В сети появились сообщения об утечке в даркнет персональных данных 27 миллионов узбекистанцев
В соцсетях распространились сообщения о возможной утечке в даркнет персональных данных 27 миллионов граждан Узбекистана. По этим данным, в базе могут содержаться имена и фамилии, номера телефонов, ПИНФЛ, адреса проживания, паспортные сведения и биометрические фотографии граждан, а в качестве примера злоумышленники указали личные данные министра цифровых технологий.
По словам злоумышленников, если их требования не будут выполнены до 08:00 2 ноября, архив с данными выставят в открытую продажу.
На фоне сообщений об утечке блогер Умид Гафуров рассказал историю одного из программистов, который в конце сентября обнаружил критическую уязвимость на платформе одного из министерств страны. Ее оценка по шкале CVSS составляла 8,6 балла из 10. Из-за этой ошибки любой пользователь без авторизации и ограничений мог перебирать данные примерно 40 миллионов человек, включая почти все население Узбекистана и иностранцев, зарегистрированных в республике. В открытом доступе оказались ФИО, фотографии, даты рождения, серии и номера ID-карт, загранпаспортов и свидетельств о рождении, ПИНФЛ, сведения о месте и направлении учебы, а также адреса прописки и кадастровые номера.
Попытки разработчика быстро предупредить ведомство столкнулись с трудностями. В колл-центре министерства на его обращение ответили: "Ты типа хакер? Приезжай в офис, я покажу, что у нас все нормально". Когда программисту удалось связаться с профильными специалистами через другой официальный канал и лично объяснить суть проблемы на встрече в ведомстве, ему заявили, что об ошибке знают, но не считают ее срочной, сославшись на недавно пройденные проверки безопасности.
Через 5 дней уязвимость все еще оставалась открытой, и специалист обратился в Центр кибербезопасности Узбекистана в рамках процедуры ответственного раскрытия информации. По его словам, у центра нет удобного онлайн-механизма для анонимных обращений, поэтому заявки принимают через Telegram, по телефону или лично в офисе. Кроме того, ведомство не выплачивает вознаграждения за найденные ошибки, ограничиваясь благодарственным письмом по запросу, и не устанавливает гарантированных сроков устранения сбоев, а лишь направляет официальные уведомления ответственным структурам.
Проблему на платформе министерства устранили только через 8 дней после обращения в Центр кибербезопасности, причем сначала лишь частично. При этом сотрудники центра попросили самого программиста проверить, действительно ли ведомство закрыло доступ к данным, а также предупредили о запрете на публичное разглашение подобных инцидентов из-за неготовности законодательной базы. По предварительным расчетам разработчика, если база на 40 миллионов человек попадет в руки мошенников, потенциальный экономический ущерб от оформления незаконных кредитов и других злоупотреблений мог бы составить около 50 долларов на человека, или 2 миллиарда долларов в масштабах страны.
Также сообщается, что в Узбекистане проверяют сообщения о возможной утечке персональных данных пользователей платформы SAFE Service, ранее известной как Safe Road.