Е-услуга за ДДС е пробила НАП

Премиерът Бойко Борисов свика сутринта Съвета  за сигурност към Министерски съвет, който се проведе във връзка с хакерската атака срещу Националната агенция по приходите (НАП. Продължава проверката на хакерската атака срещу НАП, предприети са мерки за минизиране на щетите. Това каза министърът на вътрешните работи Младен Маринов по време на брифинг след свиканото заседание на Съвета по сигурността към Министерски съвет.

 "Ще ви запозная накратко с това, което беше обсъждано на Съвета по сигурност. Всички запознахме премиера с фактическата обстановка по отношение на констатираната атака към информационните масиви на НАП. Това, което е установено до момента е, че от руски домейн е изпратено съобщение до български медии", каза той. По думи му впоследствие линковете водят до сървър, на който е качена информация", уточни той и поясни, че проверката продължава.
"Можем да твърдим, че тази информация съвпада, налична е на сървърите на НАП, което потвърждава, че е извършен нерегламентиран достъп до информация на НАП. По разпореждане на премиера се извършва преглед на информационните системи от другите държавни институции с оглед констатиране на уязвимости", каза още Маринов.

Откакто се установи хакерската атака, най-добрият възможен капацитет, наличен в държавата и в частния бизнес, работи върху системата на НАП. Това каза министърът на финансите Владислав Горанов, който посочи, че не иска да търси връзка между актуализацията на бюджета и придобиването на нови способности за армията и деня, в който стана тази хакерска атака. "Мога да ви уверя, че от вчера, откакто бяхме уведомени за подобен теч на информация, най-добрият възможен капацитет, наличен в държавата в това число със съдействие на частния бизнес, работи върху системите на НАП.

По първоначална информация атаката е станала преди година, тъй като данните са от тогава. Не е ясно защо се пускат едва сега и какви са мотивите на хакерите, но съобщението им приключва с призив създателят на „Уикилийкс” Джулиан Асандж да бъде освободен. "Правителството ви е умствено изостанало. Киберсигурността ви е пародия", пишат още извършителите.

"Около 3 процента от базата данни на НАП е засегната. Изтекли са не само лични данни, но и данъчно-осигурителна информация, но тя не е достатъчна, за да се направи цялостен извод за финансовото състояние на дадено лице.", уточни министър Горанов.

По думите на финансовия министър няма опасност за българските граждани, чиито данни са изтекли. "Наивно помолихме тези, които са качили информацията да я свалят, но не получихме отговор. Колко граждани засяга, няма точни данни. Записите са милиони, но те може да се отнасят за едно и също лице. Тепърва установяваме точния брой лица. 3% от базата е изтеглена, както ви казах. Но това не са класифицирани данни, а са качени от самите граждани в декларациите им и от тях не могат да се направят заключения за финансовото състояние на определено лице", съобщи още той.

Анализите ще продължат. Тъжният извод е, че държавните системи, колкото и да бъдат съвършени, винаги ще бъдат уязвими. Ние сме в една ситуация, в която киберсигурността ще бъде все по-голямо предизвикателство", допълни финансовият министър.

На въпрос на Пик медията дали ще има оставки в НАП или ДАНС, Горанов заяви, че специалисти в публичния сектор се намират трудно. "В частния сектор тези специалисти получават в пъти повече и затова е трудно ние да си позволим да сме конкуретноспособни. Говорихме на съвета за това, но въпреки всичко едва ли можем да си позволим много кадри. Ще работим обаче за изграждане на специализирано звено от специалисти. Финансовата сигурност на държвата към момента не е застрашена, но е неприятно репутационно да се уязви най-развитата онлайн агенция и може би това е целено. Но виждате, че това се случва и в Германия, и в много развити сържави. Тук идва въпросът за отворените системи за отдалечено административно обслужване и балансът със сигурността. Десетки милиони запитвания има към сървърите на НАП за година и няма гаранция, че едно от тях или няколко няма да са зловредни. Такива неща са се случвали досега, но ние сме се справяли", заяви Горанов и коментира, че и Мария Габриел е уведомена и тя съдейства за помощта на експерти от ЕС по киберсигурност.

Слабост в електронната услуга за възстановяване на ДДС или помощ от вътрешен човек са довели до хакването на данъчната и осигурителна информация на милиони граждани от базите данни на НАП. По тези две версии работи разследването, според министрите Горанов и Маринов.

Неоторизираният достъп до базата данни на НАП е осъществен заради уязвимост на една от е-услугите, които агенцията предоставя - за възстановяване на ДДС, платено в чужбина, съобщи по-късно говорителят на НАП Росен Бъчваров, който представи информация за инцидента.
Към момента тази уязвимост е отстранена и възможностите за злоупотреба с тези данни са ограничени, а услугата е временно спряна и така ще остане до възстановяваването на информационната сигурност на НАП, обясни Бъчваров.

----------------

Атаката срещу НАП е станала чрез SQL инжекция, при която след като служители в приходната агенция са въвели потребителското си име и парола, са предоставили достъп до базата данни на хакерите, които са го атакували, твърди "24 часа". Най-вероятно хакването е станало през 2018 година, тъй като това са последните данни, разпространени от нападателите. 

Това е класически пример за хибридна война - да се пусне чувствителна информация, източена преди време в ден, в който правителството подписва важно решение - за закупуването на самолетите Ф-16, казаха запознати. Те обясниха, че в данните се съдържат имена, ЕГН-та, осигурителен доход и адреси на над 5 милиона души.