ПОЧЕМУ ПРОИЗОШЛА УТЕЧКА ДАННЫХ СТОРОННИКОВ АКЦИИ В ПОДДЕРЖКУ НАВАЛЬНОГО?
23 марта команда оппозиционера Алексея Навального, отправленного в колонию, объявила о старте кампании “Свободу Навальному!”. На сайте акции предлагалось указать электронную почту и отметить свой дом, двор или улицу. 16 апреля база данных пользователей, решивших поддержать политика и акцию попала в открытый доступ в сети. База данных была опубликована в одном из открытых телеграм-каналов, занимающихся утечками данных.
(Ссылку на базу данных оставлю здесь, её можно открыть в MS Excel. Поскольку внутри базы данных нашёл как свою почту, так и почту нескольких знакомых, зарегистрировавшихся на акцию, лично у меня её подлинность сомнений не вызвала)
Штаб политика также подтвердил подлинность базы, однако указал на то, что утечка произошла не из-за взлома сайта, а из-за применения стороннего сервиса Mailgun. Mailgun — это API-интерфейс, позволяющий делать рассылки сообщений, собирать и анализировать ответы. С помощью него, например, составлялась карта городов России с количеством человек, готовых принять участие в акции. Это, наверно, отдельный вопрос, насколько уместно ведущим борьбу политическим силам полагаться в создании сайта на сторонние сервисы, но на взаимодействии различных API-интерфейсов сегодня построен весь web-сегмент. К примеру, мы публикуем свои посты на портале Medium.com, а распространяем их через телеграм-канал. Для этого как раз используется API-интерфейс телеграма, который в нашем случае удобно завернут в специального бота для публикаций на канале. Но ничего не мешает нам использовать тот же Mailgun, отправляя ежедневные посты подписчикам на почту (знали бы мы их почту ;) ).
Правда служба безопасности Mailgun так и не нашла причину утечки со своей стороны. Нечто подобное с сервисом уже происходило несколько лет назад, когда в сеть попали электронные адреса пользователей Reddit. Тогда уязвимость нашли в одном из аккаунтов работника сервиса.
ЗАЧЕМ ПОМНИТЬ ПРО ЦИФРОВОЙ СЛЕД?
В пресс-релизе, выпущенном командой Навального после инцидента говорится:
“Это исключительно база электронных адресов, без фамилий, имён или каких-либо уточняющих данных. Самую большую подлость, которую могут сделать злоумышленники — отправить вам неприятное письмо, которое, вероятно, попадет в спам.”
По моему мнению, это лукавство или, скорее, полуправда. С одной стороны, при регистрации на акцию через сайт никаких других обязательных данных кроме почты действительно не требовалось. А значит, и получить что-то кроме её адреса (и времени регистрации) злоумышленники не могли. С другой стороны, для сотрудников штаба и администрации сайта слишком наивно полагать, что эти данные нельзя получить, совместив их с другими базами, где могла бы быть указана та же почта. Такие базы можно получить как из открытых источников вполне законным путём (например, из профилей соцсетей), так и из других похожих утечек данных. Причём последние случаются довольно часто. В прошлом году несколько утечек пользовательских данных случилось даже у Сбера, хотя системы безопасности банковских служб традиционно самые надежные. Есть ли смысл говорить про те данные, которые мы оставляем, участвуя в промоакциях различных магазинов или регистрируясь на множестве он-лайн площадок?
В совокупности с другими сохраненными действиями пользователя в сети (о cookies мы писали в прошлом тексте) такие данные формируют то, что сегодня называют цифровым следом. Цифровой след как раз можно использовать для проведения деанонимизации, то есть установки личности в сети. Очевидно, что сделать нечто подобное с попавшей в сеть базой данных пользователей, решивших выйти в поддержку Алексея Навального, не составит труда.
КАК ИЗБЕЖАТЬ ДЕАНОНИМИЗАЦИИ?
Если говорить применительно к инциденту с утечкой данных компании “Свободу Навальному!”, то самым хорошим способом было бы использование отдельной почты. Вообще, наличие нескольких почтовых ящиков, разделенных по принципу работа/личная жизнь/всё остальное сегодня кажется логичным. Но их длительное использование всё равно рано или поздно приведёт к тому, что через цифровой след их можно будет объединить (как минимум, через идентичные фамилию, имя и отчество или номера телефонов).
К тому же, если подобной базой данных решат воспользоваться власти, то вряд-ли она станет для них единственным источником информации. К примеру, итогом всё-таки состоявшийся акции протеста в поддержку оппозиционного политика в прошедшую среду стал значительный контраст в количестве задержанных между Москвой и другими городами. Журналисты канала “Дождь” предположили, что это было связано с развернутой в Москве системой распознавания лиц: в этом случае просто пропадала необходимость задерживать “самых активных” на месте, их личности можно было установить и без этого. Другим очевидным источником может быть биллинг сотовых данных в местах скопления людей и последующий запрос к оператору связи за информацией об абоненте.
Поэтому, возможно, не стоит слишком сильно переживать, если ваш адрес почты, также как и мой, оказался внутри “слитой” базы данных. Часто, “слив” информации в открытые телеграм-каналы используют для ведения политической игры, например, намеренного воздействия на СМИ или как средство к подготовке принятия новых законов.
P.S. Надеюсь, сегодняшний пост не получился сильно политически-ангажированным.
P.S.S. Пароль на почте сменить всё же стоит :
А ещё нам ровно год! Больше любопытного в Телеграм-канале:
