Izgudrotājs Raimonds Skuruls, kurš notiesāts par izspiešanu saistībā ar Ceļu satiksmes drošības direkcijas (CSDD) informācijas tehnoloģiju (IT) sistēmā atklātu drošības ievainojamību, spriedumu uzskata par nepamatotu, informēja Skuruls.
Viņš norādīja, ka iepriekšējo instanču tiesas spriedumi jau divas reizes tika atcelti Augstākajā tiesā (AT) un nodoti jaunai izskatīšanai.
Viņaprāt, pēc AT 2023. gada sprieduma, kad AT lietu pirmo reizi nodeva jaunai izskatīšanai, ne viņam, ne AT netika sniegta motivēta atbilde par to, kāds tieši noziedzīgs nodarījums noticis.
Skuruls arī apšauba apsūdzības pamatā esošos faktus, norādot, ka CSDD 2018. gadā iesniegumā esot atklājies, ka viņam piedēvētā informācija par smagāko tehnisko ievainojamību patiesībā bija CSDD pašas iekšēji atklāts fakts, nevis viņa ziņojums.
Tāpat Skuruls apgalvo, ka CSDD valdes priekšsēdētājs 2024. gadā publiskā intervijā par šo lietu izteicis vismaz divus, viņaprāt, pārbaudāmi nepatiesus apgalvojumus. Uz konkrētiem jautājumiem par šiem apgalvojumiem CSDD, pēc Skurula teiktā, atbildējusi formāli un izvairīgi.
Skuruls uzsvēra, ka viņa mērķis, atklājot CSDD sistēmas ievainojamību, nebija to izmantot, bet gan vērst uzmanību uz drošības problēmu.
Viņš nepiekrīt tiesas vērtējumam par savu rīcību un joprojām uzskata, ka spriedums nav pienācīgi pamatots.
Jau ziņots, ka ceturtdien stājies spēkā Vidzemes apgabaltiesas spriedums, ar kuru Skurulam par izspiešanu saistībā ar CSDD IT sistēmā atklātu drošības ievainojamību piespriests naudas sods 4290 eiro apmērā.
AT lēma neierosināt kasācijas tiesvedību krimināllietā, secinot, ka Skurula rīcība nav vērtējama kā civiltiesisks darījums, jo apsūdzētais, pieprasot samaksu par atklāto ievainojamību CSDD autorizācijas sistēmā, piedraudēja naudas nesamaksāšanas gadījumā publicēt masu medijos ziņas par atklāto CSDD reģistra ievainojamību, nevis atbildīgi ziņoja CSDD par atklāto sistēmas ievainojamību.
AT secināja, ka Skurula kasācijas sūdzībā norādītie argumenti par viņa nevainīgumu noziegumā pēc būtības ir pamatoti ar viņa atšķirīgo viedokli par lietā esošo pierādījumu ticamības un pietiekamības vērtējumu.
Tiesa norādīja, ka kasācijas sūdzības argumenti šajā daļā faktiski pauž sūdzības iesniedzēja neapmierinātību ar tiem secinājumiem, kādus izdarījusi apelācijas instances tiesa, izvērtējot lietā esošos pierādījumus, un vērsti uz to, lai panāktu apelācijas instances tiesas nolēmuma atcelšanu nevis juridisku, bet faktisku iemeslu dēļ, kas ir pretrunā ar Kriminālprocesa likumu.
Pērn AT lietu nodeva atkārtotai skatīšanai Latgales apgabaltiesā, norādot, ka tiesas lēmumā norādīts, ka apelācijas instances tiesa, atkārtoti izskatot lietu, nav ņēmusi vērā AT 2023. gada 20. jūnija lēmumā paustās atziņas šajā lietā, kas noveda pie nelikumīgas apsūdzētā stāvokļa pasliktināšanas.
Proti, apelācijas instances tiesa jau 2022. gadā bija lēmusi, ka apsūdzētais nebija radījis Transportlīdzekļu un to vadītāju valsts reģistra sistēmas ievainojamību, bet gan to atklājis, turklāt uzturēt informācijas tehnoloģiju drošību un novērst sistēmas ievainojamību bija CSDD, nevis apsūdzētā pienākums. Par attaisnojošo apelācijas instances spriedumu kasācijas protestu iesniedza prokurors, kurš savā protestā neapstrīdēja šo tiesas argumentu par cēloņsakarības neesamību starp apsūdzētā noziedzīgajām darbībām un radītajiem zaudējumiem.
Iepriekš vēstīts, ka CSDD un Valsts policija (VP) 2018. gada novembrī paziņoja, ka esot atklājuši kādas personas nesankcionētu mēģinājumu piekļūt transportlīdzekļu reģistram un mēģinājumu izspiest naudu. VP Kibernoziegumu apkarošanas nodaļas amatpersonas tolaik sāka kriminālprocesu par informācijas sistēmas darbības traucēšanas mēģinājumu un izspiešanas mēģinājumu mantkārīgos nolūkos.
Policija toreiz aizturēja Skurulu, kuru uz pāris dienām ievietoja īslaicīgās aizturēšanas izolatorā.
Skuruls ir radioinženieris un inženieris konstruktors, kuram savulaik par kādu izgudrojumu pasniegta Latvijas Zinātņu akadēmijas un Latvijas Patentu valdes prestižā Valtera Capa balva.
Kā vēstīja laikraksts “Latvijas Avīze”, 2018. gada oktobrī Skuruls zvanījis uz CSDD, nosaucis savu vārdu un informējis, ka viņš konstatējis iespējamu autorizācijas ievainojamību CSDD nodrošinātajos e-pakalpojumos saistībā ar “Transportlīdzekļu un to vadītāju valsts reģistru”. Sazvanītie CSDD darbinieki vairākas reizes sūtījuši zvanītāju no vienas personas pie citas, līdz Skuruls palūdzis, lai ar viņu sazinās kāds konsultants, kas būtu kompetents šajā jautājumā un saprastu problēmas nopietnību.
CSDD kā konsultantu saziņai ar Skurulu piesaistījis juridisku personu SIA “WeAreDots”. Šī uzņēmuma vārdā ar Skurulu sazinājies IT drošības risinājumu grupas vadītājs Kaspars Līcis.
Kad CSDD brīdinājumu par autorizācijas ievainojamību tomēr ņēmusi nopietni, tā paralēli sākusi sava reģistra drošības pārbaudi. Tam norīkoja trīs CSDD darbiniekus – programmētājus, kam pēc tam par virsstundu darbu tika samaksāti 3074,52 eiro. Pēc nedēļas darba viena ievainojamība tikusi atklāta, tikai CSDD speciālistiem nebijis skaidrs, vai tā ir tā pati, par kuru brīdināja Skuruls. Kā vēlāk izrādījās, tas bijis cits CSDD informācijas sistēmas defekts, bet savā ziņā līdzīgs, jo vienotās pieteikšanās modulī pastāvējusi iespēja autorizēties ar citas personas identitāti.
Vienlaikus “WeAreDots” darbinieks Līcis turpināja komunicēt ar Skurulu. Arī izgudrotājs, kuram bija radušās aizdomas par CSDD autorizācijas ievainojamību, tās atklāšanai bija patērējis daudz stundu sava darba, tāpēc Skuruls uzskatīja, ka viņam savs ieguldījums nav jādāvina un viņš par savu pakalpojumu vēlējies 1000 eiro atlīdzību. Pēc saziņas “WeAreDots” noslēdzis līgumu ar Skurula uzņēmumu “Acoustic Power LAB”. Līgumā bijis noteikts, ka vispirms Skuruls nosūtīs Līcim visus viņa rīcībā esošos materiālus par autorizācijas ievainojamību, tad “WeAreDots” to pārbaudīs un izvērtēs, vai CSDD drošības sistēmai tiešām ir tāda problēma. Konstatējot, ka ievainojamība ir reāla, Līcis dotu ziņu Skurulam, lai tas sava uzņēmuma vārdā izraksta rēķinu par 1000 eiro.
Pēc tam, kad abas puses noslēdza līgumu, to parakstot elektroniski, Skuruls pa e-pastu nosūtīja Līcim informāciju, atklājot nepilnību interneta vietnes “e-csdd.lv” autorizācijas mehānismā, kas ļāva iegūt neautorizētu pieeju darbībām. Skuruls esot izpētījis, kā darbojas šī ievainojamība, bet pats to neesot izmantojis, tāpēc par sistēmas darbības traucēšanas mēģinājumu, par ko viņš sākotnēji tika turēts aizdomās, apsūdzība Skurulam netika uzrādīta. Izgudrotājs ir pārliecināts, ka gadījumā, ja par šo ievainojamību uzzinātu kādas personas ar kriminālām tendencēm, tās varētu ne tikai iegūt visu informāciju no CSDD datu bāzēm, bet pat, piemēram, pārreģistrēt jebkuru transportlīdzekli no vienas personas uz jebkuru citu.
“Sadarbība” rezultējās ar to, ka CSDD vadība oktobra nogalē vērsās ar iesniegumu Valsts policijā, kas sāka kriminālprocesu. Kā atzīmē laikraksts, Skurula situāciju lietā pasliktina tas, ka, komunicējot ar CSDD darbiniekiem, viņš izteicās, ka gadījumā, ja viņi neko nedarīs, viņš par “caurumu” drošības sistēmā informēs Latvijas sabiedrību, izmantojot tam plašsaziņas līdzekļus.
2021. gada septembrī ar Rēzeknes tiesas spriedumu Skuruls tika atzīts par vainīgu un sodīts ar naudas sodu 12 minimālo mēnešalgu apmērā. Cietušais uzņēmums jeb CSDD uzskata, ka izgudrotājs tam ar savu informāciju par autorizācijas ievainojamību turklāt esot nodarījis būtisku materiālo kaitējumu 3459,52 eiro apmērā, kas veidojās kā darba samaksa trim CSDD programmētājiem, kuri nedēļas laikā tā arī neatrada “caurumu sistēmā”, un CSDD samaksa uzņēmumam “WeAreDots” par konsultācijām.
Apsūdzētais pirmās instances tiesas spriedumu pārsūdzēja Latgales apgabaltiesā, kas lēma viņu atzīt par nevainīgu un attaisnot. Ar tādu spriedumu mierā nebija prokurors, kurš ar kasācijas sūdzību vērsās AT. Trīs senatori lēma atcelt Latgales apgabaltiesas 2022. gada 2. jūnija spriedumu pilnībā un lietu nosūtīt jaunai izskatīšanai Latgales apgabaltiesā. Latgales apgabaltiesa nolēma atstāt spēkā Rēzeknes tiesas spriedumu, saskaņā ar kuru Skurulam jāmaksā naudas sods 8400 eiro, kā arī jākompensē CSDD 3459 eiro.