Наслідки атаки на держреєстри: частину публічної інформації можуть закрити

Автор: Тетяна Бодня

Після того, як державні реєстри зазнали найпотужнішої за останні роки кібератаки, в Міністерстві юстиції спробували заспокоїти громадян, запевнивши, що усе буде відновлено, а у Верховній Раді вирішили створити робочу групу, яка має напрацювати нормативні механізми, щоб забезпечити безперебійну роботу реєстрів на майбутнє.

 Тим часом соціальними мережами ширяться пости від різних авторів, де людям наполегливо рекомендують перевірити свої дані в цих реєстрах, лякаючи, що вони нібито можуть бути змінені.

Що наразі відбувається з державними реєстрами, чи дійсно треба перевіряти свої дані в реєстрах, коли їх відновлять, а також які саме проблемні питання має вирішити новостворена робоча група у Верховній Раді, розбиралася журналістка "Цензор.НЕТ".

ЧОМУ ВАРТО ЗБЕРІГАТИ ПАПЕРОВІ ДОКУМЕНТИ?

Реагуючи на цю кібератаку, Служба безпеки України відкрила кримінальне провадження. І як заявив т.в.о. керівника Департаменту кібербезпеки СБУ Володимир Карастельов під час брифінгу за участі віцепрем’єр-міністра України — міністра юстиції Ольги Стефанішиної, слідство встановило, що до атаки причетне хакерське угруповання, яке діє під контролем головного розвідувального управління генштабу зс рф. Він додав, що, з огляду на специфіку роботи СБУ, не може розкривати всі дані щодо розслідування. Провадження відкрито за статтею 438 Кримінального кодексу України (порушення законів і звичаїв війни).

В Мін’юсті ж цю атаку назвали безпрецедентною і заявили, що було ухвалено рішення призупинити дію усіх реєстрів, які адмініструються цим міністерством. За словами Ольги Стефанішиної, це зроблено для уникнення подальшого розгортання загроз. Там також обережно кажуть, що процес відновлення триватиме близько двох тижнів.

Щодо послуг, які громадяни можуть отримати від держави, то найдоступнішою наразі є доступ громадян до реєстрації актів цивільного стану. "Всі акти цивільного стану про народження, смерть, одруження і розлучення можуть здійснюватися у звичайному порядку, але із застосуванням паперових носіїв", - заявила Ольга Стефанішина. При цьому вона звернула увагу на те, що "всі соціальні виплати, пов’язані з настанням певних актів цивільного стану, які здійснюються на основі відповідних заяв, також будуть розглянуті після відновлення реєстрів".

Вона заявила, що реєстрація відомостей про заповіти, зміни до них, скасування заповітів, дублікати про нотаріальне посвідчення довіреностей, припинення їхніх дій здійснюється без доступу до реєстрів. "Фактично усі нотаріальні дії, які не потребують перевірки даних в реєстрах, будуть далі здійснюватися приватними і державними нотаріусами", - пояснила вона.

Вона також наголосила, що люди, які не знайшли роз’яснень щодо питань, які їх турбують на офіційній сторінці Мін’юсту, можуть звернутися на гарячу лінію або у центри надання безоплатної правової допомоги.

Щодо можливого витоку даних українців, про яке йшлося в повідомленні одного з російських телеграм-каналів, і яке ширилось в мережі. В ньому стверджувалось, що після потрапляння в інфраструктуру міністерства хакери нібито сумарно викрали та видалили понад 1 мільярд рядків даних, зокрема ті, які зберігалися на резервному сервері в Польщі.

Відповідаючи на питання журналістів, чи дійсно був такий витік даних громадян, очільник Департаменту кібербезпеки СБУ заявив, що спростувати це не може. "Зараз ведеться відповідне кібердослідження, і після отримання усіх необхідних даних ми надамо вам необхідну інформацію", - зазначив він.

Віце-прем’єр додала, що отримала інформацію від Державної служби спеціального зв'язку і захисту інформації про те, що витоку даних наразі не підтверджується.

Що ж насправді відбулося і чому - має дослідити і робоча група, яка створена у Верховній Раді на базі Тимчасової спеціальної комісії з питань захисту прав інвесторів. І за потреби напрацювати інструменти, які допоможуть усе це виправити. Як розповіла в коментарі "Цензор.НЕТ" голова ТСК, народний депутат Галина Янченко, серед завдань цієї робочої групи - визначення факторів загроз в організації доступу до реєстрів та баз даних, і аналіз чинного законодавства та розробка положень змін в нормативно-правові акти щодо протидії таким загрозам. Прийняття нормативних змін з метою додаткового забезпечення безперервної роботи реєстрів в умовах воєнного стану. А також прийняття нормативних змін з метою забезпечення здійснення виконання судових рішень у разі відсутності доступу до державних реєстрів, зокрема, щодо накладання/зняття арештів. В загальному списку завдань понад 10 пунктів. Тому працювати є над чим.

Ми також поспілкувалися з новообраним головою робочої групи Ігорем Фрісом, щоб з’ясувати, як бути людям, які переймаються через можливу втрату своїх даних в реєстрах.

ПОДАЧУ ДЕКЛАРАЦІЙ ВІДКЛАДУТЬ?

"Наразі панікувати немає сенсу, - вважає народний депутат Ігор Фріс. – Ще до початку роботи групи ми поспілкувалися представниками Національних інформаційних систем. І маємо від них вже зведену інформацію, що бази даних не постраждали. Питання стоїть у архітектурі взаємозв’язків і в архітектурі доступу. Це, на жаль, під час атаки попсували. Але загальна інформація, яка була в реєстрах, бекапи реєстрів станом на 23:59 18 грудня збережені.

– У соцмережах чимало постів із закликами: перевірте свої дані, особливо, право власності на нерухомість.

– Сьогодні щось перевірити неможливо, тому що немає доступу до реєстру ні в авторизованих користувачів, ні у неавторизованих. Тому користувачі, які мають ключі, достукатись до реєстру не можуть. Бо зламали якраз архітектуру доступу.

– А чи варто людям після відновлення роботи реєстрів перевіряти?

– Я би це не радив робити. Бо якщо у людей є паперовий документ на руках, то він має силу. Відтворення і відновлення інформації, якщо вона була втрачена, модифікована чи змінена, буде відбуватися за паперовими носіями, які зберігаються в реєстраторів і у нотаріусів. Тому я би не панікував і не поспішав нічого глобального робити.

Бо це ж дуже чутлива інформація і йдеться не лише про право власності на нерухоме майно. Це стосується реєстру виконавчих проваджень, реєстру юридичних осіб, реєстру актів цивільного стану громадян, реєстру усиновлювачів і осіб, які були усиновлені. Тобто, йдеться про безліч різноманітної інформації, яка має обмежений доступ.

Ми спілкувалися з віце-прем’єркою Ольгою Стефанішиною і визначили, що робоча група повинна дослідити, що стало причиною того, що відбулося, підготувати пропозиції, які лягли б в основу відповідних змін в національне законодавство, яке як мінімум на час дії воєнного стану закриє ті можливі публічні доступи до реєстру. Тому що у нас є сьогодні величезний запит від нашої оборонки. І ми вже подали в свій час законопроєкт, який закриває певну чутливу інформацію в реєстрі юридичних осіб, державному земельному кадастрі, реєстрі прав власності. І швидше за все, ми закриємо в судовому реєстрі певні елементи чутливої інформації по певній категорії суб’єктів. На моє переконання, ми маємо зробити це по всіх реєстрах – закрити певну чутливу інформацію. Бо в перший же день після кібератаки на реєстри чомусь з’явилося безліч звернень від різноманітних сервісів, таких, наприклад, як Опендатабот, Clarity Project, які пропонували купити у них бази даних.

Чому воно так відбулося і звідки у них інформація з реєстрів? Мені пояснили, що ця інформація ними отримана в законний спосіб. І десь щось співставлено з відкритими джерелами. Але для мене це було досить несподівано.

– Хто увійде до робочої групи і коли буде перше засідання?

– Зазвичай робота в таких групах будується так: направляються звернення в різноманітні установи і відомства, а звідти направляють своїх представників до складу робочої групи, починаючи від експертів, закінчуючи, фахівцями Мін’юсту чи Служби безпеки України. Оскільки трохи досвіду в цій царині і в мене є, і в колег, ми хочемо, щоб нам делегували одразу конкретних людей, а не тих, кого хтось собі придумає.

Перше засідання плануємо провести цього тижня.

У нас немає на меті займатися слідством і шукати винного. Наше завдання абсолютно інше – швидко розробити нормативно-правову базу, яка унеможливить у майбутньому подібні речі.

– Звертатимете увагу на можливий доступ з окупованих територій?

– Він закритий давно-давно. Мені здається, що тут відбулася, швидше за все, компрометація ключів. Служба безпеки України зможе напевно дослідити чи ця компрометація була умисною чи не умисною, чи це був злам, чи це було умисне надання верифікованного доступу до системи. Це не наше завдання абсолютно. Цим займаються відповідні органи досудового дізнання та слідства.

Ми повинні отримати у них інформацію про те, чому це сталося і як цьому можна протидіяти шляхом внесення відповідних змін до законів, які стосуються державної реєстрації. Можливо, позакривати на час війни публічні сервіси. Можливо, визначити певні обмеження, провести додаткову верифікацію користувачів, які мають доступ, встановити додаткові засоби верифікації – наприклад, зареєстровану ІР-адресу. Це мають бути якісь комп’ютерні елементи, які б могли сприяти безпечній роботі реєстрів. Але все це має знайти підтвердження і відтворення у відповідних законах.

– Ще одне побоювання людей – це те, що у росіян опинилися усі наші дані.

– І що вони з ними будуть робити?

– Це попередньо обговорювалось зі Службою безпеки України?

– Поки що ні. Кожен реєстр – це локальна база даних, яка містить інформацію про особу (вік, адресу реєстрації, фактичну адресу, громадянство, корпоративні права, об’єкти нерухомості). Якщо говорити про реєстр актів цивільного стану, знову ж інформація щодо місця народження, дати, батьки, діти, шлюб). Зв’язати усе це докупи, напевно, можливо. Але що ти з цього отримаєш? Що робитимеш з цією інформацією? Позбавити людину певного права не можеш, бо на це має бути певне волевиявлення і приналежність людини до вказаного правочину. Підробляти якісь документи? Ну, напевно, можливо. Але що це дасть? Я не бачу можливості якимось чином спотворити цю інформацію.

В цій ситуації я би рекомендував, коли почнуть працювати реєстри, замінити паролі доступу на кваліфіковані електронні цифрові підписи. Хоча в НАІС озвучували, що воно ніякого відношення одне до одного не має. Але паролі і так потрібно міняти час від часу.

– Якщо люди все ж захочуть перевірити свої дані після відновлення роботи реєстрів, куди їм звертатись?

– Я не думаю, що ми встигнемо до того моменту прийняти нову нормативно-правову базу, яка обмежить публічний доступ до реєстрів. Але мені би хотілося, щоб ми обмежили доступ до реєстрів власником інформації на час дії воєнного стану. Тобто, це коли я можу взяти інформацію про себе, а ви про мене не можете без моєї згоди. Звісно, цю інформацію можуть отримати органи досудового розслідування, прокуратура, суди і інші авторизовані користувачі, яким ця інформація потрібна для здійснення професійної діяльності. Наприклад, зараз іде конкурс на суддів Конституційного суду і відповідним експертним комісіям необхідно мати доступ до такої інформації. Але просто будь-кому зайти в реєстр і отримати інформацію про те, де я живу чи де живуть мої діти, це неправильно. Це як мінімум становить небезпеку для певних публічних осіб того, що до них можуть якісь заходи негативного впливу з російської федерації бути здійснені. Наприклад, фізичного.

Як люди зможуть перевірити інформацію про себе після відновлення роботи реєстрів? Через єдиний портал державних послуг. Зайти туди, подати заявку і отримати витяг по нерухомості, юридичній особі і т.ін. Але я переживаю, щоб ми не "посадили" систему цими зверненнями, тому що їх може бути дуже багато і система сама себе "підвісить". Тому варто перевірити, щоб на руках були паперові документи і спати поки що спокійно".

Одна з проблем, які, за словами Ігоря Фріса, робочій групі потрібно буде вирішити насамперед – це річне декларування. Бо з 1 січня потрібно подавати декларації і на це дається 90 днів. А як декларувати щось, якщо ніхто достовірно не знає, яка в реєстрі є інформація? Бо якщо хтось дійсно замінив якісь дані, і потім у когось несподівано з’явиться в реєстрі нерухомість, яку людина не задекларувала, то її теоретично мають притягнути до кримінальної відповідальності. А в цьому разі, за словами нардепа, йдеться про 800 тисяч людей.

"Нам необхідно збільшити термін декларування у 2025 році як мінімум на 90 днів, які б рахувалися з моменту відкриття доступу до реєстрів", - каже він.

Він також наголосив, що робоча група планує працювати до лютого, щоб максимально швидко вирішити усі проблемні питання.

Тетяна Бодня, "Цензор.НЕТ"