Интернет и IT

ВТБ, «Сбербанк», официальный сайт мэра Москвы — утечки данных пользователей продолжаются

Статья в связи с последними скандалами по утечке персональных данных.

В связи с последними скандалами по утечке персональных данных сайт vc.ru разместил статью, где объяснили, почему это происходит и как с этим бороться. Рассказывает SEO-специалист, эксперт по поисковым системам в Rush Agency Павел Медведев.

На фоне всеобщей истерии в ленте по поводу «Google Документов» и Power Bi я ввёл старый запрос 2011 года, чтобы посмотреть, изменилась ли ситуация, и ужаснулся.

Раньше проблемы были в основном у мелких интернет-магазинов, сейчас информацию сливают и такие гиганты, как ВТБ, «Сбербанк», департамент транспорта Москвы, агрегаторы авиабилетов и многие другие. Я считаю, это связано с тем, что из-за кризиса многие хорошие специалисты и разработчики переориентировались на Запад, и качество кадров в ИТ снизилось. Примеры данных, которые можно найти в поисковой выдаче:

Распечатки билетов с travel.vtb.ru

Данные транзакций через «Сбербанк»

«Сбербанк»

Пример пользовательских данных из заказа интернет-магазина

«Единый транспортный портал Москвы», dt-window.mos.ru

«Единый транспортный портал Москвы», dt-window.mos.ru

«Единый транспортный портал Москвы». Можно даже скачать сканы документов, паспортов пользователей в высоком разрешении

Вышеописанные три домена ВТБ, «Сбербанка» и «Единого транспортного портала Москвы» пренебрегают элементарными требованиями защиты данных — у них даже отсутствует файл robots.txt.

Как могло произойти так, что персональные данные — «Google Таблицы», отчёты с финансовыми показателями компаний в Power Bi могли попасть в выдачу поисковых систем?

Поисковые системы не могут получать доступ и читать информацию со страниц, которые требуют авторизации.

Современные системы требуют сложные пароли, пользователям не всегда удобно запоминать столько паролей, для их удобства доступа к личным страницам создатели сайтов придумали документы с уникальным длинным адресом из случайного набора символов, который невозможно угадать или получить перебором, пример: сайт.ру/проверить-статус-моего-заказа/orjY4mGPRjk5boDnW0uvlrrd71vZw9kphf8eGbhlTpS4q9cvHzFNngSdNNIG8H5Lt3. Проверяем защиту приведенного выше URL на предмет перебора:

Если быть более точным, то 18 миллиардов триллионов триллионов триллионов триллионов триллионов триллионов триллионов триллионов лет для перебора всех возможных вариантов. Звучит надёжно.

Как это работает: вам на email или в SMS приходит сообщение с такой ссылкой, и вроде бы логично, что только вы можете воспользоваться ей для просмотра, корректировки своих данных.

Но есть много способов, как поисковая система может узнать о ссылке — например, вы на каком-то полуприватном затерянном на окраинах интернета форуме, где сидите только вы, и пять ваших близких знакомых поделились этой ссылкой.

Поисковые системы регулярно переобходят даже самые малопосещаемые и никому неизвестные сайты, если они доступны для индексации роботам. Такая ссылка рано или поздно проиндексируется, и страница с личной информацией попадёт в индекс. В 2011 году был скандал с попавшими в выдачу SMS «Мегафона».

Продолжение в источнике vc.ru

Комментарии

1
  • Анна Лядова
    ну и на хрена нарожали законы о персональных данных? только стращают мелких и усложняют работу, а крупачи ничего не боятся, вот и на утечку можно все списать, как хорошо.

Интернет и IT

На Госуслугах будет можно узнать, сколько номеров зарегистрировано на паспорт

Минцифры позволит абонентам проверить, столько телефонных номеров зарегистрировано по их паспортным данным.

5

Курсы повышения
квалификации

20
Официальное удостоверение с занесением в госреестр Рособрнадзора

На пути к эффективному партнерству: как начать работу с новым клиентом в бухгалтерской фирме

У самурая, как известно, нет цели — есть только путь. Но в бухгалтерской компании все иначе: здесь есть и четкая цель, и продуманный путь к ее достижению. Свой путь есть и у клиента, который решает доверить свои финансовые дела профессионалам. Расскажем об этом пути подробнее: как бесшовно принять клиента на обслуживание и какие важные нюансы нужно учесть.

На пути к эффективному партнерству: как начать работу с новым клиентом в бухгалтерской фирме
Ведение бизнеса

Предпринимателям упросят порядок уведомлений о ведении бизнеса

В Единый реестр предпринимательской деятельности будут автоматически подгружаться сведения из ЕГРЮЛ и ЕГРИП.

Лучшие спикеры, новый каждый день

Календарь вебинаров для бухгалтера в мае 2024. Выбирайте и смотрите!

Будьте в курсе последних изменений в законодательстве! Выбирайте из 7 вебинаров интересные именно вам и записывайтесь. Учитесь, не выходя из дома или офиса! Забирайте в закладки календарь вебинаров для бухгалтера, которые пройдут в мае 2024. Подписчикам «Клерк.Премиум» — бесплатный доступ.

Календарь вебинаров для бухгалтера в мае 2024. Выбирайте и смотрите!
13

🔨 Ударные скидки на «Клерке»! Курсы по учету на маркетплейсах, ВЭД, зарплате, финмоделированию, УСН и бухгалтерии с нуля за 3 690 рублей!

На горизонте сразу 4 праздничных дня, потом пара рабочих и снова 2 свободных! Используйте это время с умом — за череду праздников вы сможете пройти весь месячный курс «Клерка» и стать специалистом на еще одном участке, повысить квалификацию в своей сфере или освоить профессию бухгалтера с нуля! До 2 мая популярные онлайн-курсы за 3 690 рублей!

🔨 Ударные скидки на «Клерке»! Курсы по учету на маркетплейсах, ВЭД, зарплате, финмоделированию, УСН и бухгалтерии с нуля за 3 690 рублей!
5

Обязательный аудит за 2023 год: что будет, если нет заключения

Кто обязан провести обязательный аудит отчетности, какова ответственность за отсутствие аудиторского заключения? Казалось бы, все просто: всем, кто поименован в ст. 5 закона от 30.12.2008 № 307-ФЗ. Однако список, данный в ней, не закрыт. Помимо прямо указанных в норме, упоминаются еще случаи, установленные «федеральными законами». 

Обязательный аудит за 2023 год: что будет, если нет заключения
Опытом делятся эксперты-практики, без воды
Кадры

Принят закон о целевом обучении, который прямо затрагивает работодателей

С 1 мая 2024 года вступили в силу изменения в федеральный закон «Об образовании в РФ», которые инициировала зампредседателя Госдумы Ирина Яровая.

Бухгалтеры

🔥 Акция 6+6! Год подписки «Клерк.Премиум» по цене полугода!

Пользуйтесь всеми сервисами «Клерка» год, а заплатите, как за полгода. Купите подписку «Клерк.Премиум» на 12 месяцев, получите доступ к закрытым материалам — разборам законов, онлайн-курсам, справочно-правовой системе, вебинарам со скидкой 40%, а также 2 экспертные консультации в подарок!

Иллюстрация: Вера Ревина/Клерк.ру
Инвестиции

Итоги 34 месяцев инвестиций. 3,751 млн рублей

1 мая, значит пора идти на демонстрацию и подводить итоги апреля! Ежемесячно я пишу отчёт о том, что произошло по финансам и другим моментам. Напоминаю: я начал копить на квартиру в Сочи в июле 2021. 34 месяца позади. Погнали!

Итоги 34 месяцев инвестиций. 3,751 млн рублей

Топ-9 бизнесов для покупки в 2024 году

Интересуетесь покупкой бизнеса в 2024 году? Вот список самых популярных сфер для инвестиций.

Топ-9 бизнесов для покупки в 2024 году

Как подготовить бизнес к продаже. Что важно знать до продажи бизнеса

Планируете продать свой бизнес? Подготовка играет ключевую роль в успешной сделке. Вот несколько важных шагов, которые помогут вам грамотно подготовить бизнес к продаже.

Как подготовить бизнес к продаже. Что важно знать до продажи бизнеса

Не знаете плана счетов? Вы не бухгалтер!

Миникурсы, текстовые и видеоинструкции для бухгалтеров
Бухгалтеры

💪 Ударные скидки на «Клерке»! Курсы по учету на маркетплейсах, ВЭД, зарплате, финмоделированию, УСН и бухгалтерии с нуля за 3 690 рублей!

Проведите выходные с пользой! За череду праздников вы сможете пройти весь месячный курс «Клерка» и стать специалистом на еще одном участке, повысить квалификацию в своей сфере или освоить профессию бухгалтера с нуля! До 2 мая популярные онлайн-курсы за 3 690 рублей!

Как исключить «недружественного» участника из ООО

Можно ли исключить недружественного участника из ООО без его согласия? Какие базовые требования предъявляются к участникам ООО для обращения в суд с соответствующим заявлением?

Как трудоустроить иностранного ВКС из визовой страны: инструкция для работодателей

В отличие от трудоустройства иностранного сотрудника по обыкновенному разрешению на работу (РНР), оформление иностранца в статусе ВКС является более быстрым процессом и имеет ряд преимуществ. Работодателю не нужно получать квоту, оформлять разрешение на привлечение иностранцев, а документы для ВКС выдаются сразу на 3 года.

Как трудоустроить иностранного ВКС из визовой страны: инструкция для работодателей

Резиденты ТОР получат госимущество в упрощенном порядке

Предприниматели из специальных экономических территорий смогут быстрее получать недвижимое и движимое имущества без торгов и на льготных условиях.

Автоматизируем аутсорсинг бухгалтерских услуг: как не потеряться в потоке задач и клиентов

Автоматизация позволяет владельцу бизнеса выйти из рутины и операционки. При этом процессы останутся управляемыми. Разберемся, с какими трудностями автоматизация помогает справиться бухгалтерской аутсорсинговой фирме и какие возможности дает.

Автоматизируем аутсорсинг бухгалтерских услуг: как не потеряться в потоке задач и клиентов
Коллекторы

Должников по ЖКХ защитят от коллекторов

Коллекторов и других третьих лиц запретят привлекать для выбивания долгов за жилищно-коммунальные услуги.

В ЕГРН больше не будет информации о режимных объектах

Вступает в силу закон о неразглашении назначения, положения и видов режимных объектов.

Интересные материалы

Акцизы

Изменятся акцизы на российские вина

Игристые вина и российское шампанское будет облагаться акцизом в размере 119 рублей. В первоначальной версии законопроекта депутаты планировали увеличить этот налог до 141 рубля.