„CityBee“ duomenų nutekėjimas: bauda ir teismo praktika

2021 m. vasario naktį iš 15-osios į 16-ąją internetiniame forume paskelbta „CityBee“ klientų duomenų bazė — daugiau nei 110 tūkst. žmonių vardų, asmens kodų, kontaktų ir vairuotojo pažymėjimų numerių. Duomenys paimti iš seniai užmirštos, viešai prieinamos ir nešifruotos 2018 m. atsarginės kopijos.

Pagrindiniai skaičiai

• Kopijos sukūrimo data: 2018-02-27, failas CitybeeProduction.bacpac.
• Slaptažodžių apsauga: SHA-1 be „druskos“ (unsalted).
• Pažeisti BDAR straipsniai: 32 str. 1 d. a, b, d punktai.
• Ginčo pabaiga: taikos sutartis, patvirtinta LAT 2025-07-02.

Kontekstas

„CityBee“ — trumpalaikės automobilių nuomos paslauga, kurią Lietuvoje teikia UAB „Prime Leasing“. Registruodamiesi klientai perduoda plačią jautrių duomenų aibę — nuo asmens kodo iki vairuotojo pažymėjimo. Skirtingai nuo daugelio nutekėjimų, kur nutenka el. paštai ir slaptažodžiai, čia viešai atsidūrė valstybės išduoti tapatybės identifikatoriai — asmens kodai, kurių, priešingai nei slaptažodžio, žmogus pasikeisti negali.

Incidento eiga etapais

2018 m. vasaris — kritinės klaidos ištakos

Sukurta duomenų bazės atsarginė kopija (CitybeeProduction.bacpac), kuri atsidūrė netinkamai apsaugotoje „Microsoft Azure“ Blob Storage saugykloje ir liko viešai pasiekiama internetu, be jokios autentifikacijos. Failas ten pragulėjo apie trejus metus.

2021-02-15 vakaras — paskelbimas forume

Kibernetiniai nusikaltėliai paskelbė „CityBee“ duomenų bazę užsienio įsilaužėlių forume (nurodomas RaidForums.com). Duomenys pradėti platinti ir pardavinėti — ištraukų sąrašus buvo galima nusipirkti už kelis eurus.

2021-02-16 — viešas atsakas ir vadovo atsiprašymas

„CityBee“ patvirtino incidentą, įsteigė karštąją liniją. Vadovas Kristijonas Kaikaris surengė spaudos konferenciją, pabrėžė, kad nukentėjo ir jo paties duomenys. Įsitraukė NKSC, pradėtas ikiteisminis tyrimas, VDAI savo iniciatyva pradėjo tyrimą.

Techninis paaiškinimas: kaip tai įvyko

Incidentas — vadovėlinis pavyzdys, kaip nutekėjimą sukelia ne sudėtinga ataka, o bazinių higienos priemonių nebuvimas. Užpuolikas paėmė viešus DNS įrašų rinkinius (Rapid7 Open Data), išfiltravo „Azure“ saugyklų adresus ir įrankiu Gobuster surado atvirą konteinerį — tada tiesiog atsisiuntė failą.

• Vardai, pavardės, adresai, telefonų numeriai, el. pašto adresai.
• Asmens kodai, vairuotojo pažymėjimų numeriai.
• Slaptažodžiai — SHA-1 maišos be „druskos“, atkuriamos šiuolaikiniais įrankiais.
• Mokėjimo kortelės ir vairuotojo pažymėjimų skenai — nebuvo saugomi, į nutekėjimą nepateko.

Žalos analizė

Skirtingai nuo DDoS atakų, čia pažeistas konfidencialumas — ir žala ilgalaikė. Nutekėjus asmens kodui, jis lieka žinomas visam laikui: jo pakeisti neįmanoma. Tai sukuria nuolatinę tapatybės vagystės ir socialinės inžinerijos riziką. Būtent nerimas dėl duomenų paviešinimo vėliau teismuose tapo neturtinės žalos pagrindu.

VDAI sprendimas ir jo motyvai

2021 m. lapkričio 29 d. VDAI skyrė UAB „Prime Leasing“ 110 000 € baudą už BDAR 32 str. 1 d. a, b ir d punktų pažeidimus. Esminis akcentas — bauda skirta ne tik už techninę spragą, bet už sisteminį saugumo valdymo trūkumą.

• Neapsaugota, nešifruota DB kopija su 110 302 vartotojų duomenimis laikyta nuo 2018 m.
• Nebuvo taikomos net bazinės saugumo priemonės (prieigos kontrolė, šifravimas).
• Slaptažodžiai apsaugoti silpnu SHA-1 algoritmu.
• Nebuvo tinkamai atskirtos IT kūrimo ir kibernetinio saugumo funkcijos.

Civilinė byla ir teismų praktika

Administracinę baudą papildė atskira ir teisiškai reikšmingesnė civilinė linija — vartotojų grupės ieškinys.

Grupės ieškinys (2022 m. lapkritis)

346 nukentėję vartotojai teismui pateikė grupės ieškinį, reikalaudami po 300 € neturtinės žalos (iš viso 103 800 €) ir turtinės žalos atlyginimo.

Vilniaus apygardos teismas (2024-02-19)

Pripažino, kad bendrovė pažeidė duomenų apsaugos pareigas, tačiau neturtinės žalos nepriteisė, motyvuodamas tuo, kad BDAR pažeidimas savaime nėra pagrindas kompensacijai, o neturtinė žala turi būti vertinama individualiai.

Lietuvos apeliacinis teismas (2024-06-18, byla e2A-306-516/2024)

Iš esmės pakeitė sprendimą. Priteisė po 300 € kiekvienam iš 346 grupės narių — iš viso 103 800 € neturtinės žalos. Vienas pirmųjų Lietuvoje aiškiai pripažino: nerimas ir neigiami išgyvenimai dėl asmens duomenų paviešinimo yra reali, atlygintina neturtinė žala, o ją galima įrodinėti grupės ieškinio būdu.

Taikos sutartis (2025-07-02)

Bendrovė sprendimą apskundė LAT. Galiausiai šalys pasirinko kompromisą: 2025-06-26 sudaryta taikos sutartis, kurią LAT patvirtino 2025-07-02. Sąlygos konfidencialios, išmokos atliekamos į grupės narių banko sąskaitas.

Pamokos

1. Atsarginė kopija — toks pat saugumo objektas kaip gyva sistema

Užpuolikui nesvarbu, ar failas vadinasi „production“, „backup“, ar „old“ — jei jame yra klientų duomenų, jo vertė tokia pati. Kopijos privalo būti šifruojamos, prieinamos tik su autentifikacija ir įtrauktos į saugumo inventorių.

2. Debesijos saugyklas reikia konfigūruoti sąmoningai

Viešai atviras „Azure“ konteineris buvo rastas automatizuota interneto skenavimo priemone. Numatytieji ar klaidingi debesijos leidimai — viena dažniausių nutekėjimų priežasčių.

3. Duomenų inventorius ir gyvavimo ciklas privalo būti valdomi

Failas pragulėjo apie trejus metus, nes organizacija „nematė“, kad jis egzistuoja. Nereikalingi laikini ir seni failai turi būti automatiškai šalinami.

4. Slaptažodžiai turi būti apsaugoti šiuolaikiniais algoritmais

SHA-1 be „druskos“ nebeatitinka geros praktikos. Naudotini bcrypt, Argon2 su „druska“.

5. Asmens kodo negalima pasikeisti — todėl jo apsauga kritinė

Slaptažodį galima pakeisti per minutę, o asmens kodą žmogus turi visą gyvenimą. Valstybės išduoti identifikatoriai reikalauja aukščiausio apsaugos lygio.

6. Duomenų nutekėjimas turi ilgą teisinę uodegą

Administracinė bauda buvo tik pradžia — civiliniai ginčai tęsėsi ketverius metus. Neturtinės žalos atlyginimo grupės ieškiniai tapo reali rizika.

Galutinis vertinimas

Rimčiausi duomenų saugumo incidentai dažnai kyla ne dėl išmanių atakų, o dėl paprasto aplaidumo — viešai palikto, užmiršto ir nešifruoto failo. Vienintelė 2018 m. konfigūracijos klaida po trejų metų virto 110 tūkst. žmonių duomenų paviešinimu, 110 000 € administracine bauda ir daugiametišku teisminiu ginču.