Данные российских налогоплательщиков утекли в Сеть?

На серверах Amazon в открытом доступе обнаружены 20 млн записей, с указанием ФИО, ИНН и суммы налога.

Исследователи обнаружили на серверах Amazon базу персональных данных 20 млн россиян, с указанием ИНН и объемов налоговых выплат. По свидетельству британской аналитической компании Comparitech, эта информация хранилась на сервере Elasticsearch в открытом виде около года. Проверить ее достоверность в настоящее время невозможно: публичный доступ к базе данных уже заблокировали.

В том же плохо защищенном кластере AWS хранятся и другие базы, однако они, по словам исследователей, содержат в основном разрозненные данные либо сведения из открытых источников.

Информация о российских налогоплательщиках, напротив, упорядочена и разделена на две базы. Одна из них содержит 14 млн записей (данные за период с 2010 года по 2016-й), другая —  6 млн (с 2009 по 2015 год). В записи включены такие сведения, как ФИО, год рождения, адрес места жительства, номер телефона, паспортные данные, ИНН, имя и контактный телефон работодателя, а также сумма налога, подлежащая уплате. Согласно блог-записи Comparitech, в списки в основном включены данные жителей Москвы и Московской области.

Вся эта информация хранилась в незашифрованном виде и в открытом доступе. Плохо сконфигурированные серверы в облаке Amazon обнаружил 17 сентября Боб Дьяченко, на счету которого много подобных находок. Исследователь попытался проинформировать владельца базы данных об ошибке в настройках, и 20 сентября публичный доступ к Elasticsearch-серверу был заблокирован.

Расследование, проведенное Comparitech совместно с Дьяченко, показало, что поисковики впервые проиндексировали открытые сведения в облаке Amazon в мае прошлого года. Кому принадлежит база данных россиян, выяснить не удалось — известно лишь, что владелец находится на Украине. Откуда взята столь подробная информация и с какой целью, тоже пока неясно.

В комментарии для издания «Коммерсант» директор компании DeviceLock Ашот Оганесян отметил: «Судя по налоговым данным и информации о работодателе не в формате ИНН, а с полным названием организации, это может быть либо компиляция из криминальных баз, похищенных из госорганов (например, ФНС и ПФР), либо же база, связанная с личным кабинетом физлица на одном из порталов государственных услуг». Оганесян не исключает, что найденную Дьяченко базу могли готовить для продажи на черном рынке.

Представитель Минкомсвязи в ответ на запрос «Коммерсанта» категорично заявил, что на портале госуслуг «утечек данных нет и никогда не было», а его информационные системы «надежно защищены: сертифицированы и аттестованы в соответствии с требованиями регуляторов».

Журналисты издания также приводят комментарий, полученный при обращении в ФНС России: «Проверить подлинность якобы утекших данных и существование ресурса, указанного в статье, невозможно в связи с отсутствием на него ссылки. Информация, изложенная в статье, может являться провокацией. ФНС России уже направила официальное письмо об инциденте в ОЭСР».

Как бы то ни было, случившееся — еще один повод напомнить владельцам баз данных о необходимости защитных мер и регулярных проверок ресурсов на уязвимость.

Ошибки в конфигурации Elasticsearch-серверов нередко становятся причиной утечек, которые могут привести к оттоку клиентов и, как следствие, снижению дохода бизнес-структуры. В тех случаях, когда в Сеть утекают клиентские данные, высока вероятность, что они попадут в руки злоумышленников и те смогут использовать их для кражи личности и реализации мошеннических схем.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля