Шахсий маълумотлар қандай сизиб чиқади ва бу вазиятда нима қилиш керак?

**Шахсий маълумотлар қандай сизиб чиқади ва бу вазиятда нима қилиш керак?**

Октабр охирларига бориб, тармоқларда Ўзбекистон фуқароларининг шахсга доир маълумотлари, жумладан, ЖШШИР, манзил ва паспорт маълумотлари сизиб чиққани ҳақида хабарлар тарқалди. Айрим фойдаланувчилар ўз маълумотларини Телеграм ботларда топганини айтиб, бунга доир далилларни скриншот кўринишида ўз саҳифаларига ҳам жойлаштирди.

Бундай хавотирли хабарлардан кейин ИИВ ва ДХХ ҳузуридаги Киберхавфсизлик маркази текширув бошланганини маълум қилди. Бироқ ноябрнинг биринчи ҳафтаси ўтаётган бўлса-да, расмийлар ҳали натижаларни эълон қилгани йўқ. Ҳозир ўрганишлар қайси босқичда экани ҳам номаълум.

Аслида маълумотлар қандай ва қайси манбалар орқали сизиб чиқади? Бундай ҳолатда оддий фойдаланувчи ва компания нима қилиши керак? Иловаларнинг хавфсиз ва ишончли эканини нима белгилайди? Маълумотлар бошқа серверга узатилаётганини қандай билса бўлади? Киберхавфсизлик бўйича мутахассис Акмал Содиқов Газета билан суҳбатда шу саволларга жавоб берди. Қуйида интервюнинг тўлиқ матни келтирилади.

— Фуқароларнинг шахсий маълумотлари тарқаб кетишига оид ҳолатлар сўнгги йилларда кўпроқ кузатилаётгандек. Бу вазиятга муносабатингиз қандай?

— Шахсий маълумотларнинг сизиб чиқиши кўпайгани фақат Ўзбекистонга хос эмас, бутун дунёда шундай. Давлат хизматлари рақамлашгани сари бир иловада маълумот кўпроқ жамланади, демак, ҳужум қилишга арзийдиган нишонлар ҳам кўпаяди. Муайян бир илова бўйича техник далилсиз “ҳа” ёки “йўқ” дейиш қийин, эҳтимол бор, лекин текшириш керак.

“Фалон иловадан маълумотлар сизиб чиқди” деб тарқатилаётган базаларнинг кўпи аслида эски базаларда йиғилган тўпламлар бўлади. Баъзан эса маълумот илованинг ўзидан эмас, илова уланган давлат тизимига кириш ҳуқуқи бор бошқа жойдан чиқиб кетган бўлади. Шу сабаб ҳар бир ҳолат мустақил техник текширувдан ўтиши ва натижаси очиқ эълон қилиниши керак. Аммо шуни ҳам айтиш керакки, шахсий маълумотларнинг эски ёки янги эканининг фарқи йўқ, у маълумот барибир долзарб бўлиб қолаверади. Бундай ахборотлардан кўп мақсадларда фойдаланиш мумкин.

— Одатда маълумотлар қаерлардан сизиб чиқади? Бунга нималар сабаб бўлади?

— Амалиётда сизиб чиқишларнинг кўпчилиги илованинг ўзида эмас, сервер томонда юз беради. Энг кўп учрайдиган сабаблар:

1. АПИъдаги авторизация хатолари. Сервер сўров юбораётган фойдаланувчи шу маълумотни кўришга ҳақли эканини текширмайди. Натижада сўровдаги ИДъни ўзгартириб, бошқа одамнинг маълумотини олиш мумкин бўлади. Бу — дунёда энг кенг тарқалган заифлик.

2. Нотўғри созланган сақлаш жойлари. Интернетда паролсиз очиқ қолган маълумотлар базалари, захира нусхалари, тест серверлари ҳам маълумотлар сизишига йўл очади.

3. Инсайдерлар. Базага кириш ҳуқуқи бор ёки интеграция қилинган ташкилот ходимлари бўлиши мумкин, Телеграмъдаги “пробив” хизматларининг катта қисми айнан шу йўл билан ишлайди.

4. Учинчи томон хизматлари. Бунга илова ичидаги аналитика ва реклама СДК (Софтваре Девелопмент Кит)лари, СМС шлюзлари, булутли хизматлар киради.

Илованинг ўзи, яъни телефондаги код, одатда маълумот манбаи бўлмайди. Лекин унга ёзиб қўйилган калитлар, токенлар ва сервер манзиллари ҳужумчига йўл очиб бериши мумкин.

Алоҳида тўхталиш керак бўлган ҳолат — интернет тармоғидаги пуллик хизматлар. Улар одатда ўзи ҳеч нарсани бузмайди. Турли йилларда турли тизимлардан сизиб чиққан базаларни, ижтимоий тармоқлардаги очиқ маълумотларни йиғиб, битта қидирув тизимига айлантиради.

Бошқа одам ҳақидаги маълумотни унинг розилигисиз қидириш, сотиш ва тарқатиш шахсга доир маълумотлар тўғрисидаги қонунчиликни бузади.

— Иловага киритилаётган маълумотларни қандай йўллар билан олиш мумкин? Бу осон жараёнми?

— Асосий йўллар қуйидагилар:

1. Ҳимояланмаган АПИъдан оммавий тарзда тортиб олиш (масалан, телефон ёки автомобил рақамларини кетма-кет териб чиқиш);

2. Серверни бузиб кириш;

3. Ичкаридаги кириш ҳуқуқини суиистеъмол қилиш;

4. Фойдаланувчи телефонидаги зарарли дастур ва фишинг.

Буларнинг мураккаблиги тизим қандай қурилганига боғлиқ. Агар АПИъда авторизация тўғри ишламаса, сўровлар сонига чеклов бўлмаса ва мониторинг йўқ бўлса, маълумотни олиш учун юқори малака керак эмас, бир неча соатлик иш етарли. Тўғри қурилган тизимда эса бу жуда қиммат ва мураккаб жараёнга айланади.

— Маълумотларнинг бир марта сизиб чиққани тизим бузиб кирилганини англатадими?

— Ҳар доим ҳам эмас. “Бузиб кириш” билан “сизиб чиқиш” турли нарсалар. Маълумот ҳеч қандай бузишсиз ҳам, масалан, очиқ қолган база, авторизациясиз АПИ, ходимнинг маълумотни сотиши ёки ҳамкор ташкилотдаги хато сабаб чиқиб кетиши мумкин. Лекин қандай йўл билан бўлмасин, бу хавфсизлик назорати ишламаганини кўрсатади ва оператор учун жавобгарлик барибир сақланади.

— Сизиб чиққан маълумотлар айнан қайси тизимдан олинганини қандай аниқлаш мумкин? Буни ишончли тасдиқлаш учун қандай техник далиллар керак?

— Асосий усул — сизиб чиққан тўплам таркибини таҳлил қилиш. Унда фақат битта тизимга хос майдонлар, ички идентификаторлар, ёзув формати ва саналар диапазони борми — шуни кўриш керак. Шундан кейин у тизим журналларидаги фаоллик билан солиштирилади, яъни қайси аккаунт ёки ИП қачон ғайритабиий ҳажмда сўров юборгани текширилади. Ишончли тасдиқ учун қуйидагилар керак:

1. Сервер ва АПИ журналлари (ким, қачон, қайси ёзувларни сўраган);

2. Маълумотлар базасига кириш аудити;

3. Сизиб чиққан намунадаги ёзувларни тизимдаги ёзувлар билан аниқ мослаштириш;

4. Иложи бўлса, махсус белгиланган “тузоқ” ёзувлар (санарй ресордс) натижаси.

Журнал юритилмаган тизимда манбани исботлаш деярли имконсиз. Шу боис журналларни сақлаш ҳам ҳимоянинг бир қисми.

— Оддий фойдаланувчи иловадан фойдаланаётганда маълумотлар хавфсизлигини қандай текшириши мумкин? Махфийлик сиёсатида айнан нималарга эътибор бериш керак?

— Гоогле Плайъда “Дата сафетй” (Маълумотлар хавфсизлиги), Апп Стореъда “Апп Привасй” бўлимлари бор. Уларда илова қандай маълумот йиғиши ва уни кимга узатиши кўрсатилади. Махфийлик сиёсатида қуйидагиларга қараш керак:

1. Айнан қайси маълумотлар ва қандай мақсадда йиғилади;

2. Кимга узатилади (учинчи томонлар, ҳамкорлар, реклама тармоқлари);

3. Қаерда сақланади (Ўзбекистон қонунчилигига кўра фуқароларнинг маълумотлари мамлакат ҳудудидаги серверларда бўлиши керак);

4. Қанча муддат сақланади ва қандай ўчириш мумкин;

5. Оператор ким ва у билан қандай боғланиш мумкин.

Махфийлик сиёсати йўқ бўлса, умумий сўзлардан иборат бўлса ёки бошқа иловадан кўчириб олинган бўлса, бу — хавф белгиси.

— Илова ўз вазифасига алоқаси бўлмаган рухсатларни, масалан, контактлар, микрофон, СМС ёки жойлашувга киришни сўраса, бу қанчалик нормал? Бундай рухсат жиддий хавфга айланиши мумкинми?

— Нормал эмас. Рухсат илова функсиясига мос бўлиши керак. Жарималарни текширадиган иловага СМС, контактлар ёки микрофонга кириш керак эмас. СМСъга кириш айниқса хавфли, чунки банк ва давлат хизматларидан келадиган бир марталик кодлар шу орқали ўғирланади. Контактларга рухсат берсангиз, фақат ўзингизнинг эмас, яқинларингизнинг маълумотларини ҳам бериб юборасиз. Доимий жойлашувга кириш ҳаракатларингиз тарихини тўплаш имконини беради. Қоида оддий: рухсатни фақат керак бўлганда, “фақат иловадан фойдаланаётганда” режимида беринг ва ортиқча сўровни рад этинг.

— Илова шахсий маълумотларни йиғиши учун фойдаланувчининг розилигини олиши нимани англатади? Розилик берилганининг ўзи маълумотларни исталган усулда сақлаш ва узатишга рухсат берадими?

— Йўқ. Розилик аниқ мақсад учун берилади ва маълумотни фақат ўша мақсад доирасида ишлатишга рухсат беради. Уни учинчи шахсларга узатиш, бошқа мақсадда ишлатиш ёки керагидан узоқ сақлаш учун алоҳида асос керак. Розилик операторни маълумотни хавфсиз сақлаш мажбуриятидан ҳам озод қилмайди. “Розиман” тугмасини босиш орқали фойдаланувчи ўз маълумотларини сизиб чиқишига рози бўлмайди. Фойдаланувчи розилигини қайтариб олишга ва маълумотларини ўчиришни талаб қилишга ҳам ҳақли.

— Илованинг интернет орқали қайси серверларга маълумот юбораётганини текшириш мумкинми?

— Мумкин. иПҳонеъда “Созламалар — Махфийлик ва хавфсизлик — Апп Привасй Репорт” бўлими ҳар бир илова қайси доменларга мурожаат қилганини кўрсатади. Андроидъда ПСАПдроид ёки НетГуард каби воситалар трафикни роот ҳуқуқисиз кўриш имконини беради. Эходус Привасй сервиси илова ичидаги кузатувчи (траскер) СДКъларни аниқлайди. Мутахассислар эса митмпрохй ёки Бурп Суите ёрдамида сўровларнинг таркибини ҳам таҳлил қилади. Илова хорижий серверларга, айниқса номи номаълум доменларга маълумот юбораётган бўлса, бунга жиддий эътибор бериш керак.

— Илованинг хавфсизлигини нима белгилайди? Унинг машҳурлиги, юклаб олишлар сони ёки ишлаб чиқувчининг обрўсига қараб баҳолаш қанчалик тўғри?

— Тўғри эмас. Юклаб олишлар сони илова қанчалик қулай эканини кўрсатади, хавфсизлигини эмас. Аксинча, фойдаланувчиси кўп илова — ҳужумчилар учун қимматроқ нишон. Хавфсизликни муҳандислик амалиётлари белгилайди: хавфсиз архитектура, АПИъда тўғри авторизация, шифрлаш, мустақил пентестлар, заифлик ҳақида хабар бериш учун очиқ канал ва ҳодисаларга тез жавоб бериш. Ишлаб чиқувчининг обрўси ҳам етарли эмас. Уни илова ҳақидаги гаплар эмас, мустақил аудитлар ва ҳодисалар юз берганда ўзини қандай тутгани кўрсатади.

— Иловани Гоогле Плай ёки Апп Стореъдан эмас, Телеграм каналидан ёки АПК файл орқали ўрнатиш қандай қўшимча хавфларни келтириб чиқаради?

— Расмий дўконлар иловани зарарли кодга текширади ва дастурчининг имзосини назорат қилади. Телеграмъдаги АПКъда эса бундай кафолат йўқ. Машҳур илованинг номи ва белгиси остида ўзгартирилган версия тарқатиш мумкин: ташқи кўриниши бир хил бўлади, лекин ичида СМСъларни ўғирлайдиган ёки телефонни масофадан бошқарадиган троян бўлади.

Ўзбекистонда банк карталаридан пул ўғирлаш ҳолатларининг катта қисми айнан “жаримани текширинг” ёки “суратларни кўринг” деган баҳонада юборилган АПК файллар орқали содир бўлмоқда. Бундан ташқари, “номаълум манбалардан ўрнатиш”га бир марта рухсат берган фойдаланувчи кейинги ҳужумларга ҳам очиқ қолади.

— Агар одамнинг Ф.I.Sh., телефон рақами, автомобил рақами ва ПИНФЛ маълумотлари тарқалган бўлса, у энг аввало нима қилиши керак? Бу қандай хавф туғдиради?

— Асосий хавф — ижтимоий муҳандислик. Фирибгар сизнинг маълумотларингизни аниқ билгани учун банк, ЙҲХХ ёки бошқа давлат органи ходими сифатида ишонарли қўнғироқ қила олади ва СМС код ёки карта маълумотларини сўрайди. Бундан ташқари, номингизга онлайн микроқарз расмийлаштиришга уриниш, СИМ-картани қайта расмийлаштириш ва нишонли алдов (фишинг) хавфи бор. Нима қилиш керак:

1. Ҳеч кимга СМС код ва карта маълумотларини айтмаслик. Ҳақиқий банк ёки давлат ходими уларни ҳеч қачон, айниқса Телеграм орқали, сўрамайди: Телеграм расмий маълумот алмашиш канали эмас;

2. Банк иловалари ва my.gov.узъда қўшимча ҳимоя ва икки босқичли тасдиқлашни ёқиш;

3. Кредит бюроси орқали номингизга очилган кредитларни вақти-вақти билан текшириб туриш;

4. Мобил операторда СИМ-картани қайта чиқаришга чеклов қўйиш мумкинлигини сўраш;

5. Шубҳали ҳолатлар ҳақида дарҳол банкка ва ҳуқуқни муҳофаза қилиш органларига мурожаат қилиш.

— Агар маълумотлар сизиб чиқиши тасдиқланса, дастурчилар ва компания биринчи навбатда қандай техник чораларни кўриши керак?

1. Манбани тўхтатиш.

Заиф АПИ ёки очиқ базани ёпиш, бузилган аккаунтларни блоклаш, калитлар, токенлар ва паролларни алмаштириш.

2. Далилларни сақлаш.

Журналлар ва серверларнинг нусхасини олиш. Серверларни шошилиб ўчириш ёки қайта ўрнатмаслик керак, акс ҳолда манбани аниқлаб бўлмайди.

3. Кўламни баҳолаш.

Қайси маълумотлар, қанча фойдаланувчи, қайси давр.

4. Ваколатли органларни хабардор қилиш.

Киберхавфсизлик маркази ва шахсга доир маълумотлар соҳасидаги ваколатли давлат органи.

5. Фойдаланувчиларга очиқ хабар бериш.

Нима бўлгани ва улар нима қилиши кераклиги ҳақида маълумот бериш керак. Фактни инкор қилиш ёки яшириш кейинчалик ишончни янада кўпроқ йўқотади.

6. Мониторинг.

Маълумотлар Телеграм каналлари ва даркнетъда тарқалаётганини кузатиб бориш.

— Сизиб чиқиб кетган шахсий маълумотларни интернетдан бутунлай ўчириб ташлаш мумкинми? Маълумотлар нусхаланиб, қайта тарқатилган бўлса, фойдаланувчи нима қила олади?

— Афсуски, амалда мумкин эмас. Маълумот нусхалангач, у ўнлаб каналлар ва архивларга тарқалади. Айрим канал ёки сайтларни блоклаш ва платформаларга шикоят қилиш тарқалишни камайтиради, лекин тўлиқ йўқ қилмайди. Баъзи пуллик хизматлар мавжуд, улар “маълумотни яшириш” хизматини таклиф қилади, лекин бу фақат ундаги натижани яширади, худди шу база бошқа тизимларнинг архивларида қолаверади. Бунга пул тўлаш эса айнан шу бозорни молиялаштириш демакдир.

Шунинг учун асосий эътибор оқибатларни камайтиришга қаратилиши керак: маълумотларингиз аллақачон очиқ эканини ҳисобга олиб, ҳимоя чораларини кўриш. Фойдаланувчи зарар кўрган бўлса, судга мурожаат қилиши мумкин. Оператор эса етказилган зарар учун жавобгар бўлади.

— Ўзбекистонда шахсга доир маълумотлар билан ишлайдиган иловалар учун қандай техник талаблар керак деб ҳисоблайсиз?

1. Ишга туширишдан олдин мажбурий мустақил пентест. Давлат базалари билан интеграция қилинган иловалар учун бу ҳар йили такрорланиши керак. ОВАСП МАСБС ва АСВС каби халқаро стандартларга мувофиқликни текшириш лозим.

2. Маълумотларни минималлаштириш ва маскалаш. Илова ишлаши учун керак бўлмаган маълумот йиғилмаслиги, ПИНФЛ ва телефон рақами экранда ва АПИ жавобларида қисман яширилиши керак.

3. АПИ ҳимояси. Ҳар бир сўровда авторизацияни текшириш, сўровлар сонига чеклов қўйиш ва оммавий тортиб олишга уринишларни аниқлаш.

4. Шифрлаш. Маълумотлар узатилаётганда ҳам, сақланаётганда ҳам шифрланган бўлиши керак.

5. Кириш аудити. Ким, қачон, қайси ёзувни кўрганини қайд этиш. Бу айниқса ходимлар ва интеграция қилинган ҳамкорларга тааллуқли, чунки “пробив”га қарши энг самарали восита шу.

6. Учинчи томон СДКълари рўйхати ва назорати.

7. Заифликлар ҳақида хабар бериш учун очиқ канал. Тадқиқотчи заифлик топса, кимга ёзишни билиши керак.

8. Ҳодиса ҳақида хабар бериш муддатини қатъий белгилаш. Ваколатли органга ҳам, фойдаланувчиларга ҳам.

9. Маълумотларни локализация қилиш талабининг амалда бажарилишини назорат қилиш.

Энг муҳими, бу талаблар қоғозда қолиб кетмаслиги, амалда текширилиши ва бузган оператор учун реал жавобгарлик бўлиши керак.