Данные почти всех сотрудников РЖД оказались в открытом доступе
В интернете оказались персональные данные 703 тыс. из 732 тыс. сотрудников РЖД. Через несколько часов администратор сайта, опубликовавший эти данные, закрыл к нему доступ, но это вряд ли помешает их дальнейшему распространению
Фото: Валерий Шарифулин / ТАСС
После появления информации об утечке персональных данных более 700 тыс. сотрудников «Российских железных дорог» (РЖД) объявили о начале проверки, сообщил представитель компании. «Готовятся материалы для передачи в правоохранительные органы», — добавил он. Представитель РЖД заверил, что персональные данные пассажиров похищены не были: «Система продажи билетов имеет защиту персональных данных высокой степени надежности».
Где были опубликованы персональные данные сотрудников
Основатель и технический директор компании DeviceLock, специализирующейся на предотвращении утечек данных с корпоративных компьютеров, Ашот Оганесян во вторник, 27 августа, сообщил в своем Telegram-канале «Утечки информации» и блоге на сайте Habr.com, что неизвестные выложили в свободный доступ персональные данные 703 тыс. человек. При этом злоумышленники добавили к публикации примечание: «Спасибо ОАО «РЖД» за предоставленную информацию путем бережного обращения с персональными данными своих сотрудников».
Согласно отчету по РСБУ за первое полугодие 2019 года, списочная численность работников РЖД составила 732 тыс. человек, таким образом, в открытом доступе оказалась информация о 96% сотрудников.
Данные работников РЖД были опубликованы на сайте «Инфач» под заголовком «Рабы РЖД». Около 14:00 мск администратор сайта закрыл к нему доступ — при попытке зайти на сайт выдается ошибка 403, «доступ запрещен». Домен infach.me был зарегистрирован в феврале 2018 года, он позволял пользователям анонимно публиковать персональные данные других людей. Среди данных сотрудников РЖД, опубликованных на сайте, были их имена, номера телефонов, должности, фотографии в форме и снимки СНИЛС.
Кто слил данные в Сеть
«Откуда произошла утечка — неизвестно, но есть предположение, что это база данных службы безопасности. Судя по формату фотографий, это снимки на пропуска», — отметил Оганесян в своем блоге. Он предполагает, что даже блокировка сайта уже не поможет предотвратить дальнейшее распространение оказавшихся в открытом доступе сведений.
Еще в прошлом году РЖД объявили о запуске интранет-портала для сотрудников под названием my.rzd.ru, к которому планировалось подключить всех работников компании. В личном кабинете они могли заказывать справки, оформлять билеты на поезд, редактировать данные о себе. Судя по отзывам пользователей, в последнее время у них были проблемы с доступом к порталу (вход по номеру СНИЛС и паролю), что они связывали с его взломом. В РЖД не ответили на запрос РБК об утечке данных с этого портала.
Гендиректор РЖД Олег Белозеров говорил в конце 2018 года о планах компании направить на цифровизацию 150 млрд руб. до 2025 года. В стратегии цифровой трансформации РЖД, в частности, уделяется внимание повышению информационной безопасности, использованию российского программного обеспечения, переводу в частное облако вычислительных ресурсов компании с возможностью хранения 12,5 петабайт данных, накоплению и обработке данных с 25 млн объектов железнодорожной инфраструктуры.
Как утекают персональные данные
По мнению председателя Ассоциации участников рынков данных Ивана Бегтина, утечки персональных данных происходят по трем основным сценариям. «В первую очередь, это утечки непосредственно из баз данных компании, когда хакеры подключаются к ним удаленно, взламывая системы безопасности. Во-вторых, это утечки, происходящие по вине инсайдеров. Зачастую бывшие сотрудники, у которых остался доступ к базам данных, могут их продавать или выставлять в публичный доступ, чтобы отомстить компании», — указывает эксперт.
Третий вариант — это когда обнародование данных необходимо по закону, однако из-за несовершенства защитных систем в открытом доступе оказывается больше информации, чем было необходимо изначально, добавил Бегтин. Примером такой утечки может послужить недавний случай, когда на электронных торговых площадках в открытом доступе было обнаружено не менее 2,24 млн записей с паспортными данными, номерами СНИЛС и сведениями о трудоустройстве россиян. Документы об одобрении тех или иных крупных сделок, которые электронные площадки обязаны публиковать, содержали информацию о тех, кто эту сделку одобрил, а также об их представителях.
Руководитель отдела аналитики и спецпроектов InfoWatch Андрей Арсентьев также обратил внимание на то, что к утечкам зачастую приводят случайные нарушения, вызванные действиями персонала компании: «Именно случайные нарушения приводят к самым масштабным случаям компрометации персональных данных. В основном такие утечки вызваны некорректными настройками хранилищ и багами на сайтах». По данным InfoWatch, во втором квартале 2019 года три четверти всей информации утекло как раз в результате случайных нарушений.
О каких крупных утечках данных известно
Это не первая масштабная утечка персональных данных россиян в этом году: в июне DeviceLock также обнаружила в открытом доступе данные клиентов ОТП-банка, Альфа-банка и ХКФ-банка (имена, телефоны, паспорта и место работы), всего это коснулось примерно 900 тыс. россиян.
В отчете InfoWatch за 2018 год отмечалось, что самая большая утечка информации в России произошла из-за уязвимости на сайте Рособрнадзора, когда скомпрометированной оказалась база данных о 14 млн бывших студентов.
В первом полугодии 2019 года самая крупная утечка данных в мире произошла, когда в Сети был обнаружен незащищенный сервер компании Verifications.io, занимающейся электронным маркетингом, напомнил Арсентьев. В результате утекло 2 млрд записей персональных данных, в том числе 800 млн электронных адресов с паролями. Несколько раз в масштабных утечках персональной информации обвиняли Facebook. Например, в апреле 2019 года данные миллионов пользователей соцсети оказались в открытом доступе на других платформах, а также в облачном хранилище Amazon. В марте 2019 года пароли миллионов пользователей были обнаружены хранящимися в незашифрованном виде на серверах Facebook. Сообщалось, что без защиты оказались «сотни миллионов пользователей Facebook Lite, десятки миллионов других пользователей Facebook и десятки тысяч пользователей Instagram».
Существует ли защита от утечек
По словам Арсентьева, защита от утечек предполагает проведение комплекса технических мероприятий: внедрение систем блокировки атак и предотвращения утечек, системы поведенческой аналитики, контроль привилегированного доступа и другие. Важны также и организационные мероприятия — прежде всего это тренинги для сотрудников и стремление повысить культуру обращения с данными.
Бегтин также напомнил, что, для того чтобы защитить персональные данные, хранящиеся в компании, необходимо вводить специальные регламенты обращения с данными, их переноса, а также регламенты обеспечения безопасности данных. Он добавил, что компаниям необходимо более внимательно относиться к закону «О персональных данных».
Как злоумышленники могут использовать персональные данные
Активность киберпреступников после утечки зависит от типа и спектра информации пользователей. В лучшем случае жертвам утечки станет приходить больше электронного спама и навязчивых предложений по телефону, а в худшем — их данные могут использоваться в мошеннических целях: для получения услуг на основе чужих персональных данных, оформления кредитов, перевыпуска сим-карт для последующего мошенничества и другие варианты, объяснил Арсентьев.
По словам Бегтина, если персональные данные сами по себе достаточно ценны (как, например, медицинские данные), то их могут просто продать. Однако чаще преступники используют информацию для кражи денег — взлома мобильных банков, переоформления имущества или для того, чтобы взять кредит. Он считает, что утекшая информация может быть также использована для слежки. А организованные преступные группы могут использовать данные более масштабно. «Известные примеры — это банковское мошенничество по телефону, когда человеку звонит злоумышленник, представившись сотрудником банка. Благодаря уже имеющемуся минимальному набору утекшей информации о клиенте банка он может с помощью социальной инженерии выспросить остальные необходимые данные, чтобы воспользоваться банковским счетом пострадавшего», — объяснил Бегтин.
Авторы:
Светлана Бурмистрова, Евгения Баленко
При участии:
Дада Линделл
По материалам:
