- Специальный корреспондент
Эксперты выявили утечку персональных данных пользователей портала госуслуг Татарстана. В свободном доступе оказались ФИО, номера телефонов, СНИЛС, ИНН и другие важные сведения. Количество пострадавших уточняется. В конце декабря 2019 г. в Сети были обнаружены сведения о клиентах «Госуслуг», проживающих в ХМАО.
Данные в свободном доступе
На портале госуслуг Татарстана (uslugi.tatar.ru) была зафиксирована попытка кибератаки с целью получения несанкционированного доступа к персональным данным пользователей ресурса. Об этом сообщило Министерство цифрового развития государственного управления, информационных технологий и связи Татарстана, представители которого обратились в Федеральную службу безопасности (ФСБ) России с заявлением о попытке взлома.
«На портале госуслуг Татарстана зафиксирована попытка несанкционированного доступа, в результате которой злоумышленники могли получить доступ к части данных портала», – сказано в сообщении ведомства.
Что попало в Сеть
В составе утекших данных находились в первую очередь имена и фамилии пользователей Госуслуг Татарстана. Вместе с этими данными в базе данных хранились номера СНИЛС и ИНН, номера телефонов и хронология действий пользователей на сайте. Не исключена возможность присутствия и других персональных данных. Точное число человек, пострадавших в результате утечки, на момент публикации материала известно не было.
Кто узнал об утечке
Первым утечку обнаружил независимый германо-украинский исследователь по кибербезопасности, руководитель проекта Security Discovery Боб Дяченко (Bob Diachenko). Он сообщил о ней гендиректору компании DeviceLock (работает в сфере информационной безопасности) Ашоту Оганесяну, который подтвердил достоверность информации об утечке. В то же время Минцифры Татарстана на момент публикации материала не подтверждало факт утечки персональных данных пользователей ресурса.
Персональные данные многочисленных клиентов портала Госуслуг Татарстана скомпрометированы
Ашот Оганесян сообщил CNews, что утекшие сведения размещались, с определенной вероятностью, на сервере разработчиков, но в то же время были доступны по двум IP-адресам. Информация хранилась в базе данных под управлением СУБД MongoDB.
Кто воспользовался утекшей информацией
На 21 января 2020 г. не было точных данных, как долго информация находилась в открытом доступе. Как стало известно CNews, Боб Дяченко обнаружил утечку 18 января 2020 г., а информацию о возможной компрометации персональных данных Минцифры Татарстана опубликовало на своем официальном сайте 20 января 2020 г. Сервер базой данных, по словам Ашота Оганесяна исчез из свободного доступа 19 января 2020 г.
Эксперты не могут с уверенностью утверждать, попала ли база данных за это время в руки злоумышленникам – поиск информации о ней или сведений из нее на черном рынке результатов не дал.
Не первая утечка в Госуслугах
Появление персональных данных пользователей Госуслуг Татарстана стало вторым по счету фактом утечки личной информации с портала государственных услуг. Как CNews, 30 декабря 2019 г. Ашот Оганесян обнаружил в свободном доступе базу данных с информацией о 28 тыс. клиентов «Госуслуг», проживающих Ханты-Мансийском автономном округе. В базе, оказавшейся в свободном доступе в результате ошибки в конфигурации Elasticsearch-сервера, на котором она располагалась, содержались ФИО клиентов, их ИНН, номера телефонов СНИЛС, адреса электронной почты и другая персональная информация, включая сведения о наличии детей. В дополнение к этому, по словам Оганесяна, в Сеть утекли еще и токены авторизации этих пользователей на портале, которые могли обеспечить третьим лицам несанкционированный доступ к личным кабинетам этих людей.
Персональная информация этих пользователей Госуслуг находилась в свободном доступе продолжительное время. По словам гендиректора DeviceLock, скомпрометированный сервер, содержавший базу данных, был проиндексирован поисковиком Shodan еще 3 декабря 2019 г. При этом сам сервер находится на площадке «Ростелекома».
Стоит отметить, что утечка на портале госуслуг – не самая крупная в России. В начале октября 2019 г. Ашот Оганесян в Сети данные о 60 млн клиентах Сбербанка. База данных продавалась за определенную плату и содержала подробные персональные данные владельцев кредитных карт, включая ФИО, паспортные данные, а также всю информацию о кредитных картах клиента и операциях по ним, включая кредитный лимит и неиспользованный лимит. Данная утечка была признана крупнейшей в истории российского банковского сектора..
