Brytyjska Komisja Wyborcza poinformowała, że cyberprzestępcy uzyskali dostęp do rejestrów wyborców, a w wyniku incydentu poszkodowanych zostało wiele milionów osób. Cyberatak miał miejsce w sierpniu 2021 r.
Brytyjska Komisja Wyborcza poinformowała, że w sierpniu 2021 r. doszło do naruszenia bezpieczeństwa jej infrastruktury, w wyniku czego wykradziono kopie rejestrów wyborców przechowywane dla celów badawczych i analitycznych. Naruszono także bezpieczeństwo „systemów kontroli” i poczty elektronicznej. Cyberatak wykryto dopiero w październiku ubiegłego roku.
W wyniku incydentu pokrzywdzonych zostało wiele milionów osób. Szef Komisji – Shaun McNally – powiedział, że instytucja zdawała sobie sprawę z tego, że cyberprzestępcy mogą mieć możliwość dostępu do jej systemów, jednak nie potrafiła samodzielnie zidentyfikować, które pliki mogły paść ich łupem.
Ile dokładnie osób ucierpiało? Tego nie da się z całą pewnością stwierdzić – według Komisji Wyborczej, rejestr na każdy rok zawierał dane ok. 40 mln osób, a wyciekły rejestry z ostatnich ośmiu lat.
Co wykradli cyberprzestępcy?
Powołując się na oficjalny komunikat Komisji Wyborczej, serwis BBC informuje, że sprawcy uzyskali dostęp do rejestrów wyborców, które zawierały imiona, nazwiska i adresy osób zarejestrowanych do głosowania w wyborach w Wielkiej Brytanii w latach od 2014 r. do 2022 r. Oprócz danych osób mieszkających na Wyspach, w rejestrach znajdowały się również informacje dotyczące wyborców mieszkających w innych krajach, a uprawnionych do głosowania w Zjednoczonym Królestwie.
Naruszono również bezpieczeństwo informacji osób, które nie życzyły sobie, aby ich dane były ujęte w otwartym rejestrze – ten nie jest dostępny publicznie, ale – jak przypomina brytyjski nadawca – może być np. wykupiony przez instytucje finansowe chcące sprawdzać zdolność kredytową swoich klientów.
Dane, które nie zostały naruszone, to informacje o osobach, które mają prawo być uwzględnione w rejestrze wyborców jako podmioty zanonimizowane (np. ze względów bezpieczeństwa).
Jak duże ryzyko niesie cyberatak na rejestry?
Dane takie jak imiona i nazwiska oraz adres zamieszkania same w sobie nie stwarzają w opinii Komisji Wyborczej Wielkiej Brytanii wielkiego ryzyka – jednak, jak zastrzega instytucja, mogą być one zestawiane z innymi informacjami i być wykorzystywane np. do profilowania osób.
Cyberatak został wykryty po ponad roku – w październiku 2022 r. i dopiero wtedy podjęto działania zaradcze. Komisja dodaje, że nie informowała o incydencie wcześniej, bo wpierw trzeba było odciąć sprawcom dostęp do infrastruktury, a potem ocenić, jak daleko sięgają skutki cyberataku i wdrożyć odpowiednie mechanizmy bezpieczeństwa.
Zdaniem instytucji, cyberatak był bardzo wyszukany i skomplikowany, a sprawcy zrobili wiele, aby ukryć się przed wzrokiem administratorów systemów.
Wybory przez internet to zły pomysł
Jaki może być cel takiego cyberataku? Przede wszystkim pozyskanie jak największej ilości informacji o wyborcach, po to, aby wpływać na ich decyzje przy urnie.
Cyberatak na Komisję Wyborczą Wielkiej Brytanii pokazuje, że nawet kraj dobrze przygotowany do odpierania cyberzagrożeń i biorący na poważnie kwestie związane z bezpieczeństwem państwa w cyberprzestrzeni, jest podatny na tego rodzaju zagrożenia.
Dlatego należy szalenie ostrożnie podchodzić do kwestii realizacji wyborów przez internet, co bardzo często przedstawiane jest jako pomysł innowacyjny i wynoszący nas cywilizacyjnie na „nowy, lepszy poziom” – a takie obietnice lubimy ze względu na ich korzystny wpływ na nasze samopoczucie jako społeczeństwa.
Wyobraźmy sobie sytuację, w której dochodzi nie do ataku na rejestr wyborców, ale na infrastrukturę do obsługi samego głosowania – i to w sytuacji, w której nie jesteśmy najlepiej przygotowani do walki z takim scenariuszem.
Więcej o ryzyku związanym z wyborami przez internet można przeczytać na naszych łamach w tym tekście.
