Кто и что стоит за утечками данных миллионов пользователей

Эта цифра, конечно, не означает, что ООН и национальные переписи населения нам лгут. На Земле по-прежнему проживает порядка 7 млрд человек. Просто данные одних и тех же людей — имена и фамилии, адреса электронной почты, номера телефонов, сведения о месте проживания — участвовали во многих утечках. Это позволяет недобросовестным обладателям этих баз узнавать всё больше информации о каждом из нас.

Сейчас услуги активно переводят в онлайн, люди всё чаще совершают покупки в интернет-магазинах, оставляя там свои персональные данные, даже объекты интеллектуальной собственности переходят в цифровой вид. В результате каждая единица информации о человеке приобретает вполне реальную ценность. Интерес злоумышленников к цифровым данным всё больше возрастает, и всё сильнее страдает репутация компаний, допустивших утечки. Усугубляет ситуацию тот факт, что люди самостоятельно отдают в руки мошенников практически всю личную информацию, иногда даже сами того не подозревая.

Разберёмся, через какие каналы утекают данные, какую ценность они несут для злоумышленников и как самостоятельно защитить личную информацию, оставив островок надежды на конфиденциальность.

В зоне риска

Персональные данные в России «сливают» давно. Ещё в начале 2000-х годов на «Горбушке» или Митинском радиорынке продавались базы данных ГИБДД с номерами автомобилей и ФИО их владельцев. Проблему с сохранностью информации тогда никто не пытался решить, и она стала расти как снежный ком. Ситуация осложнилась в конце нулевых, когда в стране провозгласили чёткий курс на цифровизацию и всю информацию начали постепенно переводить в электронный вид.

Наглядный пример. В мае 2019 года у жителя Москвы мошенники отобрали квартиру. Увидев в коммунальной платёжке чужую фамилию, он обратился в МФЦ за разъяснениями. Там ответили, что он якобы подарил незнакомому человеку свою недвижимость ещё полгода назад. Злоумышленники использовали цифровую подпись москвича, которую создали без его ведома и заключили сделку. Такое возможно только в сговоре с сотрудником одного из удостоверяющих центров (УЦ), выдающих электронные цифровые печати (ЭЦП). В России количество таких центров исчисляется сотнями.

Проверить, заведена ли на вас электронная подпись, затруднительно, так как отсутствует единая база и каждый УЦ работает автономно. Если вы получали её сами, то к безопасности данных также есть ряд вопросов — как устроена политика конфиденциальности в каждом из этих центров, как устроены защита данных и доступ к рабочим компьютерам, наконец, не найдётся ли в каком-либо из этих УЦ нечистого на руку сотрудника?

Это лишь один пример, наглядно демонстрирующий масштаб беспорядка, творящегося в России с удостоверяющими центрами. С использованием поддельных подписей в России создают подставные фирмы, зарегистрированные на ни в чём не подозревающих граждан, и ликвидируют фирмы конкурентов.

Таких массивов информации в России очень много: это и база данных здравоохранения — электронная медицинская карта, и налоговая база данных, и данные ПФР, и проект по электронным трудовым книжкам, и многое другое. Помимо государственных существуют и коммерческие: базы данных банков, интернет-магазинов, социальных сетей. Уровень защиты всех этих хранилищ, мягко говоря, сомнителен. Так, по данным SearchInform, в 2019 году внедрили в свою инфраструктуру системы предотвращения утечек (DLP) только 31% компаний.

Шпионы в вашем доме

Усугубляется ситуация и тем, что теперь везде нас окружают электронные устройства. Практически каждый человек понимает, что современная электрическая плита удобнее в использовании, чем старая газовая, а умными микроволновками, пылесосами, мультиварками можно управлять с телефона. Безусловно, умный дом может предложить жильцу целый набор полезных сервисов, однако не стоит забывать, что пользование ими — это палка о двух концах.

Ведь, чтобы подстраиваться под пользователя, умным устройствам нужно знать о внутренней экосистеме в квартире многое. Кондиционеру нужно понимать, в какое время пользователь дома и какую температуру предпочитает, а роботу-пылесосу — представлять, как выглядит квартир. Неудивительно, что, например, робот-пылесос от Xiaomi уже собирает и отправляет в облако схемы помещений.

Всё это делается с благими рыночными намерениями: производителям устройств интернета вещей (IoT) необходимо совершенствовать свои продукты, настраивая их под пользователей. И если раньше нужно было долго и нудно проводить телефонные опросы, то с появлением интернета и процессоров в IoT эта процедура фактически изжила себя. Теперь компания может прописать в лицензионном или гарантийном соглашении возможность сбора любых данных и получать всю необходимую информацию без ведома пользователя.

По сути, мы дошли до той точки, когда нас могут окружать умные устройства, о разуме которых мы ничего и не знаем. В будущем мы легко можем столкнуться с ситуацией, когда, с точки зрения пользователя, новая модель будет отличаться от старой только внешне, но на самом деле она будет более продвинутой и будет собирать много больше информации.

Например, уже сейчас изготовитель роботов-пылесосов может продавать данные о квартирах клиентов, которые устройства собирают во время передвижения по дому. В этом случае мощный процессор в пылесос будет встроен не потому, что это нужно пользователю, а потому, что это выгодно производителю. Другой пример: умная зубная щётка может иметь всю ту же одну кнопку «Вкл./Выкл.», что и обыкновенная, но при этом она будет отправлять производителю информацию об ортодонтических привычках пользователей, чтобы производитель мог совершенствовать продукт или же предлагать дополнительные услуги (в том числе услуги партнёров, например, стоматологических клиник).

На данный момент для такой передачи данных всё ещё требуется содействие пользователя — как минимум необходимо настроить подключение к Wi-Fi. Но по мере развития широкополосных сетей доступа в Сеть для устройств IoT падёт и этот барьер.

Поскольку все собранные данные отправляются в базы компании-производителя, остро встаёт вопрос надёжности обработки информации. Конечно, в большинстве случаев данные деперсонализированы, но, поскольку они, например, представляют собой записи голоса или план квартиры, то деперсонализация здесь достаточно условна.

За чей счёт банкет

Политика ценообразования умных устройств часто формируется из того, насколько успешно разработчик сможет распорядиться полученными данными. В будущем самый обыкновенный пылесос может стоить в три раза дороже, чем умный, по одной простой причине: производитель окупит устройство, продавая данные о клиентах и их квартирах.

Так, пылесос условной себестоимостью $200 можно продавать за $100, потому что остальные $100 и маржу сверху можно собрать с покупателей данных. В то же время за простое устройство без встроенного процессора клиенту придётся платить не $100, а $300. Будет ли спрос на такие дорогие и неумные устройства?

Думаю, вряд ли, ведь никто не захочет переплачивать за воздух. Таким образом, простые и безопасные электротовары просто пропадут с рынка, как уже случилось с телевизорами — или же со знаменитыми тракторами John Deere.

Ситуация с персональными данными сильно схожа с отношением людей к благотворительности или охране окружающей среды. В целом большинство из нас поддерживает идею борьбы за экологию, защиты амурских тигров или помощи малоимущим. Но стоит предложить нам купить такое же молоко, как раньше, но в экоупаковке и буквально на десять рублей дороже, как число борцов за экологию сразу снижается.

Так и с персональными данными: многие уже осознают опасность утечек, но принимать меры и тратить на это деньги пока никто не собирается.

За всеми данными не уследить

Но есть и другая, гораздо более серьёзная, проблема, чем продажа собранных данных: всё чаще информация утекает через те или иные уязвимости.

Если мы имеем базы данных, доступные в интернете на запись (т. е. можно осуществлять и чтение и запись информации, просто доступ защищён аутентификацией) и в защите этой базы есть уязвимости, то данные могут быть скомпрометированы.

Так на чёрных рынках оказываются украденные массивы с миллионами записей, которые пользуются большим спросом среди злоумышленников. Основная цель мошенников — втереться в доверие к жертве, в чём легко могут помочь украденные данные. Если утекает база банка, в которой хранятся аутентификационные данные клиентов, то человеку будет сложно отличить банковского сотрудника от злоумышленника, у которого теперь все козыри на руках.

В 2019 году произошла масштабная утечка персональных данных клиентов сразу трёх российских банков. Она суммарно затронула интересы примерно 900 000 россиян, чьи имена, телефоны, паспорта и место работы попали в Сеть, и люди, фигурирующие в этих базах, могут стать жертвами мошенников.

В Сеть попадают и более объëмные массивы личной информации. Так, в конце 2019 года в открытом доступе оказались данные 1,2 миллиарда пользователей Facebook, Twitter и LinkedIn. Массив находился в открытом доступе в облачной платформе Google. Имея высокую скорость подключения к интернету и достаточный объëм свободного места, базу мог скачать кто угодно.

Поражает своими масштабами и круговорот персональных данных. За личные данные, которыми вы делитесь с крупным корпорациям, такими как Google, ещё можно быть спокойными: защита информации в их инфраструктуре выстроена наиболее надёжным способом.

Однако тот же Google работает с большим числом партнёров и рекламодателей, которым может передавать данные о пользователях. А вот как их хранят и защищают те же рекламодатели — большой вопрос. Всё становится существенно хуже, если вспомнить о том, что у рекламодателей могут быть свои партнёры, дочерние компании. Таким образом, один сообщëнный в Google бит информации через некоторое время оказывается в нескольких местах, и пользователь уже никак не может контролировать процесс передачи данных.

Закон не поможет

Проблема обработки и хранения персональных данных волновала умы нашей законодательной власти с начала процесса цифровизации. В итоге был принят федеральный закон (ФЗ) «О персональных данных» N 152-ФЗ. Однако его основной задачей была организация возможности автономного функционирования внутренних систем в ситуации, если Россию отключат от всех внешних источников данных — т. е. если в России «перерубят» интернет. С этой задачей — хранением данных на территории РФ — законодательство более-менее справилось.

Однако часть ФЗ, непосредственно относящаяся к защите и обработке персональных данных, до сих пор не работает. В каждом онлайн-магазине и банке нам предлагают оформить согласие на обработку персональных данных — типовое и чрезвычайно разрешительное. В нём, среди прочего, может указываться, что разрешение даётся «сроком на 10 лет с правом передачи третьим лицам для отправки сообщений в любых целях». Понятно, что в таких условиях ни о какой приватности данных не может быть и речи.

Поэтому личная информация пользователей утекает как из государственных систем, так и из коммерческих, что, мягко говоря, ставит под сомнение эффективность закона в его текущем виде.

При этом, например, европейский закон о защите персональных данных (General Data Protection Regulation, GDPR) является намного более жёстким. Он ужесточает правила получения согласия на обработку информации, при этом пользователь имеет возможность отозвать своё разрешение в любой момент и потребовать удалить персональные данные. Действие нового закона распространяется в том числе за пределы Евросоюза, и его положения касаются многих российских организаций, работающих с персональными данными граждан ЕС.

Например, российский сервис по продаже билетов при обработке персональных данных граждан ЕС должен соблюдать требования GDPR. За нарушение положений закона вводятся довольно серьёзные штрафы, которые составляют до 4% годового оборота компании-нарушителя или €20 млн. Штрафные санкции предусмотрены в том числе и за сокрытие информации о произошедшей утечке.

Хочется надеяться, что когда-нибудь и российское законодательство будет так же детально проработано.

Спасение пользователей — дело рук самих пользователей

Если надежды на законодательство в части защиты данных пока нет, пользователям остаётся одно — брать всё в свои руки и самим контролировать, куда и какие данные они отдают.

Прекращая отношения с банком или переставая пользоваться услугами интернет-магазина, стоит отослать туда типовую форму заявления об отказе продлевать соглашение на обработку персональных данных. В российских условиях это, конечно, не гарантирует, что ваши данные удалят, но, по крайней мере, повысится вероятность того, что они будут храниться у меньшего числа компаний.

И нельзя забывать о том, что в интернете никак не предусматривается возможность окончательного удаления данных. Поэтому основная рекомендация на данный момент — не сообщать о себе «наружу» по возможности ничего или, по крайней мере, ограничиваться минимальным набором информации.

Закупая так называемые умные устройства, нужно подумать несколько раз, не обойтись ли более дешёвым, но менее умным. Если говорить о тех же роботах-пылесосах, то некоторые из них вполне умеют работать без составления карты помещения. Они не соберут о вас лишнюю информацию.

Выбирая технику, лучше отдавать предпочтение европейским производителям. В Европе действует упомянутый закон GDPR, а значит, есть большая вероятность, что собираемые данные будут защищены более надёжно. Европейские или американские устройства, безусловно, стоят дороже.

Но, покупая телефон, нужно помнить, что клиент платит не только непосредственно за качество телефона, но и за качество связанной с ним инфраструктуры: сети, серверы для сбора, хранения и обработки данных. Тот же Apple постоянно развивает свою сетевую инфраструктуру, в то время как китайские производители в этом отстают.

По сути, производители из Поднебесной преуспели в другом: по мнению многих специалистов, китайские устройства — это не телефоны с функцией слежки, а устройства для слежки с функцией телефона. На это накладывается отсутствие адекватного подхода к обновлению прошивок и к безопасности инфраструктуры.

Во всём мире информация переходит в цифровой вид, злоумышленники совершенствуют свои инструменты, и всё чаще появляются дополнительные каналы утечки конфиденциальной информации. У нас пока нет привычки фиксировать, кому и какие данные отдаём. Мы не защищаем информацию даже на смартфонах и компьютерах, не говоря уже про другие устройства, подключенные к Сети. Поэтому, чтобы минимизировать риски утечек конфиденциальных данных, нужна слаженная работа с трёх сторон.

Компаниям стоит максимально полно использовать средства информационной безопасности и системно выстраивать специализированную защиту, позволяющую вычислять сговоры и мошенничество. Пользователям нужно проявлять большую осторожность и осознанность при выборе товаров и при работе со своими данными, а от государства ждём ужесточения требований в части обработки персональных данных и разработки стандартов защиты умных устройств.

https://hi-tech.mail.ru/news/kto_i_chto_stoit_za_utechkami_dannyh_millionov_polzovateley/