Государство открытого доступа: данные россиян утекли через сайт РЖД и систему СОРМ

Государственным органам и компаниям становится все труднее сохранять в безопасности растущие объемы личных данных граждан. Только за один сегодняшний день стало известно о двух утечках, связанных с госструктурами. В результате одной из них в открытом доступе оказались данные 700 тысяч сотрудников РЖД, а в результате второй — данные сотен россиян утекли в сеть, предположительно, через систему прослушки СОРМ.

Утечка в РЖД

• Утечка данных сотрудников «Российских железных дорог» стала второй по масштабу в России в 2019 году после июньской утечкиданных 900 тысяч клиентов ОТП-банка, Альфа-банка и ХКФ-банка.
• Обнаружил утечку специалист по корпоративной защите данных, техдиректор DeviceLock Ашот Оганесян. В открытый доступ попали номера СНИЛС, адреса, телефоны, фото, ФИО и должности 703 тысяч сотрудников РЖД из 730 тысяч. Сайт с данными, скорее всего, будет в ближайшее время заблокирован, но Оганесян уверен, что данные уже скопированы и уже через пару дней начнуть гулять по рунету в виде базы данных в Excel.
• Специалист предполагает, что хакеры добыли базу данных службы безопасности РЖД со снимками на пропуска. Пользователи Habr, где Оганесян сообщил об утечке, предполагают, что дыра могла образоваться в недавно запущенном Сервисном портале сотрудника и пенсионера РЖД с аккаунтами всех работников.
• РЖД проверяет публикацию и готовит обращение в правоохранительные органы. Персональные данные пассажиров похищены не были, уверяет компания.

Утечка через СОРМ

• Еще одну утечку обнаружил в 2018 году и сейчас о ней рассказал программист Леонид Евдокимов. Подробно о ней рассказывает«Медуза». В ней пугает не объем, а способ — по предположению программиста, данные могли утечь через систему СОРМ, с помощью которой спецслужбы могут читать переписку и следить за трафиком граждан.
• Евдокимов обнаружил в открытом доступе статистику пользовательского трафика, которая позволяла узнать мобильные телефоны клиентов интернет-провайдеров, их логины, имейлы, сетевые адреса, номера мессенджеров и даже GPS-координаты, переданные смартфонами. В совокупности данные позволяли определить, чей именно это трафик. В числе местностей, откуда в открытый доступ передавались данные клиентов провайдеров, был даже ядерный Саров.
• Сотрудники пострадавших провайдеров, к которым обратился Евдокимов, пояснили ему, что найденную им статистику передавала «стандартная „коробка“» компании «МФИ Софт» — разработчика оборудования для СОРМ и системы «Ревизор», с помощью которой Роскомнадзор следит за запрещенным контентом. В компании «Медузе» ситуацию не прокомментировали.
• После обращения Евдокимова летом 2018 года провайдеры начали закрывать найденные им страницы со статистикой, но последнюю закрыли только в августе 2019-го.

Государство собирает все больше данных граждан, а последний мегапроект — объединение их всех в общей государственной базе данных. С одной стороны, это снимет часть рисков — когда каждая госструктура хранит данные как хочет, риск утечки растет. С другой — цена ошибки в единой системе многократно возрастет.