Вокруг скандала с "МТС": замеченное и замолчанное

Напомним суть громкого скандала вокруг "МТС": из компании утекла к пиратам база с персональными данными абонентов. После этого она была растиражирована на CD и стала доступна в широкой продаже. Этот факт вызвал у абонентов "МТС" бурное негодование. Что ж, событие действительно уникальное – как по своим масштабам, так и по тому, что вокруг него произошло и что могло произойти. Последнее, кстати, интересней всего.

Персональные данные клиентов регулярно утекают из коммерческих компаний и государственных учреждений стран всего мира. Но обычно в подобных случаях речь идет об утечке данных нескольких тысяч людей или о том, что данные на несколько сотен тысяч человек оказались на какое-то время в открытом доступе. Мне не известны случаи, когда, как в случае с "МТС", оказались бы обнародованы данные на несколько миллионов граждан. Компания между тем даже не сочла нужным извиниться перед своими абонентам. Единственный реверанс "МТС" в сторону клиентов: через несколько дней после кражи компания сделала заявление о том, что готова бесплатно заменить номера тем из них, кто обратится в службу сервиса.

Вы спросите: а что простому человеку с того, что его персональные данные оказались в открытом доступе? Ну, появилась у кого-то возможность легко и быстро узнать любой номер мобильника, подключенного к сети "МТС". Стоит ли из-за этого огород городить, да еще и прилагать усилия для замены номера? Однако необходимость поменять номер мобильного телефона вполне может возникнуть – например, если его узнают люди, которым абонент не желает предоставлять возможность находить его в любое время. При этом убытки от замены номера мобильного телефона для абонента могут быть весьма значительными и исчисляться куда большими суммами, чем этот сервис стоит у оператора. Каждый может легко оценить ущерб для себя, просчитав, что будет, если до него не дозвонится по мобильному телефону хотя бы один клиент: будет потерян заказ, сорвется контракт и т.д. Однако требовать компенсацию у компании "МТС" бессмысленно, так как договор на предоставление услуг составлен таким хитрым образом, что компания не гарантирует абоненту ничего, в том числе и сохранения его персональных данных. Вот и выходит, что грандиозная утечка данных – проблема абонентов, а не самой "МТС"...

Заметим, что в украденной базе содержатся паспортные данные, контактные телефоны абонентов (а номера стационарных контактных телефонов, в отличие от мобильных, так просто не заменишь), а также данные о платежах оператору. Так что вполне возможны ситуации, в которых для абонента возникнет необходимость менять паспорт, а заодно и место прописки (регистрации). И это не шутка и не надуманная модель развития ситуации: получив сведения о платежах абонента за мобильный телефон, легко оценить уровень его благосостояния, а эта информация может привлечь внимание и квартирных воров, и серьезных рэкетиров, да и многих других отрицательных персонажей из нашей повседневной жизни...

Как же развивались события непосредственно после того, как кража стала очевидной и для владельцев компании, и для абонентов? Пресс-служба "МТС" промямлила что-то о внутреннем расследовании, которое ведет собственная служба безопасности компании, и на этом сочла свои функции выполненными.

Однако реальность оказалась более любопытной. По сообщению "Московских новостей", первый тираж пиратских дисков с базой появился в продаже в конце ноября 2002 г., а в январе 2003-го вышло уже "второе издание", так сказать, исправленное и дополненное. Большой тираж "второго издания" позволил снизить цену на CD с базой данных. Этот продукт появился в продаже в большом количестве торговых точек, и кажется, что лишь благодаря этому факт беспрецедентной кражи персональных данных оказался замечен широкой общественностью.

Правда, когда пресса высказала идею о том, что утечка произошла не из компании, а из компетентных органов, которым компания поставляет данные о своих абонентах, представители "МТС" внезапно встрепенулись и объявили, что это не соответствует действительности. Но что же тогда соответствует действительности? Вряд ли публике об этом расскажут...

Публика же не очень-то и любопытствовала. Через пару-тройку дней все успокоились. Никто не возмутился, не потребовал официальных извинений или компенсаций, не подал в суд на оператора, не умеющего хранить доверенную ему абонентами информацию. В результате инцидента "МТС" вышла сухой из воды. А это означает, что история может повториться.

В интернет-конференциях отдельные идеалистически настроенные личности высказывали мысли о том, что этим случаем должны заняться соответствующие силовые структуры, что государство должно поставить заслон подобным инцидентам... Реалисты возражали, говоря, что на радиорынках давно продаются базы данных МГТС, паспортных столов, числящегося в угоне автотранспорта и т.д. Эти данные доступны на CD, а иногда лежат в свободном доступе в Интернете, и воспользоваться ими может любой желающий...

В продаже присутствуют даже данные последней переписи населения. Заметим, что перепись позиционировалась как мероприятие общегосударственного масштаба, причем люди, называемые "компетентными", с телеэкранов и газетных страниц уверяли, что отвечать на вопросы анкеты можно без малейшей опаски, что персональные данные граждан будут использованы только для нужд переписи. И никто, даже государевы службы (налоговая, паспортные столы, военкоматы и прочие структуры) не получат к ним доступа. Когда же данные переписи появились в свободной продаже... ничего не произошло! Пресса и телевидение по какой-то причине шумихи не подняли – то ли потому, что после месяца галдежа о переписи это слово всем набило оскомину, то ли откуда-то сверху поступило распоряжение не слишком фокусировать внимание не проблеме. Так или иначе, факт обнародования персональных данных миллионов россиян остался почти не замеченным. А ведь тут затронут имидж не отдельной коммерческой компании, пусть даже федерального масштаба, а всего государства, которое в последнее время так печется о своем величии. И в этом случае никто из государственных чиновников не счел нужным извиниться перед гражданами, о шумных процессах над задержанными похитителями персональных данных россиян мы тоже не слышали. Все было спущено на тормозах.

Однако публикации персональных данных – это еще цветочки. События в области информационной безопасности развиваются стремительными темпами. То, что раньше составляло сюжетные коллизии киберпанковских фильмов, сегодня неумолимо становится суровой реальностью. Например, недавно прошла информация о задержании в Москве очередной банды вымогателей. Это сообщение не заслуживало бы внимания, если б не оригинальные технологии, при помощи которых бандиты "разводили" покупателей дорогих автомобилей. Данные на недавно купленную машину вносились в базу угнанных автомобилей, о чем "доброжелатели" сообщали новоиспеченному владельцу. После этого поступало предложение, от которого нельзя отказаться: за некоторую мзду предлагалось соответствующую запись из базы исключить. Заметим, что база, с которой производились соответствующие манипуляции, была не копией на CD, а оригиналом. В состав банды входили имеющие доступ к этой базе сотрудники правоохранительных органов.

* * *

Утечки персональных данных, которые приняли в России массовый характер, всего лишь одна из многих опасностей, связанных с информационной безопасностью граждан. И надо отметить, что ситуация в этой области стремительно ухудшается.

Мы больше знаем об атаках на DNS-серверы и вирусной эпидемии в Южной Корее, чем о происходящем в родных палестинах. Сейчас происходит то, что реально угрожает нашей безопасности, причем во всех ее аспектах: физической, финансовой, privacy и т.д. И главную угрозу представляют не почтовые вирусы и хакеры-любители, похищающие при помощи незамысловатых "троянов" коды доступа к провайдерам. Есть и гораздо более существенные, хотя и менее известные обывателю угрозы. В результате краж в области новых технологий подвергаются потенциальной опасности все граждане – как использующие интернет-ресурсы, так и не подключенные к Интернету.

Полную версию материала можно прочитать в журнале "Планета Internet". Перепечатка только с разрешения редакции "Yтро.RU" и "Планеты Internet ".