Власти Москвы назвали причину утечки данных переболевших COVID-19
Утечка персональных данных почти 100 тыс. жителей Москвы, переболевших коронавирусной инфекцией, произошла не в результате взлома, а из-за человеческого фактора. Об этом заявил руководитель департамента информационных технологий (ДИТ) правительства Москвы Эдуард Лысенко, передает оперативный штаб по борьбе с COVID-19.
По словам Лысенко, в ходе проверки установлено, что несанкционированного доступа или каких-либо взломов информационной системы московского правительства не было. «Утечка произошла вследствие человеческого фактора: сотрудники, которые занимались обработкой служебных документов, допустили передачу этих файлов третьим лицам. Проверка продолжается, по ее результатам будут приняты меры», — объяснил он.
Telegram-канал Readovka ранее сообщал, что в Сети появились базы с данными жителей Москвы, переболевших коронавирусной инфекцией. После этого в столичном оперативном штабе по борьбе с распространением COVID-19 сообщили, что начата проверка по этому факту.
Какие персональные данные попали в открытый доступ и чем это грозит их владельцам, разбирался РБК.
Какие персональные данные попали в публичный доступ
Архив был выложен в открытый доступ в ночь на 9 декабря 2020 года, и примерно в то же время ссылки на него появились в ряде Telegram-каналов, рассказал РБК основатель сервиса разведки утечек данных DLBI Ашот Оганесян. По его словам, в Сеть попали более 350 файлов общим размером около 940 Мб, самый свежий из них датируется 12 июня этого года. Это более 100 тыс. строк, содержащих Ф.И.О., даты рождения, адреса проживания, телефоны и номера паспортов. Кроме того, в базе есть файлы со ссылками на закрытые Telegram-чаты медицинских учреждений.
Корреспондент РБК ознакомился с содержанием базы. Из названий файлов следует, что они содержат информацию о москвичах, поступивших в городские больницы с подозрением на COVID-19, горожанах, отправленных на самоизоляцию, нарушителях карантина. Также в файлах содержится информация о заболевших, у которых не было мобильных телефонов, а также причины, по которым врачи не смогли попасть домой к тому или иному человеку с подозрением на заражение коронавирусом (среди самых распространенных объяснений — «региональный адрес» и «отказ от фотофиксации»). Три человека, чьи персональные данные, включая мобильный номер, содержались в файлах, подтвердили РБК, что переболели коронавирусом.
Как предположил Игорь Сергиенко, заместитель гендиректора компании Infosecurity («дочка» Softline), утечка могла произойти как вследствие взлома системы, так и в результате сознательной или случайной передачи информации злоумышленникам сотрудником компании (например, он мог отправить файл по незащищенным каналам связи или потерять флеш-накопитель, на котором тот располагался).
Эксперты специализирующей на кибербезопасности компании Group-IB связали утечку «с недостаточным уровнем зрелости организаций, выступающих операторами таких данных». «Хранить такую информацию в Exсel-таблицах и других файлах без авторизации, паролей, политик доступов и других базовых принципов защиты персональных данных в 2020 году — это как прятаться, закрывая глаза, и думать, что тебя никто не видит. «Цифровая гигиена» должна быть в каждом медицинском учреждении, в каждой организации, имеющей отношение к медтайне или персданным, как бы очевидно это ни звучало», — указал представитель компании.
По словам Сергиенко, чаще всего злоумышленники используют подобные базы с персональными данными для рассылки фишинговых СМС или электронных писем с обещанием денежных компенсаций, гиперссылки из которых ведут на поддельные сайты, похищающие данные банковских карт. Представитель Group-IB отметил, что традиционно такие персональные данные могут использоваться для обзвонов, таргетированной рассылки и любых других типов атак с использованием методов социальной инженерии — чем больше данных знает о жертве лицо, пытающееся втереться в доверие, тем проще его задача.
Зачем власти собирали данные москвичей
С 30 марта в Москве был введен режим самоизоляции в связи с эпидемией коронавируса, в рамках которого жителям города разрешили покидать дома лишь для того, чтобы сходить в ближайший магазин или аптеку, а также погулять с собакой. Для остальных случаев нужно было получить цифровой пропуск на сайте мэрии Москвы или потрале госуслуг; для его оформления необходимо было указывать фамилию и имя, паспортные данные, адрес и цель выхода на улицу. Эти персональные данные, собранные ДИТ Москвы, к началу августа все еще не были удалены, сообщал «Интерфакс» со ссылкой на представителя ДИТ. Ведомство объяснило их хранение тем, что пока не были завершены процедуры обжалования выписанных штрафов за нарушение режима самоизоляции.
При этом тех, у кого был подтвержден коронавирус, обязали соблюдать карантин, что контролировалось с помощью приложения «Социальный мониторинг». Оно фиксирует местоположение смартфона и несколько раз в день запрашивает селфи пользователя на фоне домашнего интерьера. Если заболевший коронавирусом в течение часа не отозвался на запрос об идентификации или не присутствовал по оговоренному адресу, фиксировалось нарушение. Как рассказывал в середине мая Эдуард Лысенко, в базе социального мониторинга на тот момент было зарегистрировано более 60 тыс. пользователей. Данные о заболевших из «Социального мониторинга» удалялись через десять дней после окончания карантина, заявил он в интервью «Эхо Москвы».
РБК направил запрос в ДИТ о том, были ли в итоге удалены персональные данные москвичей, собранные в рамках оформления цифровых пропусков и использования приложения «Социальный мониторинг».
Только 30% россиян верят в то, что собираемые властями данные защищены, говорилось в исследовании Российской венчурной компании и Института национальных проектов на основе опроса, в котором участвовали более 3 тыс. человек. В то же время большинство россиян считают допустимым сбор государством информации о контактах граждан для выявления потенциально зараженных COVID-19, а также использование правоохранительными органами алгоритма распознавания лиц для обеспечения безопасности (соответственно, 66 и 76%).