Valsts prezidents apžēlojis izgudrotāju Skurulu 2

Valsts prezidents Edgars Rinkēvičs apžēlojis izgudrotāju Raimondu Skurulu, kurš tika notiesāts par izspiešanu saistībā ar Ceļu satiksmes drošības direkcijas (CSDD) informācijas tehnoloģiju (IT) sistēmā atklātu drošības ievainojamību, aģentūrai LETA apliecināja prezidenta padomnieks Mārtiņš Drēģeris.

Viņš stāsta, ka Rinkēvičs ir iepazinies ar tiesu nolēmumiem un neapšauba to tiesiskumu.

Vienlaikus, ievērojot valsts informācijas sistēmu drošības nozīmīgumu, kas ietver arī valsts iestāžu pienākumu pastāvīgi novērst iespējamās informācijas sistēmu ievainojamības, kā arī sabiedrības intereses kiberdrošības jomā un centienus veicināt ievainojamību labticīgu atklāšanu, Valsts prezidents uzskata, ka sabiedrības ieguvums no Skuruļa rīcības ir bijis ievērojami lielāks nekā viņa nodarījums.

Tādējādi, pamatojoties uz Satversmes 45. pantu un Apžēlošanas likuma 4. pantu, Rinkēvičs 15. septembrī nolēma Skurulu atbrīvot no pamatsoda izciešanas un noņemt sodāmību.

Satversmes 45. pants nosaka, ka Valsts prezidentam ir tiesība apžēlot noziedzniekus, par kuriem tiesas spriedums stājies likumīgā spēkā. Savukārt Apžēlošanas likuma 4. pantā teikts, ka Valsts prezidents notiesāto personu var apžēlot arī pats pēc savas iniciatīvas.

Jau ziņots, ka septembra sākumā stājās spēkā Vidzemes apgabaltiesas spriedums, ar kuru Skurulam par izspiešanu saistībā ar CSDD IT sistēmā atklātu drošības ievainojamību piespriests naudas sods 4290 eiro apmērā.

CSDD un Valsts policija (VP) 2018. gada novembrī paziņoja, ka esot atklājuši kādas personas nesankcionētu mēģinājumu piekļūt transportlīdzekļu reģistram un mēģinājumu izspiest naudu. VP Kibernoziegumu apkarošanas nodaļas amatpersonas tolaik sāka kriminālprocesu par informācijas sistēmas darbības traucēšanas mēģinājumu un izspiešanas mēģinājumu mantkārīgos nolūkos.

Policija toreiz aizturēja Skurulu, kuru uz pāris dienām ievietoja īslaicīgās aizturēšanas izolatorā. Skuruls ir radioinženieris un inženieris konstruktors, kuram savulaik par kādu izgudrojumu pasniegta Latvijas Zinātņu akadēmijas un Latvijas Patentu valdes prestižā Valtera Capa balva.

Kā vēstīja laikraksts "Latvijas Avīze", 2018. gada oktobrī Skuruls zvanījis uz CSDD, nosaucis savu vārdu un informējis, ka viņš konstatējis iespējamu autorizācijas ievainojamību CSDD nodrošinātajos e-pakalpojumos saistībā ar "Transportlīdzekļu un to vadītāju valsts reģistru". Sazvanītie CSDD darbinieki vairākas reizes sūtījuši zvanītāju no vienas personas pie citas, līdz Skuruls palūdzis, lai ar viņu sazinās kāds konsultants, kas būtu kompetents šajā jautājumā un saprastu problēmas nopietnību.

CSDD kā konsultantu saziņai ar Skurulu piesaistījis juridisku personu SIA "WeAreDots". Šī uzņēmuma vārdā ar Skurulu sazinājies IT drošības risinājumu grupas vadītājs Kaspars Līcis.

Kad CSDD brīdinājumu par autorizācijas ievainojamību tomēr ņēmusi nopietni, tā paralēli sākusi sava reģistra drošības pārbaudi. Tam norīkoja trīs CSDD darbiniekus - programmētājus, kam pēc tam par virsstundu darbu tika samaksāti 3074,52 eiro. Pēc nedēļas darba viena ievainojamība tikusi atklāta, tikai CSDD speciālistiem nebijis skaidrs, vai tā ir tā pati, par kuru brīdināja Skuruls. Kā vēlāk izrādījās, tas bijis cits CSDD informācijas sistēmas defekts, bet savā ziņā līdzīgs, jo vienotās pieteikšanās modulī pastāvējusi iespēja autorizēties ar citas personas identitāti.

Vienlaikus "WeAreDots" darbinieks Līcis turpināja komunicēt ar Skurulu. Arī izgudrotājs, kuram bija radušās aizdomas par CSDD autorizācijas ievainojamību, tās atklāšanai bija patērējis daudz stundu sava darba, tāpēc Skuruls uzskatīja, ka viņam savs ieguldījums nav jādāvina un viņš par savu pakalpojumu vēlējies 1000 eiro atlīdzību. Pēc saziņas "WeAreDots" noslēdzis līgumu ar Skurula uzņēmumu "Acoustic Power LAB". Līgumā bijis noteikts, ka vispirms Skuruls nosūtīs Līcim visus viņa rīcībā esošos materiālus par autorizācijas ievainojamību, tad "WeAreDots" to pārbaudīs un izvērtēs, vai CSDD drošības sistēmai tiešām ir tāda problēma. Konstatējot, ka ievainojamība ir reāla, Līcis dotu ziņu Skurulam, lai tas sava uzņēmuma vārdā izraksta rēķinu par 1000 eiro.

Pēc tam, kad abas puses noslēdza līgumu, to parakstot elektroniski, Skuruls pa e-pastu nosūtīja Līcim informāciju, atklājot nepilnību interneta vietnes "e-csdd.lv" autorizācijas mehānismā, kas ļāva iegūt neautorizētu pieeju darbībām. Skuruls esot izpētījis, kā darbojas šī ievainojamība, bet pats to neesot izmantojis, tāpēc par sistēmas darbības traucēšanas mēģinājumu, par ko viņš sākotnēji tika turēts aizdomās, apsūdzība Skurulam netika uzrādīta. Izgudrotājs ir pārliecināts, ka gadījumā, ja par šo ievainojamību uzzinātu kādas personas ar kriminālām tendencēm, tās varētu ne tikai iegūt visu informāciju no CSDD datu bāzēm, bet pat, piemēram, pārreģistrēt jebkuru transportlīdzekli no vienas personas uz jebkuru citu.

"Sadarbība" rezultējās ar to, ka CSDD vadība oktobra nogalē vērsās ar iesniegumu Valsts policijā, kas sāka kriminālprocesu. Kā atzīmē laikraksts, Skurula situāciju lietā pasliktina tas, ka, komunicējot ar CSDD darbiniekiem, viņš izteicās, ka gadījumā, ja viņi neko nedarīs, viņš par "caurumu" drošības sistēmā informēs Latvijas sabiedrību, izmantojot tam plašsaziņas līdzekļus.

Cietušais uzņēmums jeb CSDD uzskata, ka izgudrotājs tam ar savu informāciju par autorizācijas ievainojamību turklāt esot nodarījis būtisku materiālo kaitējumu 3459,52 eiro apmērā, kas veidojās kā darba samaksa trim CSDD programmētājiem, kuri nedēļas laikā tā arī neatrada "caurumu sistēmā", un CSDD samaksa uzņēmumam "WeAreDots" par konsultācijām.

Apsūdzētais pirmās instances tiesas spriedumu pārsūdzēja Latgales apgabaltiesā, kas lēma viņu atzīt par nevainīgu un attaisnot. Ar tādu spriedumu mierā nebija prokurors, kurš ar kasācijas sūdzību vērsās Augstākajā tiesā (AT). Trīs senatori lēma atcelt Latgales apgabaltiesas 2022. gada 2. jūnija spriedumu pilnībā un lietu nosūtīt jaunai izskatīšanai Latgales apgabaltiesā. Latgales apgabaltiesa nolēma atstāt spēkā Rēzeknes tiesas spriedumu, saskaņā ar kuru Skurulam jāmaksā naudas sods 8400 eiro, kā arī jākompensē CSDD 3459 eiro.