Hur Bulgarien blev hackad
Data från nästan varje vuxen person i Balkanlandet har stulits i skattemyndighetsbrott
Thomas Samson/AFP/Getty Images
Bulgariens regering har avslöjat att ett stort dataintrång mot servrar hos dess nationella skattemyndighet kan ha påverkat mer än fem miljoner människor – i ett land med en total befolkning på bara 7,1 miljoner.
Hackare ska ha riktat in sig på Bulgariens National Revenue Agency (NRA) i en attack i slutet av juni som kan ha pågått under en tid, The New York Times rapporterar.
Enligt teknisk ny sida Nästa webb , den stulna informationen inkluderar kortuppgifter, pin-nummer, adresser och även inkomstdata.
Intrånget hölls hemligt fram till denna vecka, då ett antal bulgariska nyhetsbyråer fick ett mejl där de hävdade ansvaret för det massiva intrånget.
Författaren till e-postmeddelandet, som påstår sig vara en rysk hackare, erbjöd media tillgång till de stulna uppgifterna men avslöjade motivet till attacken. E-postmeddelandet beskrev den bulgariska regeringen som korrupt och sa att intrånget hade äventyrat mer än 110 databaser, inklusive kritiskt konfidentiell information, Reuters rapporterar.
Finansminister Vladislav Goranov bestred påståendena och insisterade på att den läckta informationen inte var hemligstämplad och inte äventyrade den finansiella stabiliteten. Ändå bad han nationen om ursäkt och betonade att alla som upptäcks försöka utnyttja uppgifterna skulle falla under inverkan av bulgarisk lag.
På tisdagen grep de bulgariska myndigheterna en 20-årig medborgare misstänkt för inblandning i attacken. Han identifierades av sin advokat som Kristiyan Boikov, anställd på det amerikanska cybersäkerhetsföretaget TAD Group, som har kontor i Bulgariens huvudstad Sofia.
Premiärminister Boyko Borissov talade vid ett regeringsmöte på onsdagen och beskrev Boikov som en trollkarl, Väktaren rapporterar. Cybersäkerhetsarbetaren gjorde också nationella nyheter 2017, efter att ha avslöjat brister på det bulgariska utbildningsministeriets webbplats, tillägger tidningen.
Cybersäkerhetsforskaren Vesselin Bontchev, biträdande professor vid Sofias bulgariska vetenskapsakademi, sa till Reuters att det var säkert att säga att personuppgifterna för praktiskt taget hela den bulgariska vuxna befolkningen har äventyrats i den senaste attacken.
Han noterade att som det första allmänt kända stora dataintrånget i Bulgarien kommer attacken sannolikt att underblåsa debatten om landets till synes slappa cybersäkerhetsinfrastruktur.
Anledningen till attackens framgång verkar inte vara hackarens sofistikerade, utan snarare dålig säkerhetspraxis hos NRA, säger Bozhidar Bozhanov, vd på cybersäkerhetsföretaget LogSentinel.
Inquirer håller med om att intrånget kan ha berott på sårbarheter i myndighetens skatteanmälningssystem online och allmänt dåliga cybersäkerhetsmetoder, och tillägger att sådana problem tenderar att vara lite av ett tema i regeringar som tenderar att sluta med stora och komplexa äldre system.
I cybersäkerhetstermer kan ett äldre system definieras som vilket system som helst som är tillräckligt gammalt för att öka användarens sårbarhet för aktuella tekniska hot. Dessa system kan finnas kvar för att undvika uppgraderingskostnader, eftersom vissa applikationer förlitar sig på den äldre versionen för att fungera, eller helt enkelt som ett resultat av felplacerad självbelåtenhet.
NRA står nu inför böter på upp till 20 miljoner euro (22,43 miljoner USD) för hacket enligt EU:s GDPR-förordningar, som trädde i kraft 2018. Enligt den nya dataskyddslagen kan NRA bötfällas med upp till 4 % av sin årliga omsättning.
Och som Al Jazeera rapporterar, detta är ingen bluff. Tidigare den här månaden drabbades British Airways av 183 miljoner pund i böter - motsvarande 1,5 % av flygbolagets omsättning - för ett hack som ledde till att 500 miljoner kunders personliga uppgifter äventyrades.
