„Ramidonas“ atvejis: įsilaužimas į e. parduotuvę, duomenys „Telegram“ ir 6 000 € BDAR bauda

Apie įsilaužimą į UAB „Ramidonas“ e. parduotuvę VDAI sužinojo ne iš pačios bendrovės, o iš KAM ir Lietuvos kriminalinės policijos biuro. Vėliau anoniminis asmuo pranešė, kad duomenys paskelbti „Telegram“. Rezultatas — 6 000 € bauda ir viena svarbiausių pamokų Lietuvos smulkiajam e. verslui.

Incidento santrauka

• Organizacija: UAB „Ramidonas“ — automobilių remonto ir prekybos bendrovė (Jonavos r.).
• Bauda: 6 000 €.
• Pažeisti BDAR straipsniai: 5 str. 1 d. f p.; 32 str. 1 d. b ir d p.
• Sprendimą priėmė VDAI, paskelbtas 2026 m. sausį.
• VDAI informavo KAM ir LKPB 5-oji valdyba, vėliau — anoniminis pranešėjas.

Kontekstas: kodėl smulki e. parduotuvė tampa taikiniu

UAB „Ramidonas“ — daugiau nei 20 metų veikianti Jonavos rajono bendrovė (automobilių remontas, naudotų automobilių ir dalių prekyba). Tokios organizacijos šiandien yra masinis atakų taikinys — užpuolikams reikia ne „įdomios“, o pažeidžiamos įmonės. E. parduotuvių platformos versijos nustatomos automatizuotai, žinomi pažeidžiamumai išnaudojami masiniu skenavimu.

VDAI duomenimis, per 2026 m. I pusmetį Lietuvoje gauta 140 pranešimų apie asmens duomenų saugumo pažeidimus, palietusius >1,6 mln. subjektų. Kibernetiniai incidentai sudarė 36 % pranešimų, bet apie 75 % paveiktų asmenų.

Incidento eiga

1. Įsilaužimas ir duomenų nutekinimas

Į bendrovės e. parduotuvę įsilaužta ir nutekinti joje tvarkomi asmens duomenys. Tiksli data ir techninis būdas viešai nepaskelbti.

2. Praneša ne bendrovė, o valstybės institucijos

VDAI informaciją gavo iš KAM ir LKPB Sunkaus organizuoto nusikalstamumo tyrimo 5-osios valdybos — subjektų, stebinčių nusikalstamą veiklą internete.

3. Anoniminis pranešimas — duomenys „Telegram“

Vėliau VDAI gavo anoniminio asmens pranešimą, kad duomenys paskelbti „Telegram“ platformoje. Nagrinėjimas atnaujintas.

4. Patikrinimas, pažeidimų konstatavimas ir bauda

VDAI konstatavo: nepakankama prieigų kontrolė ir autentifikavimas, silpni darbuotojų mokymai, neatnaujinta programinė įranga. Skirta 6 000 € bauda; bendrovė įpareigota dokumentuoti slaptažodžių politiką, užtikrinti reguliarų keitimą, mokyti darbuotojus ir atnaujinti PĮ.

Kaip techniškai vyksta tokie įsilaužimai

• Neatnaujinta platforma ar įskiepiai — automatizuoti skeneriai išnaudoja per kelias dienas nuo paskelbimo.
• Silpnas administratoriaus autentifikavimas (be MFA) — brute force ir credential stuffing.
• Perteklinės prieigos teisės — vienos paskyros kompromitavimas atveria visą sistemą.
• Stebėsenos nebuvimas — užpuolikas veikia savaitėmis nepastebėtas.

Tikroji žala: daugiau nei 6 000 €

• Tiesioginiai kaštai: tyrimas, sistemų atkūrimas, teisinės konsultacijos, VDAI nurodymų vykdymas — dažnai daugkart daugiau nei bauda.
• Žala klientams: „Telegram“ kanaluose atsiduriantys duomenys tampa žaliava sukčiavimui — laiškai, skambučiai, kitų paskyrų kompromitavimas.
• Reputacinė žala: smulkiam regioniniam verslui pasitikėjimas yra esminis turtas.
• Precedentinė reikšmė: 6 000 € smulkiai bendrovei proporcingai gali būti skaudžiau nei šimtatūkstantinė bauda korporacijai.

Kodėl žurnalų (logų) trūkumas sunkina viską

• Be žurnalų neįmanoma atkurti chronologijos — nežinia, kada įsibrauta, kas pasiekta, kiek išnešta.
• Be žurnalų neįmanoma apsiginti — BDAR 5 str. 2 d. reikalauja įrodyti atitiktį.
• Be žurnalų neįmanoma tiksliai įvykdyti 33 ir 34 str. pranešimo pareigų.
• Be žurnalų neįmanoma patvirtinti, kad incidentas suvaldytas.

Organizacija be stebėsenos apie savo incidentą sužino paskutinė.

Pamokos organizacijoms

1. Žurnalai — ne prabanga, o minimalus tyrimo pagrindas

Praktinis minimumas: platformos, žiniatinklio serverio ir DB žurnalai; siųsti į atskirą saugyklą; saugoti bent 6–12 mėn.

2. Incidentas nesibaigia uždarius spragą

Pakeisti visus slaptažodžius, panaikinti sesijas, patikrinti sukurtas paskyras ir paliktą kenkėjišką kodą, stebėti duomenų pasirodymą viešai.

3. E. parduotuvės platformos ir įskiepių atnaujinimas — nuolatinis procesas

Kas ir kaip dažnai tikrina atnaujinimus, kaip greitai diegiamos kritinės pataisos, kas šalina nebenaudojamus modulius.

4. Administravimo prieiga — MFA ir ribojimas

MFA administratoriams; sąsaja tik iš VPN ar konkrečių IP; mažiausių privilegijų principas; dokumentuota slaptažodžių politika.

5. Darbuotojų mokymas — teisinė pareiga, ne formalumas

Techninės priemonės neveikia, jei darbuotojas naudoja tą patį slaptažodį visur ar atidaro phishing laišką.

6. Pasirenkite tyrimui iš anksto

Kur jūsų žurnalai, kas atsakingas, ką pranešate VDAI per 72 val., kada informuojate klientus — jei tai žinoma iš anksto, incidentas suvaldomas per dienas.

7. Stebėkite, kad apie savo incidentą nesužinotumėte paskutiniai

Bazinė serverio elgsenos stebėsena, failų vientisumo kontrolė, periodinė žurnalų peržiūra.

8. Dydis neapsaugo nuo atsakomybės

BDAR taikomas visiems; automatizuotos atakos taikosi pagal pažeidžiamumą, ne pagal dydį.

Galutinis vertinimas

„Ramidonas“ atvejis — chrestomatinis smulkaus e. verslo incidentas. 6 000 € bauda čia yra mažiausiai svarbi dalis. Svarbiausia — organizacija, kuri nekaupia žurnalų ir nestebi savo sistemų, incidento atveju pralaimi tris kartus: negali jo aptikti, negali ištirti ir negali apsiginti.