Най-големият теч на данни в България от 2019 г. насам, когато бе хакната Националната агенция за приходите (НАП), и вероятно най-мащабният пробив в сигурността на частна компания. Такава оценка може да се направи на пълния комплект от лични данни на 2.25 млн. души, изпратени до пощата на "Капитал" и други медии от хакера (или хакерите), ползващ псевдонима "Емил Кюлев".
Той твърди, че те са добити, чрез пробив в системата на най-голямата застрахователна компания по премиен приход в България "Лев инс".
В базата данни се съдържат три имена на кирилица и латиница, ЕГН, номер на лична карта, адрес и в някои случаи мобилен номер. Данните включват и бивши клиенти на "Лев инс", а вероятно и вече починали лица, защото ЕГН-тата достигат до 1925 г.
С голям размах
Трудно е да се направи точна класация на хакерските атаки, но тази срещу НАП определено печели по няколко параграфа. Тя засягаше повече хора, като обхващаше данни на над 6 млн. души. Освен това тогава там извън идентификационни данни за много от тях имаше и информация от различни периоди за доходи, работодатели, санкции и др. Същевременно обаче много от данните бяха откъслечни и фрагментирани. Тогава прокуратурата обвини собственикa и служители на компанията "ТАД груп", но в крайна сметка случаят се превърна във фарс.
Сега става дума за систематизирана база данни, в която могат да се намерят лични данни и на обществени лица като бившия главен прокурор Иван Гешев и настоящия изпълняващ длъжността Борислав Сарафов. Предвид огромния брой записи може да се предположи, че в него влизат всички бивши и настоящи клиенти на "Лев инс". За сметка на това в случая за щастие няма никаква допълнителна информация - какъв застрахователен продукт са ползвали, в кой период са били клиенти, какъв е номерът на автомобила им. Същевременно хакерите в анонса си твърдят, че разполагат и с много повече информация, включително и с "пълното счетоводство на "Лев инс", което показвало злоупотреби и източване чрез огромни месечни бонуси".
"Капитал" изпрати въпроси към "Лев инс" и Комисията за защита на лични данни (КЗЛД) по отношение на теча на данни, но получи отговори само от държавната институция след дадения срок и след публикуването на статията. Въпросите и към двете са свързани с това дали клиентите на компанията са били уведомени, както предписва законът, и какви стъпки са били предприети. Архивите, разпратени към медии, са с дати от декември 2022 г. и януари 2023 г.
В отговор на въпросите на "Капитал" председателят на КЗЛД Венцислав Караджов казва, че в комисията не е постъпвало уведомление от компанията за нарушение на сигурността, както изисква европейския регламент. Мейлът на хакера отпреди няколко дни е изпратен освен до медии и до дадения за контакт от комисията kzld@cpdp.bg.
За пари или с мисия
"Капитал" се свърза и с хакера "Емил Кюлев", който уточни, че атаката е целенасочена срещу "Лев инс" и сочения за действителен собственик на компанията Алексей Петров, когото нарича с обидни квалификации. В анонса си за пробива на сайта си хакерът мотивира действията и с острата реакция на Петров "срещу достойната българска гражданка и служебен министър на финансите Росица Велкова".
Името на компанията нашумя напоследък покрай войната ѝ срещу промените в Кодекса за застраховането, които трябваше да гарантират спазването на правилата в международната система "Зелена карта" и да изпълнят ангажиментите на България за приемането и в еврозоната. Текстовете бяха атакувани от Съюза за стопанска инициатива, чийто изпълнителен директор е Алексей Петров, и като крайно не бяха приети в предишното Народно събрание. Освен това "Лев инс" заведе и безпрецедентно дело срещу Mediapool за 1 млн. лв. за статия по темата, базирана именно на изказване на Велкова.
"Емил Кюлев": Разполагаме с множество данни, относими към ЗК "Лев инс" АД и лицето Алексей Илиев Петров
Публикуваме интервюто на "Капитал" с хакера, без редакторска намеса
Защо точно "Лев инс" - целенасочено ли е действието спрямо компанията или просто там сте открили уязвимост?
- Действието е абсолютно целенасочено, веднъж към ЗК "Лев инс" АД като компания и веднъж към лицето Алексей Илиев Петров като личност в личен план.
Свързахте ли се с компанията и отправяли ли сте някакви искания към тях? Какви?
- Уведомили сме компанията за пробива, като искания не са отправяни. Те обаче от своя страна, следвайки дългогодишните си корупционни и сенчести практики, не са уведомили в регламентираните срокове Комисията за защита на личните данни, нито клиентите си. Възниква въпросът защо. Тук смисълът на занятието е съвсем друг.
Как накратко бихте обяснили какво е позволило пробива в масивите на компанията и нивото на киберзащитата й?
- Пробивът в масивите на компанията бе елементарен, защото не разполагат и никога не са разполагали с адекватна мониторинг система. По-големият фарс и смехотворен факт е, че предлагат на клиентите си киберзастраховки, включващи същия този сакрален мониторинг. Нивото на киберзащитата им е сходно с това на интелектуалния им капацитет, ниско, фалшиво и пошло. Всичко, включващо ЗК "Лев инс" АД, лицето Алексей Илиев Петров и думата киберсигурност в едно изречение, е илюзорно, най-доброто определение по наше усмотрение е научна фантастика.
Разполагате ли и с други данни, засягащи компанията и/или клиентите й и какви?
- Разполагаме с множество данни, относими към ЗК "Лев инс" АД и лицето Алексей Илиев Петров. По-интересното са едни записи, над 500 по последен спомен. Склонни сме да вярваме, че при първа предпоставка, създадена от лицето Алексей Илиев Петров, ще се сдобиете с тях подобно на всяка друга медия в страната.
Защо избрахте да публикувате само част от информацията, и то не такава, която подкрепя твърденията ви за източване и/или други злоупотреби в "Лев инс"?
- За всичко си има подходящ момент и време, подобно на това съществуват легитимни органи на по-високо от национално равнище.
Защо решихте да пуснете линк към личните данни на над 2 млн. души и не считате ли, че така нанасяте щети и на странични жертви? Какъв ефект очаквате да постигнете?
- Линкът, който сме изпратили до всички медии, е с цел затвърждаване на твърденията ни. Трябва да си давате ясната сметка, че няма война без косвени жертви. Колкото до засегнатите български граждани, призоваваме ги да потърсят правата върху личните си данни по надлежния правен ред и да прекратят действащите си към момента застраховки в ЗК "Лев инс" АД. Крайната цел и ефект е ЗК "Лев инс" АД да бъде глобена по законоустановения ред, а гражданите да бъдат информирани за тяхното безчинство и нехайство. В този конкретен случай глобата няма да бъде по-малко от 5 млн. лв.