STISC отвергает обвинения в игнорировании отчетов об уязвимостях до кибератаки широкого масштаба в октябре

Служба информационных технологий и кибербезопасности (STISC) Республики Молдова направила официальный ответ газете «Ziarul de Gardă» (ZdG), разъяснив порядок работы с сообщениями об уязвимостях перед массированной атакой в октябре 2025 года. Ведомство утверждает, что за последний год через публичный механизм не поступало официальных заявлений о наличии уязвимостей, которые могли бы поставить под угрозу персональные данные граждан. Одновременно STISC подтверждает, что принял к рассмотрению и изучил семь сообщений об уязвимостях в области кибербезопасности, «по которым были разработаны и направлены ответы лицам, сообщившим об этих случаях».

Споры возникли после того, как ZdG сообщило об случае специалиста по информационным технологиям, проживающего в Нидерландах, Афанасие Бешлеаги, который заявил, что информировал STISC о множестве уязвимостей, обнаруженных в государственном сервисе, однако не получил substantive ответа, лишь тикет о подтверждении регистрации потенциального инцидента. Другой читатель издания также упомянул аналогичную ситуацию, не указав конкретное затрагиваемое учреждение. В своем ответе STISC уточнил, что все сообщения учитываются, проверяются и проходят процедуру технического анализа и оценки рисков, после чего определяются необходимые меры по устранению недостатков. Учреждение напомнило о существовании Правительственной платформы раскрытия информации о киберинцидентах, доступной по адресу cyberevent.gov.md.

Афанасий Бешлеага, основатель нескольких компаний в сфере информационных технологий как в Молдове, так и в Нидерландах, заявил для ZdG, что, хотя он обнаружил уязвимости, некоторые из которых являются критическими, кибератака, в результате которой были похищены личные данные сотен тысяч граждан, «наиболее вероятно», не могла быть предотвращена на основе тех же самых отчетов, поскольку его уязвимости не использовались злоумышленниками непосредственно в инциденте. Он предположил, что сложность атаки не указывает на участие хорошо подготовленного государственного актора. Бешлеага отметил, что во время обсуждений с представителями учреждений о инвестициях в обеспечение безопасности получал неофициальный ответ о том, что «у нас нет бюджета», хотя он считает, что злоумышленники не прекращают свои действия именно из-за недостатка финансирования.

Что касается ответственности и расходов, то STISC перенаправил вопросы, касающиеся инвестиций в безопасность систем EVO или MPAss, в Агентство электронного управления (AGE). AGE заявило, что не может предоставить точные данные о расходах на обеспечение безопасности, сочтя устранение инцидентов задачей STISC. Однако Михай Лупашку, директор Агентства по кибербезопасности (ASC), предоставил точные данные: общий бюджет ASC на 2026 год составляет приблизительно 27 миллионов леев, распределенных между расходами на персонал (17 миллионов леев) и содержание/проекты (10 миллионов леев). Лупашку подчеркнул, что Республика Молдова имплементировала Директиву NIS2, и что ASC участвовало в оценке безопасности в энергетическом секторе в 2026 году.

Крупный киберинцидент с 19 по 23 октября 2025 года затронул платформы AGE, в результате чего были извлечены данные, связанные примерно с 750 000 номеров индивидуального номера налогоплательщика (IDNP), включая идентификационную информацию, налоговые сведения и историю использования MPay. Президент Майя Санду уточнила, что фактически доступ был получен к данным более чем 450 000 граждан, что ниже первоначальных оценок, но остается значительным числом. Она раскритиковала задержку с официальными коммуникациями и выделила структурные проблемы: единое приложение с неисправной настройкой доступа позволило извлечь данные как минимум 10 учреждений. Премьер-министр Василе Тофан заявил об уликах, указывающих на причастность иностранных государственных акторов, а Лилиан Карп, председатель парламентской комиссии по безопасности, подтвердил, что атака была запущена из-за пределов Республики Молдова.

Эксперт Сергей Бозиян, президент Ассоциации защиты конфиденциальности, возложил основную ответственность на владельца реестра (AGE) и интегратора, а также на контрольные органы (STISC, ASC, CNPD), посчитав, что инцидент был предсказуем из-за «слишком малого внимания», уделяемого защите данных. В ходе межведомственных проверок, инициированных после атаки, STISC совместно с AGE и ASC превентивно отключили затронутые сервисы и остановили несанкционированный сбор данных 23 октября в 11:30, направив учреждениям рекомендации по техническому усилению безопасности.