В социальных сетях распространяется информация о возможном взломе и утечке в даркнет личных данных 27 миллионов граждан Узбекистана. Согласно сообщениям, в скомпрометированной базе могут содержаться такие сведения, как имена и фамилии, номера телефонов, ПИНФЛ, адреса жительства, паспортные данные и биометрические фотографии. В качестве иллюстрации злоумышленники опубликовали личную информацию министра цифровых технологий.
Злоумышленники заявили, что если их требования не будут удовлетворены до 08:00 2 ноября, архив с этими данными будет выставлен на открытую продажу.
На фоне этих сообщений блогер Умид Гафуров поделился историей программиста, который в конце сентября обнаружил серьезную уязвимость на ресурсе одного из министерств страны. Эта уязвимость была оценена по шкале CVSS на уровне 8,6 из 10. Из-за этой ошибки любой пользователь мог получить доступ к данным примерно 40 миллионов человек без необходимости авторизации или соблюдения лимитов, что охватывало почти всё население Узбекистана и иностранных граждан, зарегистрированных в республике.
В открытом доступе оказались такие конфиденциальные сведения, как ФИО, фотографии, даты рождения, а также серии и номера ID-карт, заграничных паспортов и свидетельств о рождении, ПИНФЛ, информация об учебных заведениях и адресах прописки с кадастровыми номерами.
Попытки разработчика быстро уведомить ведомство столкнулись с сопротивлением. В колл-центре министерства ему ответили фразой: «Ты типа хакер? Приезжай в офис, я покажу, что у нас все нормально». Однако, когда программисту удалось связаться с профильными специалистами через другой официальный канал и лично представить проблему на встрече в ведомстве, ему сообщили, что об ошибке известно, но она не считается приоритетной, ссылаясь на недавние проверки безопасности.
Спустя пять дней уязвимость оставалась незакрытой, и специалист передал информацию в Центр кибербезопасности Узбекистана в рамках процедуры ответственного раскрытия информации. Он отметил, что у данного центра отсутствует удобный онлайн-механизм для анонимных обращений; заявки принимаются через Telegram, по телефону или лично в офисе. Кроме того, ведомство не предоставляет вознаграждения за обнаруженные ошибки, ограничиваясь благодарственным письмом по запросу, и не гарантирует сроки устранения сбоев, направляя лишь официальные уведомления соответствующим структурам.
Проблема на платформе министерства была исправлена только через восемь дней после обращения в Центр кибербезопасности, причем изначально исправление было лишь частичным. Сотрудники центра попросили программиста самостоятельно подтвердить, что ведомство действительно закрыло доступ к данным, а также предупредили о запрете на публичное освещение таких инцидентов из-за несовершенства законодательной базы.
По предварительным оценкам разработчика, если база данных, содержащая информацию о 40 миллионах человек, попадет в руки мошенников, потенциальный финансовый ущерб от оформления незаконных кредитов и иных злоупотреблений может достигать около 50 долларов на человека, что в масштабах всей страны составит 2 миллиарда долларов.
Также следует упомянуть, что в Узбекистане рассматриваются сообщения о возможной утечке персональных данных пользователей платформы SAFE Service, которая ранее называлась Safe Road.