VDAI tikrina galimą Lietuvos keliautojų duomenų nutekėjimą

Valstybinė duomenų apsaugos inspekcija (VDAI) pradėjo patikrinimą po pranešimo, kad Rusijos juodojoje rinkoje galėjo būti paviešinti Lietuvos keliautojų asmens duomenys. Tarp aptiktos informacijos minimos pasų kopijos, kontaktiniai ir kelionių duomenys, tačiau kol kas neaišku, kiek žmonių galėjo nukentėti, kada duomenys buvo nukopijuoti ir iš kokios sistemos jie pateko į pašalinių rankas.

Apie galimą duomenų nutekėjimą paskelbė „Delfi“. Portalas nurodė aptikęs Lietuvos keliautojų įrašų, susijusių su kelionėmis 2012–2026 metais. Šis laikotarpis nurodo rastų įrašų datas, o ne patvirtintą nutekėjimo trukmę ar datą.

Kokie duomenys galėjo būti atskleisti

„Delfi“ tyrime minimos kelios galimai nutekėjusių duomenų kategorijos:

• keliautojų tapatybės duomenys, gimimo datos ir asmens kodai;
• pasų kopijos ir dokumentų numeriai;
• telefono numeriai, įskaitant kontaktinių asmenų numerius;
• kelionių kryptys, datos ir kainos.

Nežinoma, ar kiekviename įraše buvo visi šie duomenys. Taip pat neskelbiamas patvirtintas nukentėjusių Lietuvos gyventojų skaičius. Įrašų skaičiaus negalima tapatinti su nukentėjusių žmonių skaičiumi, nes vienas asmuo galėjo turėti kelis kelionių užsakymus.

Portalo nurodyti įrašai siejami su „Tez Tour“, „Join Up“, „Makalius“, „Kelionių ekspresu“, „West Express“, „Noriu atostogų“, „Kelionių akademija“, „Baltic Tours“ ir „Amberturas“. Vis dėlto bendrovės pavadinimas įraše savaime neįrodo, kad buvo įsilaužta į jos sistemas. Duomenų šaltinį ir jų kelią dar reikia nustatyti.

Tyrimai tęsiami, „Tez Tour“ nutekėjimą neigia

Kaip skelbia „Delfi“, VDAI, viešai pasirodžius informacijai apie galimą asmens duomenų saugumo pažeidimą, kreipėsi į „Tez Tour“ ir tikrina, ar galėjo būti paveikti Lietuvos gyventojų duomenys. Tai yra pradėtas patikrinimas, o ne galutinė išvada, kad nutekėjimas patvirtintas.

Nacionalinis kibernetinio saugumo centras portalui nurodė neturintis duomenų apie kibernetinį incidentą „Tez Tour“ infrastruktūroje ir nukreipė į VDAI. Šis atsakymas savaime nei patvirtina, nei paneigia aptiktų duomenų kilmės.

„Tez Tour“ ryšių su visuomene ir rinkodaros skyriaus vadovė Inga Aukštuolytė „Delfi“ teigė, kad dėl galimo duomenų saugumo pažeidimo pradėtas vidinis tyrimas. Bendrovė situaciją vertina rimtai, žada bendradarbiauti su atsakingomis institucijomis ir imtis veiksmų vartotojų interesams apsaugoti.

Tačiau spalio 14 dieną įmonės atstovė pakartojo, kad bendrovės sistemose nebuvo užfiksuota jokio tariamo Lietuvos keliautojų duomenų pasisavinimo. „Makaliaus“ vadovas Rimvydas Širvinskas portalui sakė iki užklausos apie tokią informaciją nežinojęs ir žadėjo profilaktiškai patikrinti sistemas.

„Delfi“ taip pat aprašė rugsėjo 15 dieną grupės „DataSuckers“ paskelbtą pareiškimą, kuriuo ji prisiėmė atsakomybę už įsilaužimą į „Tez Tour“ sistemas Rusijoje ir Baltarusijoje. Teiginiai apie atsisiųstus ar sunaikintus įrašus yra pačios grupės pareiškimai, o ne nepriklausomai patvirtinti tyrimo rezultatai.

Ryšys tarp šio pareiškimo ir Lietuvos keliautojų duomenų kol kas nenustatytas. Taip pat neaišku, ar galimas nutekėjimas susijęs su Lietuvoje veikiančia bendrove, ar su tuo pačiu prekės ženklu veikiančiais subjektais Rusijoje ir Baltarusijoje. Todėl rugsėjo 15 diena negali būti laikoma patvirtinta Lietuvos klientų duomenų nutekėjimo data.

Pasų kopijų atskleidimas savaime nepakeičia galiojančio kelionės dokumento ir nereiškia, kad žmogaus vardu jau galima teisėtai sudaryti kredito sutartį. Vis dėlto tokia kopija gali būti panaudota apsimetant dokumento savininku arba kartu su kitais neteisėtai gautais duomenimis bandant apgauti paslaugų teikėją. Šiuo atveju nėra patvirtinta, kad pagal aptiktus įrašus būtų paimta paskolų ar sudaryta kitų sutarčių.

Telefono numeris kartu su tikra kelionės kryptimi, data ir kaina gali padaryti apgaulingą skambutį įtikinamesnį. Skambinantysis gali prisistatyti agentūros darbuotoju ir prašyti papildomai sumokėti arba patvirtinti duomenis. Tiksli užsakymo informacija savaime neįrodo, kad kreipiasi tikras paslaugos teikėjas.

Kur kreiptis keliautojams

Pirmiausia raštu galima kreiptis į kelionę pardavusią agentūrą ar organizatorių. Kontaktus reikėtų rasti oficialioje įmonės svetainėje, o ne naudotis netikėtoje žinutėje pateikta nuoroda. Įmonei verta užduoti šiuos klausimus:

• ar galėjo būti paveikti jūsų duomenys ir kokios jų kategorijos;
• ar buvo saugoma paso kopija, kam ji perduota ir kokių apsaugos priemonių imamasi.

Reikėtų išsaugoti įmonės atsakymą, įtartinus laiškus ir žinutes. Gavus prašymą papildomai sumokėti už kelionę, pirmiausia reikėtų atskirai susisiekti su agentūra.

Dėl galimai netinkamo asmens duomenų tvarkymo galima kreiptis į VDAI. Jei įtariama, kad tapatybe jau naudojamasi, gauti svetimos sutarties dokumentai ar susidurta su sukčiavimu, apie tai galima pranešti policijai per ePolicija. Pastebėjus ne savo mokėjimą, reikėtų susisiekti ir su banku.

Nereikėtų nepažįstamoje svetainėje įkelti dar vienos paso kopijos vien tam, kad tariamai būtų patikrinta, ar ankstesnė kopija nutekėjo. Tokios patikros patikimumas šio incidento atveju nėra patvirtintas.

Oficiali Lietuvos institucijų rekomendacija visiems galimai paveiktiems keliautojams keisti pasą ar skelbti jį negaliojančiu kol kas nėra paskelbta. Jei būtų patvirtinta, kad atskleista konkretaus žmogaus paso kopija, dėl dokumento keitimo ar jo galiojimo reikėtų kreiptis į Migracijos departamentą ir apibūdinti situaciją. Paso kopijos atskleidimas nėra tas pats, kas fizinio paso praradimas.

VDAI patikrinimas ir bendrovių vidiniai tyrimai turėtų padėti nustatyti duomenų kilmę, paveiktų žmonių skaičių ir klientams reikalingus veiksmus. Jų rezultatų paskelbimo data nenurodyta.