Wyciek strategicznych danych z baz Szwecji: szpiedzy kochają chmury

Pamiętacie wyciek danych pacjentów ze szpitala w Kole? To małepiwo w porównaniu do tego, co właśnie wydarzyło się w Szwecji.Rick Falvinge, założyciel szwedzkiej Partii Piratów, ujawniafascynującą historię wycieku, wskutek którego tajne intranety ibazy danych tego państwa zostały podane jak na tacy rosyjskiemuwywiadowi. Dziś rząd premiera Löfvena robi co może, by wyciszyćsprawę i rozproszyć odpowiedzialność, podczas gdy bazy danychwciąż pozostają niezabezpieczone.

Ta historia jest świetną ilustracją zagrożeń, jakie wiążąsię z powstawaniem ogromnych, scentralizowanych baz informacji oobywatelach, którymi zarządzają urzędnicy nie bardzo wiedzący,co właściwie robią. Zacznijmy jednak od początku:Transportstyrelsen (Agencja Transportu) jest szwedzką agencjąrządową, działającą pod kontrolą MinisterstwaPrzedsiębiorczości i Innowacji tego państwa. W zakres jejobowiązków wchodzi regulacja i kontrola całego systemutransportowego kraju – drogowego, kolejowego, morskiego ipowietrznego.

W 2015 roku Transportstyrelsen wybrała IBM na dostawę usługzwiązanych z przechowywaniem danych w chmurze, zarządzaniem bazamidanych i sieciami. Warty setki milionów koron kontrakt zostałpodpisany mimo tego, że od początku było wiadomo, że ogromnailość wrażliwych danych opuści kraj.

Wrażliwych? To za mało powiedziane, oprócz informacji ozwykłych obywatelach w bazach Transportstyrelsen znajdowały siędane strategicznego znaczenia: tożsamość operatorów służbspecjalnych, dane osobowe i zdjęcia pilotów myśliwskich, dane osóbobjętych programem ochrony świadków, lista wszystkich rządowych iwojskowych pojazdów, informacje o nośności dróg i mostów –innymi słowy, informacje które znacznie ułatwiłyby wygraniewojny.

Takie to ciekawe bazy danych zostały wgrane na serwery w chmurzeIBM-a, a rządowy intranet SGSI udostępniony do zarządzanapodwykonawcy Wielkiego Niebieskiego, firmie NCR z siedzibą w…Serbii. By było zabawniej, SGSI jest bezpośrednio włączona dobezpiecznej sieci Unii Europejskiej, STESTA. Uprawnieniaadministracyjne w szwedzkiej bezpiecznej sieci dla serbskichpracowników, którzy nigdy nie zostali zweryfikowani pod kątembezpieczeństwa? Zarząd Główny (pod taką nazwą dziś działasłynne GRU) mógł tylko otwierać butelki szampana.

Poziom zaniedbań bił wszelkie rekordy. W pewnym momencieTransportstyrelsen przesłał e-mailowo wszystkim swoim subskrybentomlisty marketingowej niezaszyfrowane bazy transportowe. Kiedy odkrytotę koszmarną wpadkę, po prostu rozesłano do odbiorców drugiegoe-maila, z prośbą o samodzielne skasowanie otrzymanych omyłkowobaz.

Ciekawie zaczęło się robić na początku tego roku, kiedy pocichu niejaka Maria Agren została zwolniona ze stanowiska dyrektorAgencji Transportu. Oficjalnie za przyczynę jej podejścia podano„nieporozumienia”. W rzeczywistości, jak twierdzi Falvinge,poszło o karygodne zaniedbanie w przetwarzaniu tajnych informacji –taki miał być wynik liczącego 250 stron utajnionego raportuszwedzkiej bezpieki (Säpo).

Co jednak w tym wszystkim najbardziej zaskakuje, to zgodaprokuratury na to, by pani Agren poszła na ugodę i dobrowolnepoddanie się karze, unikając w ten sposób procesu przed sądem.Szwedzkie prawo owszem, dopuszcza taki obrót spraw, ale jedynie dlanajlżejszych przestępstw, takich jak np. kradzieże sklepowe.Wymiar sprawiedliwości okazał się bardzo wyrozumiały. Kobieta,która wydała szwedzkie tajemnice potencjalnemu wrogowi, zostałaukarana grzywną w wysokości połowy jej miesięcznej pensji – 70tys. koron.

Ujawnienie tych katastrofalnych w skutkach wycieków nieprzyniosło żadnych konkretnych rezultatów. Od zwolnienia MariiAgren minęło pół roku, tymczasem teraz nowy dyrektor, JonasBjelfvenstam, przyznaje, że dane uda się zabezpieczyć gdzieś takna jesieni. Śledztwo w sprawie tego, kto i co z bazTransportstyrelsen uzyskał, wciąż trwa.