iš naujo įvertinti tvarką, pagal kurią viešai skelbiami karo prievolininkų duomenys. Jos nuomone, dabartinis reguliavimas gali neproporcingai riboti šauktinių teises ir kelti papildomų nacionalinio saugumo klausimų.

Kontrolierei pateiktame skunde vienas į 2026 m. karo prievolininkų sąrašą įtrauktas asmuo nurodė, kad internete prieinami jo duomenys ir šaukimo statusas tapo anonimiškų grasinimų priežastimi. Pareiškėjas teigė tokių grasinimų sulaukęs po to, kai atidėjo privalomąją karinę tarnybą.

Seimo kontrolierė taip pat pabrėžė, kad viešai skelbiama informacija gali būti renkama priešiškų valstybių. Todėl diskusija apie duomenų apsaugą Lietuvoje peržengia įprastus privatumo klausimus ir tampa kibernetinės gynybos dalimi.

Ką planuojama keisti Lietuvoje?

Krašto apsaugos ministerija planuoja nuo 2027 m. sausio 1 d. nebeskelbti karo prievolininkų sąrašų viešai. Tam numatoma keisti Karo prievolės ir alternatyviosios krašto apsaugos tarnybos įstatymą.

Šių metų sąraše buvo 42 556 jaunuoliai, o dar maždaug 3,8 tūkst. žmonių į tarnybą užsiregistravo savanoriškai. Iš viso šiemet planuojama pašaukti apie 5 tūkst. asmenų. Šie skaičiai rodo, kad net ir santykinai ribota informacija gali paveikti dešimtis tūkstančių Lietuvos gyventojų.

Technologijų naudotojams ir Lietuvos verslui šis atvejis primena, kad duomenų apsauga turi būti įtraukta į pačią skaitmeninių paslaugų architektūrą. Vien informacijos pašalinimas po nutekėjimo neapsaugo nuo kopijų, archyvų ir automatinių duomenų rinkimo įrankių. Todėl institucijoms būtina aiški prieigos kontrolė, veiksmų žurnalai, duomenų minimizavimas ir greitas reagavimas į kibernetinius incidentus.