В Узбекистане распространяются сообщения о возможной масштабной утечке персональных данных. По утверждению злоумышленников, в их распоряжении оказалась база, содержащая сведения примерно о 27 млн граждан страны, сообщает Cronos.Asia.
Сообщается, что массив может включать имена и фамилии, номера телефонов, ПИНФЛ, адреса проживания, паспортные данные и биометрические фотографии. В качестве подтверждения авторы публикации продемонстрировали, как утверждается, персональные сведения министра цифровых технологий.
Злоумышленники также выдвинули ультиматум: если их требования не будут выполнены до 08:00 2 ноября, архив якобы будет выставлен на открытую продажу в даркнете. На момент публикации независимого подтверждения подлинности всей базы и заявленного количества записей нет.
На фоне этого инцидента блогер Умид Гафуров рассказал о другом случае, связанном с безопасностью государственной цифровой инфраструктуры. По его информации, в конце сентября один из программистов обнаружил критическую уязвимость на платформе одного из министерств.
Ее оценка по шкале CVSS составляла 8,6 балла из 10. По словам специалиста, ошибка позволяла без авторизации и ограничений получать сведения примерно о 40 млн человек – практически обо всем населении Узбекистана, а также об иностранцах, зарегистрированных в республике.
В потенциально доступном массиве находились ФИО, фотографии, даты рождения, серии и номера ID-карт, загранпаспортов и свидетельств о рождении, ПИНФЛ, сведения об учебе, адреса регистрации и кадастровые номера.
Как утверждается, программист попытался сообщить об уязвимости профильному ведомству, однако оперативной реакции добиться не удалось. После обращения через другой официальный канал специалист лично встретился с сотрудниками ведомства. По его словам, там заявили, что знают о проблеме, однако не считают ее критичной.
Через пять дней уязвимость, как утверждает разработчик, все еще оставалась открытой, после чего он обратился в Центр кибербезопасности Узбекистана в рамках процедуры ответственного раскрытия информации.
Проблему удалось устранить лишь спустя восемь дней после этого обращения, причем первоначально доступ к данным был закрыт не полностью.
Сам специалист оценил возможный экономический ущерб в случае попадания базы примерно на 40 млн человек к мошенникам в $2 млрд. Расчет основывался на условной оценке потенциальных потерь примерно в $50 на одного человека из-за незаконных кредитов и других схем. Эта сумма является оценкой автора, а не официальным расчетом государственных органов.
Инцидент произошел на фоне других сообщений о возможных утечках в стране. 29 октября МВД Узбекистана сообщило о проверке публикаций, связанных с платформой SAFE Service, ранее известной как SafeRoad. К проверке подключены Центр кибербезопасности и разработчик сервиса. При этом сама SAFE Service заявила, что распространяемые данные не были получены из ее инфраструктуры.
Отметим, что информация о новой базе на 27 млн человек пока остается неподтвержденной. При этом появление сразу нескольких сообщений о возможной компрометации персональных данных вновь усилило внимание к защите государственных и коммерческих цифровых систем Узбекистана.