Shaxsiy ma’lumotlar qanday sizib chiqadi va bu vaziyatda nima qilish kerak?

**Shaxsiy ma’lumotlar qanday sizib chiqadi va bu vaziyatda nima qilish kerak?**

Oktabr oxirlariga borib, tarmoqlarda O‘zbekiston fuqarolarining shaxsga doir ma’lumotlari, jumladan, JSHSHIR, manzil va pasport ma’lumotlari sizib chiqqani haqida xabarlar tarqaldi. Ayrim foydalanuvchilar o‘z ma’lumotlarini Telegram botlarda topganini aytib, bunga doir dalillarni skrinshot ko‘rinishida o‘z sahifalariga ham joylashtirdi.

Bunday xavotirli xabarlardan keyin IIV va DXX huzuridagi Kiberxavfsizlik markazi tekshiruv boshlanganini ma’lum qildi. Biroq noyabrning birinchi haftasi o‘tayotgan bo‘lsa-da, rasmiylar hali natijalarni e’lon qilgani yo‘q. Hozir o‘rganishlar qaysi bosqichda ekani ham noma’lum.

Aslida ma’lumotlar qanday va qaysi manbalar orqali sizib chiqadi? Bunday holatda oddiy foydalanuvchi va kompaniya nima qilishi kerak? Ilovalarning xavfsiz va ishonchli ekanini nima belgilaydi? Ma’lumotlar boshqa serverga uzatilayotganini qanday bilsa bo‘ladi? Kiberxavfsizlik bo‘yicha mutaxassis Akmal Sodiqov Gazeta bilan suhbatda shu savollarga javob berdi. Quyida intervyuning to‘liq matni keltiriladi.

— Fuqarolarning shaxsiy ma’lumotlari tarqab ketishiga oid holatlar so‘nggi yillarda ko‘proq kuzatilayotgandek. Bu vaziyatga munosabatingiz qanday?

— Shaxsiy ma’lumotlarning sizib chiqishi ko‘paygani faqat O‘zbekistonga xos emas, butun dunyoda shunday. Davlat xizmatlari raqamlashgani sari bir ilovada ma’lumot ko‘proq jamlanadi, demak, hujum qilishga arziydigan nishonlar ham ko‘payadi. Muayyan bir ilova bo‘yicha texnik dalilsiz “ha” yoki “yo‘q” deyish qiyin, ehtimol bor, lekin tekshirish kerak.

“Falon ilovadan ma’lumotlar sizib chiqdi” deb tarqatilayotgan bazalarning ko‘pi aslida eski bazalarda yig‘ilgan to‘plamlar bo‘ladi. Ba’zan esa ma’lumot ilovaning o‘zidan emas, ilova ulangan davlat tizimiga kirish huquqi bor boshqa joydan chiqib ketgan bo‘ladi. Shu sabab har bir holat mustaqil texnik tekshiruvdan o‘tishi va natijasi ochiq e’lon qilinishi kerak. Ammo shuni ham aytish kerakki, shaxsiy ma’lumotlarning eski yoki yangi ekanining farqi yo‘q, u ma’lumot baribir dolzarb bo‘lib qolaveradi. Bunday axborotlardan ko‘p maqsadlarda foydalanish mumkin.

— Odatda ma’lumotlar qayerlardan sizib chiqadi? Bunga nimalar sabab bo‘ladi?

— Amaliyotda sizib chiqishlarning ko‘pchiligi ilovaning o‘zida emas, server tomonda yuz beradi. Eng ko‘p uchraydigan sabablar:

1. API’dagi avtorizatsiya xatolari. Server so‘rov yuborayotgan foydalanuvchi shu ma’lumotni ko‘rishga haqli ekanini tekshirmaydi. Natijada so‘rovdagi ID’ni o‘zgartirib, boshqa odamning ma’lumotini olish mumkin bo‘ladi. Bu — dunyoda eng keng tarqalgan zaiflik.

2. Noto‘g‘ri sozlangan saqlash joylari. Internetda parolsiz ochiq qolgan ma’lumotlar bazalari, zaxira nusxalari, test serverlari ham ma’lumotlar sizishiga yo‘l ochadi.

3. Insayderlar. Bazaga kirish huquqi bor yoki integratsiya qilingan tashkilot xodimlari bo‘lishi mumkin, Telegram’dagi “probiv” xizmatlarining katta qismi aynan shu yo‘l bilan ishlaydi.

4. Uchinchi tomon xizmatlari. Bunga ilova ichidagi analitika va reklama SDK (Software Development Kit)lari, SMS shlyuzlari, bulutli xizmatlar kiradi.

Ilovaning o‘zi, ya’ni telefondagi kod, odatda ma’lumot manbai bo‘lmaydi. Lekin unga yozib qo‘yilgan kalitlar, tokenlar va server manzillari hujumchiga yo‘l ochib berishi mumkin.

Alohida to‘xtalish kerak bo‘lgan holat — internet tarmog‘idagi pullik xizmatlar. Ular odatda o‘zi hech narsani buzmaydi. Turli yillarda turli tizimlardan sizib chiqqan bazalarni, ijtimoiy tarmoqlardagi ochiq ma’lumotlarni yig‘ib, bitta qidiruv tizimiga aylantiradi.

Boshqa odam haqidagi ma’lumotni uning roziligisiz qidirish, sotish va tarqatish shaxsga doir ma’lumotlar to‘g‘risidagi qonunchilikni buzadi.

— Ilovaga kiritilayotgan ma’lumotlarni qanday yo‘llar bilan olish mumkin? Bu oson jarayonmi?

— Asosiy yo‘llar quyidagilar:

1. Himoyalanmagan API’dan ommaviy tarzda tortib olish (masalan, telefon yoki avtomobil raqamlarini ketma-ket terib chiqish);

2. Serverni buzib kirish;

3. Ichkaridagi kirish huquqini suiiste’mol qilish;

4. Foydalanuvchi telefonidagi zararli dastur va fishing.

Bularning murakkabligi tizim qanday qurilganiga bog‘liq. Agar API’da avtorizatsiya to‘g‘ri ishlamasa, so‘rovlar soniga cheklov bo‘lmasa va monitoring yo‘q bo‘lsa, ma’lumotni olish uchun yuqori malaka kerak emas, bir necha soatlik ish yetarli. To‘g‘ri qurilgan tizimda esa bu juda qimmat va murakkab jarayonga aylanadi.

— Ma’lumotlarning bir marta sizib chiqqani tizim buzib kirilganini anglatadimi?

— Har doim ham emas. “Buzib kirish” bilan “sizib chiqish” turli narsalar. Ma’lumot hech qanday buzishsiz ham, masalan, ochiq qolgan baza, avtorizatsiyasiz API, xodimning ma’lumotni sotishi yoki hamkor tashkilotdagi xato sabab chiqib ketishi mumkin. Lekin qanday yo‘l bilan bo‘lmasin, bu xavfsizlik nazorati ishlamaganini ko‘rsatadi va operator uchun javobgarlik baribir saqlanadi.

— Sizib chiqqan ma’lumotlar aynan qaysi tizimdan olinganini qanday aniqlash mumkin? Buni ishonchli tasdiqlash uchun qanday texnik dalillar kerak?

— Asosiy usul — sizib chiqqan to‘plam tarkibini tahlil qilish. Unda faqat bitta tizimga xos maydonlar, ichki identifikatorlar, yozuv formati va sanalar diapazoni bormi — shuni ko‘rish kerak. Shundan keyin u tizim jurnallaridagi faollik bilan solishtiriladi, ya’ni qaysi akkaunt yoki IP qachon g‘ayritabiiy hajmda so‘rov yuborgani tekshiriladi. Ishonchli tasdiq uchun quyidagilar kerak:

1. Server va API jurnallari (kim, qachon, qaysi yozuvlarni so‘ragan);

2. Ma’lumotlar bazasiga kirish auditi;

3. Sizib chiqqan namunadagi yozuvlarni tizimdagi yozuvlar bilan aniq moslashtirish;

4. Iloji bo‘lsa, maxsus belgilangan “tuzoq” yozuvlar (sanary records) natijasi.

Jurnal yuritilmagan tizimda manbani isbotlash deyarli imkonsiz. Shu bois jurnallarni saqlash ham himoyaning bir qismi.

— Oddiy foydalanuvchi ilovadan foydalanayotganda ma’lumotlar xavfsizligini qanday tekshirishi mumkin? Maxfiylik siyosatida aynan nimalarga e’tibor berish kerak?

— Google Play’da “Data safety” (Ma’lumotlar xavfsizligi), App Store’da “App Privacy” bo‘limlari bor. Ularda ilova qanday ma’lumot yig‘ishi va uni kimga uzatishi ko‘rsatiladi. Maxfiylik siyosatida quyidagilarga qarash kerak:

1. Aynan qaysi ma’lumotlar va qanday maqsadda yig‘iladi;

2. Kimga uzatiladi (uchinchi tomonlar, hamkorlar, reklama tarmoqlari);

3. Qayerda saqlanadi (O‘zbekiston qonunchiligiga ko‘ra fuqarolarning ma’lumotlari mamlakat hududidagi serverlarda bo‘lishi kerak);

4. Qancha muddat saqlanadi va qanday o‘chirish mumkin;

5. Operator kim va u bilan qanday bog‘lanish mumkin.

Maxfiylik siyosati yo‘q bo‘lsa, umumiy so‘zlardan iborat bo‘lsa yoki boshqa ilovadan ko‘chirib olingan bo‘lsa, bu — xavf belgisi.

— Ilova o‘z vazifasiga aloqasi bo‘lmagan ruxsatlarni, masalan, kontaktlar, mikrofon, SMS yoki joylashuvga kirishni so‘rasa, bu qanchalik normal? Bunday ruxsat jiddiy xavfga aylanishi mumkinmi?

— Normal emas. Ruxsat ilova funksiyasiga mos bo‘lishi kerak. Jarimalarni tekshiradigan ilovaga SMS, kontaktlar yoki mikrofonga kirish kerak emas. SMS’ga kirish ayniqsa xavfli, chunki bank va davlat xizmatlaridan keladigan bir martalik kodlar shu orqali o‘g‘irlanadi. Kontaktlarga ruxsat bersangiz, faqat o‘zingizning emas, yaqinlaringizning ma’lumotlarini ham berib yuborasiz. Doimiy joylashuvga kirish harakatlaringiz tarixini to‘plash imkonini beradi. Qoida oddiy: ruxsatni faqat kerak bo‘lganda, “faqat ilovadan foydalanayotganda” rejimida bering va ortiqcha so‘rovni rad eting.

— Ilova shaxsiy ma’lumotlarni yig‘ishi uchun foydalanuvchining roziligini olishi nimani anglatadi? Rozilik berilganining o‘zi ma’lumotlarni istalgan usulda saqlash va uzatishga ruxsat beradimi?

— Yo‘q. Rozilik aniq maqsad uchun beriladi va ma’lumotni faqat o‘sha maqsad doirasida ishlatishga ruxsat beradi. Uni uchinchi shaxslarga uzatish, boshqa maqsadda ishlatish yoki keragidan uzoq saqlash uchun alohida asos kerak. Rozilik operatorni ma’lumotni xavfsiz saqlash majburiyatidan ham ozod qilmaydi. “Roziman” tugmasini bosish orqali foydalanuvchi o‘z ma’lumotlarini sizib chiqishiga rozi bo‘lmaydi. Foydalanuvchi roziligini qaytarib olishga va ma’lumotlarini o‘chirishni talab qilishga ham haqli.

— Ilovaning internet orqali qaysi serverlarga ma’lumot yuborayotganini tekshirish mumkinmi?

— Mumkin. iPhone’da “Sozlamalar — Maxfiylik va xavfsizlik — App Privacy Report” bo‘limi har bir ilova qaysi domenlarga murojaat qilganini ko‘rsatadi. Android’da PSAPdroid yoki NetGuard kabi vositalar trafikni root huquqisiz ko‘rish imkonini beradi. Exodus Privacy servisi ilova ichidagi kuzatuvchi (tracker) SDK’larni aniqlaydi. Mutaxassislar esa mitmproxy yoki Burp Suite yordamida so‘rovlarning tarkibini ham tahlil qiladi. Ilova xorijiy serverlarga, ayniqsa nomi noma’lum domenlarga ma’lumot yuborayotgan bo‘lsa, bunga jiddiy e’tibor berish kerak.

— Ilovaning xavfsizligini nima belgilaydi? Uning mashhurligi, yuklab olishlar soni yoki ishlab chiquvchining obro‘siga qarab baholash qanchalik to‘g‘ri?

— To‘g‘ri emas. Yuklab olishlar soni ilova qanchalik qulay ekanini ko‘rsatadi, xavfsizligini emas. Aksincha, foydalanuvchisi ko‘p ilova — hujumchilar uchun qimmatroq nishon. Xavfsizlikni muhandislik amaliyotlari belgilaydi: xavfsiz arxitektura, API’da to‘g‘ri avtorizatsiya, shifrlash, mustaqil pentestlar, zaiflik haqida xabar berish uchun ochiq kanal va hodisalarga tez javob berish. Ishlab chiquvchining obro‘si ham yetarli emas. Uni ilova haqidagi gaplar emas, mustaqil auditlar va hodisalar yuz berganda o‘zini qanday tutgani ko‘rsatadi.

— Ilovani Google Play yoki App Store’dan emas, Telegram kanalidan yoki APK fayl orqali o‘rnatish qanday qo‘shimcha xavflarni keltirib chiqaradi?

— Rasmiy do‘konlar ilovani zararli kodga tekshiradi va dasturchining imzosini nazorat qiladi. Telegram’dagi APK’da esa bunday kafolat yo‘q. Mashhur ilovaning nomi va belgisi ostida o‘zgartirilgan versiya tarqatish mumkin: tashqi ko‘rinishi bir xil bo‘ladi, lekin ichida SMS’larni o‘g‘irlaydigan yoki telefonni masofadan boshqaradigan troyan bo‘ladi.

O‘zbekistonda bank kartalaridan pul o‘g‘irlash holatlarining katta qismi aynan “jarimani tekshiring” yoki “suratlarni ko‘ring” degan bahonada yuborilgan APK fayllar orqali sodir bo‘lmoqda. Bundan tashqari, “noma’lum manbalardan o‘rnatish”ga bir marta ruxsat bergan foydalanuvchi keyingi hujumlarga ham ochiq qoladi.

— Agar odamning F.I.Sh., telefon raqami, avtomobil raqami va PINFL ma’lumotlari tarqalgan bo‘lsa, u eng avvalo nima qilishi kerak? Bu qanday xavf tug‘diradi?

— Asosiy xavf — ijtimoiy muhandislik. Firibgar sizning ma’lumotlaringizni aniq bilgani uchun bank, YHXX yoki boshqa davlat organi xodimi sifatida ishonarli qo‘ng‘iroq qila oladi va SMS kod yoki karta ma’lumotlarini so‘raydi. Bundan tashqari, nomingizga onlayn mikroqarz rasmiylashtirishga urinish, SIM-kartani qayta rasmiylashtirish va nishonli aldov (fishing) xavfi bor. Nima qilish kerak:

1. Hech kimga SMS kod va karta ma’lumotlarini aytmaslik. Haqiqiy bank yoki davlat xodimi ularni hech qachon, ayniqsa Telegram orqali, so‘ramaydi: Telegram rasmiy ma’lumot almashish kanali emas;

2. Bank ilovalari va my.gov.uz’da qo‘shimcha himoya va ikki bosqichli tasdiqlashni yoqish;

3. Kredit byurosi orqali nomingizga ochilgan kreditlarni vaqti-vaqti bilan tekshirib turish;

4. Mobil operatorda SIM-kartani qayta chiqarishga cheklov qo‘yish mumkinligini so‘rash;

5. Shubhali holatlar haqida darhol bankka va huquqni muhofaza qilish organlariga murojaat qilish.

— Agar ma’lumotlar sizib chiqishi tasdiqlansa, dasturchilar va kompaniya birinchi navbatda qanday texnik choralarni ko‘rishi kerak?

1. Manbani to‘xtatish.

Zaif API yoki ochiq bazani yopish, buzilgan akkauntlarni bloklash, kalitlar, tokenlar va parollarni almashtirish.

2. Dalillarni saqlash.

Jurnallar va serverlarning nusxasini olish. Serverlarni shoshilib o‘chirish yoki qayta o‘rnatmaslik kerak, aks holda manbani aniqlab bo‘lmaydi.

3. Ko‘lamni baholash.

Qaysi ma’lumotlar, qancha foydalanuvchi, qaysi davr.

4. Vakolatli organlarni xabardor qilish.

Kiberxavfsizlik markazi va shaxsga doir ma’lumotlar sohasidagi vakolatli davlat organi.

5. Foydalanuvchilarga ochiq xabar berish.

Nima bo‘lgani va ular nima qilishi kerakligi haqida ma’lumot berish kerak. Faktni inkor qilish yoki yashirish keyinchalik ishonchni yanada ko‘proq yo‘qotadi.

6. Monitoring.

Ma’lumotlar Telegram kanallari va darknet’da tarqalayotganini kuzatib borish.

— Sizib chiqib ketgan shaxsiy ma’lumotlarni internetdan butunlay o‘chirib tashlash mumkinmi? Ma’lumotlar nusxalanib, qayta tarqatilgan bo‘lsa, foydalanuvchi nima qila oladi?

— Afsuski, amalda mumkin emas. Ma’lumot nusxalangach, u o‘nlab kanallar va arxivlarga tarqaladi. Ayrim kanal yoki saytlarni bloklash va platformalarga shikoyat qilish tarqalishni kamaytiradi, lekin to‘liq yo‘q qilmaydi. Ba’zi pullik xizmatlar mavjud, ular “ma’lumotni yashirish” xizmatini taklif qiladi, lekin bu faqat undagi natijani yashiradi, xuddi shu baza boshqa tizimlarning arxivlarida qolaveradi. Bunga pul to‘lash esa aynan shu bozorni moliyalashtirish demakdir.

Shuning uchun asosiy e’tibor oqibatlarni kamaytirishga qaratilishi kerak: ma’lumotlaringiz allaqachon ochiq ekanini hisobga olib, himoya choralarini ko‘rish. Foydalanuvchi zarar ko‘rgan bo‘lsa, sudga murojaat qilishi mumkin. Operator esa yetkazilgan zarar uchun javobgar bo‘ladi.

— O‘zbekistonda shaxsga doir ma’lumotlar bilan ishlaydigan ilovalar uchun qanday texnik talablar kerak deb hisoblaysiz?

1. Ishga tushirishdan oldin majburiy mustaqil pentest. Davlat bazalari bilan integratsiya qilingan ilovalar uchun bu har yili takrorlanishi kerak. OWASP MACBC va ASVS kabi xalqaro standartlarga muvofiqlikni tekshirish lozim.

2. Ma’lumotlarni minimallashtirish va maskalash. Ilova ishlashi uchun kerak bo‘lmagan ma’lumot yig‘ilmasligi, PINFL va telefon raqami ekranda va API javoblarida qisman yashirilishi kerak.

3. API himoyasi. Har bir so‘rovda avtorizatsiyani tekshirish, so‘rovlar soniga cheklov qo‘yish va ommaviy tortib olishga urinishlarni aniqlash.

4. Shifrlash. Ma’lumotlar uzatilayotganda ham, saqlanayotganda ham shifrlangan bo‘lishi kerak.

5. Kirish auditi. Kim, qachon, qaysi yozuvni ko‘rganini qayd etish. Bu ayniqsa xodimlar va integratsiya qilingan hamkorlarga taalluqli, chunki “probiv”ga qarshi eng samarali vosita shu.

6. Uchinchi tomon SDK’lari ro‘yxati va nazorati.

7. Zaifliklar haqida xabar berish uchun ochiq kanal. Tadqiqotchi zaiflik topsa, kimga yozishni bilishi kerak.

8. Hodisa haqida xabar berish muddatini qat’iy belgilash. Vakolatli organga ham, foydalanuvchilarga ham.

9. Ma’lumotlarni lokalizatsiya qilish talabining amalda bajarilishini nazorat qilish.

Eng muhimi, bu talablar qog‘ozda qolib ketmasligi, amalda tekshirilishi va buzgan operator uchun real javobgarlik bo‘lishi kerak.