Персональные данные главы «Правительства для граждан» оказались в открытом доступе

Лич­ные дан­ные Арма­на Кен­же­га­ли­е­ва, пред­се­да­те­ля прав­ле­ния госкор­по­ра­ции «Пра­ви­тель­ство для граж­дан», кото­рая отве­ча­ет в том чис­ле за рабо­ту плат­фор­мы eGOV, утек­ли в сеть. Чинов­ник ока­зал­ся в чис­ле еще 16 мил­ли­о­нов казах­стан­цев, став­ших жерт­ва­ми оче­ред­ной мас­штаб­ной утеч­ки. Пер­вы­ми на нее обра­ти­ли вни­ма­ние авто­ры (https://t.me/securixy_kz) теле­грам-кана­ла SecuriXy.kz. Мы изу­чи­ли этот мас­сив дан­ных и на при­ме­ре Арма­на Кен­же­га­ли­е­ва рас­ска­зы­ва­ем, что в нем содержится.

Сама утеч­ка, судя по все­му, про­изо­шла в про­шлом году. На это обра­ща­ют вни­ма­ние и авто­ры SecuriXy. При этом они отме­ча­ют, что при­чи­ной сли­ва дан­ных мог­ли стать полу­от­кры­тые API гос­сер­ви­сов, взлом пло­хо настро­ен­ных плат­форм или несанк­ци­о­ни­ро­ван­ные выгруз­ки из инте­гра­ци­он­ных систем. О том, что почти навер­ня­ка источ­ни­ком утеч­ки были гос­сер­ви­сы, гово­рит харак­тер опуб­ли­ко­ван­ной инфор­ма­ции. Что мы узна­ли об Армане Кенжегалиеве?

• ФИО и дату рождения
• ИИН
• адре­са реги­стра­ции (их несколь­ко, один в шаго­вой доступ­но­сти от работы)
• Номер и дата выда­чи пас­пор­та / кем выдан
• Номер удо­сто­ве­ре­ния личности
• Наци­о­наль­ность
• Близ­кие род­ствен­ни­ки и их данные
• Даты реги­стра­ции бра­ка (у дру­гих людей есть и даты разводов)
• Номер теле­фо­на

В мини­стер­стве циф­ро­во­го раз­ви­тия заяви­ли, что тоже зани­ма­ют­ся ана­ли­зом утеч­ки и гово­рят о том, что боль­шая часть этих дан­ных уста­ре­ла. Но на при­ме­ре дру­гих уте­чек про гла­ву «Пра­ви­тель­ства для граж­дан» мы зна­ем точ­но, что номер мобиль­но­го теле­фо­на он исполь­зу­ет тот же, и не менял его как мини­мум с 2011 года. С его помо­щью он реги­стри­ро­вал­ся на поч­то­вом сер­ви­се mail.ru, делал покуп­ки в рос­сий­ской сети «Спорт­ма­стер» и зака­зы­вал еду в Яндек­се. Бла­го­да­ря дру­гой мас­штаб­ной утеч­ке из систе­мы «Даму­мед» мы зна­ем, в каком меди­цин­ском учре­жде­нии Арман Кен­же­га­ли­ев наблю­дал­ся несколь­ко лет назад (тогда к хаке­рам попа­ли его ФИО, дата рож­де­ния и ИИН).

В целом, если про­ана­ли­зи­ро­вать самые чув­стви­тель­ные дан­ные казах­стан­цев, ока­зы­вав­ши­е­ся в откры­том досту­пе в резуль­та­те всех уте­чек, то их источ­ни­ком ока­жут­ся госу­дар­ствен­ные сер­ви­сы. Напри­мер, мы не смог­ли зафик­си­ро­вать ни одно­го слу­чая утеч­ки бан­ков­ских рек­ви­зи­тов, в отли­чие от рос­сий­ских бан­ков, где мож­но най­ти дан­ные с номе­ра­ми кре­дит­ных карт и сче­тов с при­вяз­кой к теле­фон­ным номе­рам. Зато в агре­га­то­рах с утеч­ка­ми мож­но най­ти ста­рые дан­ные по уго­лов­ным и адми­ни­стра­тив­ным делам. При этом ранее в основ­ном дан­ные о казах­стан­цах мож­но было полу­чить имен­но из рос­сий­ских уте­чек. Поми­мо выше упо­мя­ну­тых «Спорт­ма­сте­ра», Яндек­са и mail.ru, в откры­том досту­пе есть инфор­ма­ция о казах­стан­ских поль­зо­ва­те­лях рос­сий­ской курьер­ской служ­бы СДЭК, Wildberries, рос­сий­ской систе­мы денеж­ных пере­во­дов «Юни­стрим» и т.д.

В декаб­ре про­шло­го года мы обна­ру­жи­ли (https://t.me/off_shores/240) одну из самых мас­штаб­ных уте­чек, свя­зан­ных с рос­сий­ской систе­мой про­да­жи биле­тов «Сире­на-Трэ­вел», с инфор­ма­ци­ей о 700 тыс. внут­рен­них пере­ле­тов казах­стан­цев. Утек­шие фай­лы вклю­ча­ют в себя ФИО пас­са­жи­ров, номе­ра их доку­мен­тов (загра­нич­ных пас­пор­тов и наци­о­наль­ных удо­сто­ве­ре­ний), номе­ра теле­фо­нов и адре­са элек­трон­ной почты.‍ Поз­же мы выяс­ни­ли (https://t.me/off_shores/246), что рос­сий­ская ком­па­ния рабо­та­ла вооб­ще без какой-либо реги­стра­ции в стране. В мар­те это­го года СМИ писа­ли со ссыл­кой на мини­стер­ства циф­ро­во­го раз­ви­тия, что «Сире­на-Трэ­вел» была оштра­фо­ва­на в РФ. В Казах­стане она ника­ко­го нака­за­ния не понес­ла. @off_shore

Источ­ник: Telegram channel “Выход к морю”