Минцифры и Ростелеком: слитая в даркнет база данных приложения «Госуслуги СТОП Коронавирус» является недействительной
По информации Telegram-канала «Утечки информации», на теневом форуме выставили на продажу базу данных 48 млн QR-кодов вакцинированных от COVID-19. Продавец утверждал в объявлении, что утекшая база была получена из приложения «Госуслуги СТОП Коронавирус» (Google Play, App Store). Утекшая база не содержит персональных данных вакцинированных граждан, так как там есть только обезличенные данные из приложения «Госуслуги СТОП Коронавирус».
В объявлении указано, что архив с полной базой занимает 150 ГБ и стоит $100 тыс. Также продавец предоставил тестовую выборку из базы на 10 тысяч строк.
В предоставленном образце данных содержались:
- по одной букве в ФИО на русском и английском языках, остальные -*;
- дата рождения полностью;
- УНРЗ (уникальный номер регистровой записи пациента);
- первые две цифры серии и последние три цифры номера паспорта, остальные -*;
- название вакцины на русском и английском языках;
- QR-код в формате PNG, закодированный в Base64 и срок его действия.
Эксперты сервиса разведки утечек данных и мониторинга даркнета DLBI после публикации объявления провели выборочную проверку из образца базы и выяснили, что QR-коды там действительные, они ведут на сайт «Госуслуги», а данные их по строкам в образце полностью совпадают с тем, что указано на официальной странице проверки QR-кодов (gosuslugi.ru/covid-cert/verify/). Сейчас данная проверка не работает, ниже по тексту объяснена причина.
Минцифры после инцидента провело проверку и выяснило, что личные данные пользователей приложения «Госуслуги СТОП Коронавирус» в безопасности. Минцифры уточнило, что в утечке якобы есть обезличенные маскированные данные из приложения «Госуслуги СТОП Коронавирус», а QR-коды из утечки нельзя было бы использовать отдельно — с ними все равно необходимо предъявить удостоверение личности. Сейчас эти QR-коды не работают.
Минцифры подтвердило, что в утекшей базе не содержатся персональные данные граждан, и угроз для безопасности личных данных вакцинированных или переболевших граждан нет. По утверждению ведомства, выборочная проверка опубликованных QR-кодов показала их неработоспособность. В связи с этим Минцифры не может подтвердить валидность этих данных.
В пресс-службе «Ростелекома» заверили, что все персональные данные пользователей приложения «Госуслуги» в безопасности, а слитая в даркнет база данных приложения «Госуслуги СТОП Коронавирус» является недействительной.
Компания заявила, что провела внутреннюю проверку, которая показала что опубликованные данные были сгенерированы вне системы и не имеют отношения к действующей базе пользователей приложения. Специалисты по информационной безопасности «Ростелекома» продолжают внутреннюю проверку по факту публикации в даркнете базы обезличенных данных.
Основатель сервиса DLBI Ашот Оганесян пояснил для Хабра, что вчера вечером в «Ростелекоме» отключили возможность сверки QR-кодов по номеру УНРЗ. Все QR-коды из утекшей базе содержат ссылки на УНРЗ. Пример. Теперь они действительно стали нерабочие. QR-коды, которые официально через сайт «Госуслуги» выдаются содержат содержат ссылки на другой код. Оганесян пояснил, что, скорее всего, эту базу данных перебором УНРЗ слили еще в декабре, а Ростелеком предупреждали об этом еще ранее, но компания закрыла эту уязвимость только в январе 2022 года.
Приложение Минцифры «Госуслуги СТОП Коронавирус» вышло 1 апреля 2020 года. Изначально оно предназначалось для получения мобильного пропуска на выход из дома в период самоизоляции в формате QR-кода.
Летом 2020 года Минцифры удалило персональные данные пользователей, оформлявших пропуска в приложении «Госуслуги СТОП Коронавирус». Также была удалена вся информация о том, куда, на чем и на какое время ездили пользователи по электронному пропуску, а также их данные о транспортных картах и личных автомобилях. Общий объем удаленных данных и количество пользователей, которые получали электронные пропуска в этом приложении, Минцифры не озвучило.
В ноябре 2021 года Минцифры объявило, что планирует ограничить официальную проверку QR-кодов о вакцинации только одним приложением — «Госуслуги СТОП Коронавирус», чтобы отсечь поддельные QR-коды после начала массового использования QR-кодов для доступа в общественные места, а также на междугородние рейсы на самолетах и поездах.
