Në gusht 2023, një ndërhyrje e paligjshme në sistemin TIMS të Policisë së Shtetit nxiti një hetim të thelluar. Pavarësisht njoftimeve të hershme nga nënpunësit e IT të Drejtorisë së Policisë, autoritetet reaguan vetëm pas 20 orësh. Drejtori i IT u ndalua gjatë kopjimit të të dhënave të TIMS dhe hetimi ende ndodhet në fazën fillestare. Ky rast zbuloi emërime të paligjshme në role të IT-së së policisë, përfshirë atë të drejtorit Muça dhe nënpunësve të tij, duke ngritur shqetësime mbi sigurinë e të dhënave dhe keqpërdorimin e tyre. Hetimet vijojnë pa një të pandehur, ndërsa ekspertët ngrenë shqetësim për implikime të përdorimit të të dhënave të ndjeshme për qëllime kriminale ose shantazhi.
Autor: Ferdinand Dervishi
Këtë radhë nuk janë iranianët. Në datën 2 gusht 2023, në mesnatë, redaksive të disa mediave, Drejtorisë së Përgjithshme të Policisë, Ministrisë së Brendshme, Shërbimit Sekret, SPAK, Kryeministrisë, iu dërgua një email alarmant, ku përshkruhej një tentativë e paligjshme për të ndërhyrë në të dhënat e sistemit TIMS të Policisë së Shtetit nga vetë drejtuesi i sapoemëruar i Departamentit të Teknologjisë së Informacionit, Ervin Muça.
Ndërhyrja zgjati pothuaj rreth 20 orë, kohë gjatë së cilës drejtuesit e Policisë së Shtetit, edhe pse të njoftuar, nuk reaguan.
Policia reagoi vetëm mëngjesin e datës 3 gusht. Rreth orës 1000 të mëngjesit drejtori Muça kapet nga kolegët e hetimit, në veprim e sipër, duke kopjuar të dhënat e sistemit TIMS.
Hard-drive i përdorur për të marrë të dhënat bllokohet me cilësinë e provës, administrohen dëshmitë e të gjithë të implikuarve dhe dëshmitarëve, si dhe përmbajtja e kamerave që monitoronin ambientet.
Akuza zyrtare formulohet: “Shpërdorim detyre dhe hyrje e paautorizuar, kompjuterike”.
Dosja hetimore u dërgua më 8 gusht 2023 në Prokurorinë e Tiranës si kallëzim penal. Burime nga Prokuroria e Tiranës pohuan për autorin e shkrimit se “është vetëm një person i kallëzuar, Ervin Muça, drejtori i Departamentit të IT-së në Policinë e Shtetit. Po hetohet në dy drejtime. Janë marrë në pyetje dhe do vijojnë të merren personazhet e përfshirë në këtë ngjarje. Sipas të dhënave paraprake, është evidentuar zhvillimi i një procedure backup (kopje), por ende nuk ka mbërritur akti zyrtar i ekspertimit nga laboratori i SPAK. Hetimi përfshin njëkohësisht edhe procedurën e emërimit të Ervin Muçës në postin e drejtorit të Departamentit të IT në Policinë e Shtetit”.
Zyrtarisht ngjarja u mbajt e mbyllur. Gjithçka ndryshoi pas publikimit të saj në media dhe sidomos pas impaktit të shtuar në publik.
I pari, që do të reagonte publikisht, më 23 gusht 2023, me anë të një opinioni në faqen e tij në LinkedIn, do të ishte i akuzuari kryesor për ngjarjen, Ervin Muça. Ai shkruante se, bashkë me ekipin e tij kishin dashur vetëm të bënin një backup (kopje rezervë) të materialeve të sistemit TIMS, për të siguruar data-bazën e të dhënave nga ndonjë sulm eventual, kibernetik. I kontaktuar nga INA Media, Ervin Muça nuk iu përgjigj pyetjes, nëse e kishte ndryshuar qëndrimin fillestar, që justifikonte ndërhyrjen në sistemin TIMS me kryerjen e procedurës “backup”.
Ekspertët e sigurisë kibernetike e rrëzojë alibinë e drejtorit Muça. “Backup të sistemeve kritike, sikurse TIMS, bëhen në mënyrë automatike, të përditshme. Këto sisteme monitorohen dhe çdo backup i parealizuar njofton të gjithë zinxhirin e menaxhimit. Sistemet, sikurse TIMS, nuk mund të ruhen në storage (hard disk ose USB) të jashtme”, – pohoi për INA Media-n Besmir Semanaj, ekspert i sigurisë kibernetike.
Më 25 gusht 2023, edhe kryeministri, Edi Rama, e rrëzoi pretendimin e drejtorit, Ervin Muça, i cili e justifikonte ndërhyrjen në sistemin TIMS, me qëllimin për të kryer procedurën e pakryer të backup-it.
“… ngjarja e rëndë nuk ka ndodhur, se s’ka pasur as mundësi të ndodhë, sepse, në përpjekje për të bërë backup-in, ka dalë që s’ka backup fare”, – siguroi kryeministri.
Në të njëjtën linjë, më 30 gusht, ministri i Brendshëm, Taulant Balla, nuk përmendi si argument kryerjen e procedurës së backup-it, por gjithsesi mori në mbrojtje autorët e ndërhyrjes në sistemin TIMS.
“E vërteta është që një ekip i ri i brenda Drejtorisë së Përgjithshme të Policisë nga qershori ka marrë përsipër një ndryshim tërësor të mënyrës së administrimit teknik dhe të sigurisë…”, – deklaroi Balla.
Përkundër akuzave alarmante në media, krerët e shtetit shqiptar nxituan që ta minimizonin ngjarjen për publikun, ndërsa opozita, me gjithë këmbënguljen, dështoi që të mundësonte krijimin e një komisioni hetimor, parlamentar për hetimin e ndërhyrjes në sistemin TIMS.
“Fakti që ngjarja mbetet pa transparencë, nuk e kemi të sigurt, nëse kemi vetëm kopjim, por, edhe nëse kemi kopjim, atëherë do të thotë që janë kopjuar të dhëna sensitive, hyrje-dalje, shenjat e gishtave, informacione mbi persona në hetim apo survejim etj. Kjo mund të jetë një data-bazë shumë e rëndësishme për grupet kriminale, për të parë lëvizjet e bandave rivale”, – thotë Gent Progni, ekspert IT.
“Data-baza të tilla, nëse shiten në tregun e zi, kapin vlera në miliona euro”, – ngre më tej alarmin ai.
Por, më shqetësues, sipas tij, është fakti se këto të dhëna mund të përdoren për të ndryshuar identitetin apo për manipulim të skenave të krimit.
“Problem më të madh shoh dublikimin e identitetit, përdorimin e gjurmëve të gishtërinjve në ngjarje të ndryshme e deri te shantazhi. Grupe të caktuara mund t`i përdorin këto të dhëna, për të eliminuar persona të tjerë ose për të ndryshuar identitetin e pjesëtarëve të bandave”, – thotë Progni.
Emërimet e paligjshme të “ekipit të ri”
Në gjithë këtë histori pjesa më e rëndë është ajo e emërimeve në majën e kupolës së Policisë së Shtetit të anëtarëve të “ekipit të ri”, të cilët rezultojnë me të shkuar të errët, përfshirë edhe problemet penale.
Ervin Muça në dhjetor të vitit 2021 ishte marrë “nën hetim në gjendje të lirë” për skandalin e publikimit të të dhënave të pagave të qytetarëve shqiptarë.
Megjithëkëtë, ai u emërua nga Drejtori i Përgjithshëm, Muhamet Rrumbullaku, (me urdhër të Ministrit të Brendshëm Bledi Çuçi), në datën 27 qershor 2023, me nr. Prot. 1178/5, në postin e Drejtorit të Departamentit të IT në Policinë e Shtetit, duke kapërcyer e duke shkelur ligjet.
Shkelja më e rëndë mban firmën e ish-ministrit të Brendshëm, Bledi Çuçi, sepse dokumenti nr. 83, datë 16.06.2023, i ministrit Çuçi për emërimin e Ervin Muçës është më i hershmi në kohë. Pra, fillimisht ministri ka urdhëruar emërimin e Ervin Muçës dhe më pas janë bërë gati të gjitha procedurat, nisur nga rregullimet ligjore.
Ervin Muça është prezantuar në detyrë dhe e ka nisur atë më 19 qershor 2023, saktësisht 3 ditë pas urdhrit ministror dhe 9 ditë përpara emërimit zyrtar.
Procedura e emërimit dëshmon shkelje të ligjeve, një pas një, nisur nga mos-shpallja e vendit vakant, testimi pa konkurrentë, komision me kryetar të paligjshëm për vlerësimin e konkurrentit, moskryerje e kursit 4-mujor në Akademinë e Sigurisë “për funksionet e veçanta në Policinë e Shtetit”, moskryerje e kursit për fitimin e gradës Drejtues i Lartë, mosdorëzim i formularit të dekriminalizimit dhe vërtetimit të besueshmërisë, mungesë e shenjave të gishtave etj.
Shkelja më e rëndë ligjore është emërimi i Ervin Muçës pa pasur certifikatë të sigurisë së personelit (CSP).
Ai rezulton të ketë punuar pa CSP për të paktën tre muaj nga data e emërimit, duke pasur akses në mënyrë të paligjshme në informacionet sekrete të policisë. Kjo u konfirmua zyrtarisht për INA Media-n nga Autoriteti Kombëtar për Sigurinë e Informacionit të Klasifikuar (AKSIK).
“Ervin Muça nuk është i pajisur me CSP (certifikatë të sigurisë së personelit) dhe për rrjedhojë nuk ka asnjë kërkesë për konfirmim vlefshmërie dhe modelim në përputhje me të dhënat e reja të vendit të punës”, – pranon AKSIK.
Edhe Besjon Tonuzi, drejtor në Drejtorinë e Sistemeve në Departamentin e IT të Policisë së Shtetit, i akuzuar nga kolegët për ndërhyrjen në sistemin TIMS, është katapultuar në detyrë në thyerje të ligjit.
Paligjshmëria më e dukshme ka lidhje me arsimimin. Aty shkruhet se Tonuzi ka përfunduar studimet e larta për Administrim Biznesi, në një kohë që pozicioni i punës kërkon një specialist IT si kusht bazë për “pranimin në funksione të veçanta të Policisë së Shtetit”.
Pas shpërthimit të skandalit të ndërhyrjes në sistemin TIMS, në datën 24.08.2023, Tonuzin e larguan nga detyra me motivacionin: “Është konstatuar pavlefshmëria e aktit administrativ të pranimit”.
Personazhi tjetër, i emëruar në kundërshtim me ligjet e rregulloret e Policisë së Shtetit, është Ervina Gjana – Drejtoreshë e Drejtorisë së Antikrimit Kibernetik.
Gjana ishte proceduar penalisht në vitin 2014 nga Shërbimi i Kontrollit të Brendshëm të Policisë (SHKB) për përvetësim të hard disc-ut të kompjuterit personal, ndërkohë që ishte punonjëse (civile) në Drejtorinë e IT në Policinë e Shtetit. Por, prokurori i çështjes, Gj. Tako, e kishte zvogëluar çështjen në “Shkelje administrative”, duke mos marrë parasysh sugjerimin e oficerit të Policisë Gjyqësore.
Oficeri i Policisë Gjyqësore rekomandonte “…nevojën për hetime të mëtejshme për gjetjen dhe administrimin e provave të tjera pas kryerjes së ekspertimit kompjuterik, pasi dyshohet se në këtë hard disc mund të ketë informacion të klasifikuar, sekret…”
Edhe emërimi i Gjanës ka problemin e përshtatshmërisë së profesionit. Ajo ka përfunduar studimet për Inxhinieri Informatike, ndërkohë që Drejtoria për Hetimet e Krimeve Kibernetike është një strukturë hetimore.
Kjo sanksionohet edhe në formularin për shpalljen e vendit vakant, ku thuhet: “Të njohë në thellësi kërkesat ligjore e procedurale, që kanë të bëjnë me parandalimin, hetimin dhe gjurmimin, si dhe kërkesat për marrjen, grumbullimin dhe përpunimin e informacionit policor.”
Paligjshmëria vërtetohet edhe në dokumentin e emërimit. Drejtori Rrumbullaku e ka lënë të paplotësuar pjesën ku duhet të shënonte numrin dhe datën e shkresës së Akademisë së Sigurisë, që duhet të vërtetonte se Gjana kishte kryer kursin e trajnimit policor.
Edhe Gjana është emëruar në krye të Antikrimit Kibernetik e papajisur me certifikatë sigurie, të përshtatshme për detyrën e re. Mangësia ligjore për INA Media-n u konfirmua nga AKSIK. Pra, edhe Ervina Gjanës i është krijuar mundësia të ketë kontakt me informacionet sekrete, pa qenë e pajisur me certifikatën e nevojshme të sigurisë.
Por, ka edhe më keq. Në rastin e emërimit të Ervina Gjanës Policia e Shtetit ka bërë edhe një falsifikim “të vockël” në faqen e saj, zyrtare. Lajmërimi për shpalljen publike të vendit vakant në krye të Drejtorisë së Antikrimit Kibernetik mban datën 31.07.2023 dhe duket sikur është kompatibël me vendimin e emërimit të Ervina Gjanës, që mban datën 02.08.2023.
Por, gjithçka e tradhton aplikacioni we transfer, i përdorur për të ngarkuar të dhënat, që mban datën 21.08.2023 dhe që vërteton se shpallja për vendin vakant të Drejtorit të Antikrimit Kibernetik është bërë 19 ditë pas emërimit, më 02.08.2023, të kandidates së vetme, Ervina Gjana, në këtë post.
Emërimet e paligjshme të personazheve të dyshimtë në drejtim të strukturave, që ruajnë dhe që përpunojnë informacionet sekrete të policisë, nuk kanë të ndalur.
Më 3 nëntor 2023, Drejtori i Përgjithshëm, Muhamet Rrumbullaku, me propozim të Ervin Muçës, emëron në postin e Drejtorit të Drejtorisë së Programimit dhe Bazave të të Dhënave, në Departamentin e IT të Policisë së Shtetit, Elona Gogon.
Zonja Gogo është emëruar në të njëjtën mënyrë, me procedura të tejkaluara dhe të përshpejtuara, edhe pse ndërkohë ishte marrë nën hetim nga SPAK (më 26.09.2019), nën akuzën “Shkelje e barazisë së pjesëmarrësve në tenderë apo ankande publike”.
Seanca e parë në Gjykatën e Posaçme të Shkallës së Parë për Korrupsionin dhe Krimin e Organizuar u zhvillua në datën 07.06.2023.
Pas publikimit të rastit në media, më 9 nëntor, drejtori Rrumbullaku reagoi, duke e larguar Elona Gogon nga detyra me motivacionin: “Është konstatuar pavlefshmëria e aktit administrativ të pranimit”.
Shteti shkel Ligjin për Informimin
Investigative Network Albania, në kuadër të Ligjit për të Drejtën e Informimit, i kërkoi zyrtarisht Drejtorisë së Përgjithshme të Policisë dokumentacionin e emërimeve të “ekipit të ri”, si dhe sqarime për mangësitë ligjore gjatë procedurës së emërimeve.
Në një përgjigje zyrtare Drejtoria e Përgjithshme e Policisë refuzoi të dërgojë dokumentet e kërkuara, duke u justifikuar me përfundimin e hetimeve, edhe pse këto dokumente nuk kanë lidhje me sekretin hetimor, ndërsa Ministria e Brendshme nuk iu përgjigj një kërkese për informim të INA Media-s në lidhje me këto emërime.
Aspak në favor të transparencës nuk ishte as përgjigjja ndaj refuzimit të këtyre dy institucioneve e Komisionerit për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale.
Zyra e Komisionerit refuzoi që të detyronte Drejtorinë e Përgjithshme të Policisë dhe Ministrinë e Brendshme, që të plotësonin kërkesat për informim në rastin e emërimeve të Ervin Muçës, Besjon Tonuzit dhe Ervina Gjanës. Komisioneri shkruante se, kërkesa e gazetarëve ka pyetje edhe për procedurat (e emërimeve në këtë rast) dhe për rrjedhojë nuk është e rregullt.
Dëmet e “ekipit të ri”
“Ekipi i ri” i ministrit të Brendshëm, Taulant Balla, një pjesë e të cilit është përgjegjës për ndërhyrjen e datës 2 gusht 2023 në sistemin TIMS, vazhdon punën dhe paguhet me paratë tona, të taksapaguesve.
Sipas një konfirmimi të policisë për INA Media-n, Ervin Muça u pezullua më 3 gusht 2023 nga Komisioni Qendror i Apelimit, në Drejtorinë e Përgjithshme të Policisë pas nisjes së hetimit për shkelje të rëndë, disiplinore. Por, më 8 gusht 2023, bazuar në Rregulloren e Policisë së Shtetit, Komisioni Qendror i Apelimit ka bërë ndërprerjen e pezullimit, duke lejuar rikthimin e z. Muça në detyrë, me arsyetimin se “për të njëjtën çështje pritet një vendim-njoftim i zbatimit të ligjit nga Prokuroria e Tiranës”.
Ndërkohë që njerëzit, që deri asokohe mbanin disa pozicione kyçe, u hodhën në rrugë. Nevila Xoxen, Drejtoreshë e Departamentit të Shërbimeve Mbështetëse (struktura pararendëse, që u ngrit në nivel departamenti), të cilën e larguan për ta zëvendësuar me Ervin Muçën, fillimisht e punësuan pranë Drejtorit të Përgjithshëm, por pas shpërthimit të skandalit të ndërhyrjes në sistemin TIMS, Xoxen e “internuan” tek Akademia e Sigurisë, nga ku u largua me dorëheqje më 8 nëntor 2023.
Në përgjigje të kërkesës zyrtare, Drejtoria e Përgjithshme e Policisë nuk i sqaroi arsyet e largimit të Xoxes nga posti i Drejtoreshës së Departamentit të Shërbimeve Mbështetëse. Përpara saj kishin dhënë dorëheqje e ishin larguar edhe katër punonjës të tjerë të këtij sektori, që të gjithë për shkak të presionit të ushtruar nga Drejtori i ri i Departamentit të IT, Ervin Muça.
Ardit Muçon, numrin dy të Departamentit të IT, i specializuar në Shtetet e Bashkuara të Amerikës, të njëjtin që guxoi të ngrinte alarmin e të lajmëronte eprorët për ngjarjen e datës 2 gusht 2023, e ulën në detyrë, duke e detyruar, më 1 shtator 2023, të dorëhiqej, pas 12 vitesh karrierë në këtë sektor.
Bruno Veizajn, Drejtor i Programimit, specialistin që ka ndërtuar shumicën e programeve të Policisë së Shtetit, e kanë ulur në një detyrë, ku, pas vetes, shikon vetëm pastruesen.
Hergis Jicën, Drejtor i Antikrimit Kibernetik, i specializuar në Shtetet e Bashkuara të Amerikës, e ulën në detyrë në të njëjtin sektor, për ta zëvendësuar me Ervina Gjanën.
Përse duhej kopjuar TIMS?
Po përse duhej ndërmarrë risku i emërimeve të dyshimta në krye të Departamentit të IT në Policinë e Shtetit dhe më tej në krye të Antikrimit Kibernetik, si strukturë që ka përgjegjësinë e hetimit të veprimeve të paligjshme në fushën kompjuterike? Përse duhej kopjuar data-baza e TIMS? Për ekspertët i gjithë ky “operacion” ka lidhje me kontrollin e informacioneve të policisë, veçanërisht të informacionit sekret të sistemit TIMS.
Besmir Semanaj, ekspert i sigurisë kibernetike, argumenton se qëllimi mund të ketë qenë krejtësisht kriminal.
“Ekstraktimi i të dhënave në një USB apo hard drive të jashtëm është procesi i nxjerrjes selektive të të dhënave specifike nga një burim, shpesh për qëllime analize, raportimi ose migrimi (dërgimi diku tjetër). Por, në rastin tonë, nëse të dhënat janë kopjuar, qëllimi mund të ketë qenë për të pasur informacion të plotë për persona të caktuar, për t`i përdorur në vite sipas nevojave ose për të njoftuar persona të ndryshëm, që të ruhen dhe që të ndryshojnë qasje, nëse janë nën hetim, ashtu sikurse mund të përdoren edhe për shantazh”, – thotë Besmir Semanaj.
“Shantazhi mund të jetë një nga arsyet, informacione të tilla mund të ndikojnë te bota e biznesit, duke zbuluar me kë bashkëpunon ose me kë udhëton”, – shpjegon Gent Progni, një tjetër ekspert IT.
Të njëjtin mendim shqetësues ndau për INA Media-n edhe eksperti i njohur i kriminalistikës, Ervin Karamuço.
“Nxjerrja dhe transferimi i të dhënave të TIMS me gjasë ka patur për synim përdorimin e këtij materiali për qëllime të shantazheve individuale apo politike ndaj personave të caktuar, vendas ose të huaj, shitjen e këtyre të dhënave në tregun e zi, kombëtar ose ndërkombëtar, si dhe krijimin e një data-baze ilegale/paralele për qëllime të përpunimit të të dhënave ndaj personave të targetuar në mënyrë të paligjshme”, – thotë Karamuço.
“Ndërhyrja në sistemin TIMS mund të ketë lidhje edhe me kontrollin e informacioneve, që i shërbejnë hetimeve të SPAK në nivele të larta të politikës”, – përfundon ai.
Katër muaj pas ndërhyrjes së paligjshme në sistemin TIMS gjithçka ka mbetur e mjegullt dhe e paqartë. Prokuroria e Tiranës ende nuk ka njoftuar marrjen “Person nën hetim” të asnjë personi për ndërhyrjen ndaj sistemit TIMS, edhe pse paraprakisht ka pranuar se “është evidentuar zhvillimi i një procedure backup”.
Kjo do të thotë se personat përgjegjës për ndërhyrjen e paligjshme vijojnë të kenë kontakt me informacionet sekrete, edhe pse janë të papajisur me certifikata sigurie.
Ky shkrim është pjesë e projektit që mbështetet financiarisht nga Zyra e Mardhënieve me Publikun e Ambasadës së SH.B.A. në Tiranë. Opinionet, gjetjet, konkluzionet dhe rekomandimet e shprehura janë te autor-it/ve dhe nuk përfaqesojnë domosdoshmërisht ato të Departamentit të Shtetit. / This article is part of a project that is financially supported by the Public Relations Office of the US Embassy in Tirana. The opinions, findings, conclusions, and recommendations expressed are those of the author(s) and do not necessarily represent those of the Department of State.