«Ситуация критическая»: чем грозит крупнейшая утечка данных заболевших коронавирусом
В среду, 9 декабря, данные 300 000 человек, заболевших коронавирусом, попали в открытый доступ. Первым об этом сообщил новостной портал Readovka. Утечка данных произошла из-за человеческого фактора, заявил глава Департамента информационных технологий Москвы Эдуард Лысенко: «Сотрудники, которые занимались обработкой служебных документов, допустили передачу этих файлов третьим лицам». Взломов и какого-либо другого несанкционированного вмешательства в работу информационных систем правительства Москвы не было, добавил он. «Проверка продолжается, по ее результатам будут приняты меры», — пообещал Лысенко.
Что утекло?
Самая заметная часть архива — это сводная база пациентов, у которых выявлен коронавирус, говорит начальник отдела информационной безопасности «СерчИнформ» Алексей Дрозд, который изучил базу. По его словам, данные пациентов собраны в марте — мае 2020 года, а сам документ похож на отчет, который составляют для предоставления в вышестоящие инстанции.
Среди заполненных строк есть персональные данные пациентов (фамилии, имена, отчества и мобильные телефоны), в том числе детей и граждан других стран. Кроме того, в архиве много скриншотов, выписок об отдельных больных, фотографии экранов с данными о больных из компьютерной программы 1С. В отдельных случаях видны данные учетной записи пользователя 1С, говорит Дрозд: простым поиском в «Яндексе» удается установить, где он работает, а на некоторых снимках, сделанных с помощью смартфонов, в свойствах изображения видны координаты места, где он был сделан, и как минимум в двух случаях это тоже больница.
Данные более 20 млн пользователей VPN-сервисов утекли в сеть
Еще один тип информации, который есть в архиве, — это технические документы, например сертификаты безопасности. С помощью некоторых файлов можно узнать место работы врача, номер мобильного и его действия в системе, рассказывает Дрозд.
«Общий объем попавшей в открытый доступ информации приближается к гигабайту», — говорит представитель компании Infosecurity Александр Дворянский. По его словам, база актуальна на апрель — июнь 2020 года.
Какая грозит ответственность?
«Так как часть разделов пуста, это может быть косвенной подсказкой, откуда утек документ. Кроме того, в служебной информации некоторых файлов есть информация и об авторе документа (его Ф. И. О), то есть данные человека, который работал с документом последним», — говорит Дрозд.
К ответственности могут быть привлечены в той или иной степени все люди, прямо или косвенно виновные в произошедшей утечке, уверен руководитель дирекции юридической фирмы VEGAS LEX Кирилл Никитин. Речь идет и об операторах данных, то есть медицинском персонале, не обеспечившем их надежную сохранность, а также о тех людях, которые непосредственно распространяли такую информацию.
Данные миллиона водителей Москвы и Подмосковья выставили на продажу
При этом, напоминает юрист, публикация сведений о фактах заболевания COVID-19 того или иного человека, а также информации о течении болезни является не только нарушением законодательства о персональных данных, но и одновременно нарушает неприкосновенность частной жизни и врачебной тайны. При таких обстоятельствах виновных можно привлечь не только к гражданско-правовой и дисциплинарной, но и к административной и даже уголовной ответственности.
Пациенты, данные которых утекли в сеть, имеют все основания обратиться в суд с иском к больнице о взыскании компенсации морального вреда, уверена адвокат самарского филиала юридической группы «Яковлев и Партнеры» Евгения Рыжкова.
Чем опасна утечка?
Информация из базы может быть использована по-разному, констатирует Дрозд. Для мошенников в ней есть данные о заболевшем, о том, к какому лечебному учреждению он прикреплен, даты и результаты тестов, мобильный телефон и прочее. Если злоумышленники решат звонить жертве, чтобы поговорить о компенсации затрат на лекарства или по любому другому поводу, у них будет достаточно информации, чтобы войти в доверие. Сценариев мошенничества (социальной инженерии) может быть много: от предложений биологически активных добавок или вакцины до персонифицированных предложений в стиле «вам как переболевшему положена выплата, зайдите на сайт (конечно, фейковый) и оформите выплату», подтверждает руководитель аналитического департамента Infosecurity (ГК Softline) Дарья Кошкина. Для пользователей ситуация критическая — это максимально полные персональные данные, резюмирует она.
Кроме того, информацию можно использовать для обогащения уже существующих баз персональных данных, которые находятся в распоряжении у мошенников, добавляет Дрозд. Также с помощью этих данных мошенники могут атаковать отдельные медицинские учреждения, отметил эксперт.