Утечка персональных данных пользователей «Яндекс.Еды»: что это было Утечка персональных данных пользователей «Яндекс.Еды»: что это было

Утечка персональных данных пользователей «Яндекс.Еды»: что это было

«Сумма технологии» обратилась к экспертам с просьбой оценить масштабы и особенности утечки

22 марта СМИ рассказали о появлении в сети интерактивной карты России с данными пользователей сервиса «Яндекс.Еда». Более чем 50 тыс. адресов на карте были снабжены персональными данными, которые включали Ф. И. О., адреса электронной почты, модели устройств, суммы заказов за последние полгода. 23 марта Роскомнадзор сообщил, что заблокировал сайт с картой и составил протокол в отношении  ООО «Яндекс.Еда» за нарушение законодательства в области персональных данных по ч. 1 ст. 13.11 КоАП РФ; компании грозит штраф до 100 тыс. рублей.

Об утечке своих данных «Яндекс» сообщал еще 1 марта. Служба безопасности компании утверждала, что «в результате недобросовестных действий одного из сотрудников в интернете были опубликованы телефоны клиентов и информация об их заказах: состав, время доставки и так далее. Утечка не коснулась банковских, платежных и регистрационных данных пользователей, то есть логинов и паролей». По всей видимости, опубликованная карта — продукт на основе именно этой утечки. «Никаких новых инцидентов в сфере информационной безопасности с 1 марта не было. Речь про утечку, о которой «Яндекс.Еда» рассказала 1 марта, и тогда же она уведомила всех затронутых пользователей по электронной почте», — заявила пресс-служба сервиса.

24 марта руководитель «Яндекс.Еды» написал в блоге компании, что на карте можно найти сведения, которых не было в утекшем массиве: например, Ф. И. О. и адреса электронной почты, «это означает, что создатели сайта скомпоновали данные Еды с данными, утекшими из других компаний». В скором времени, пообещал руководитель сервиса, «мы подключим Еду к инструменту для управления данными, который Яндекс запустил в прошлом году. С его помощью можно посмотреть, какие данные о вас накопили разные сервисы, и при желании удалить их раз и навсегда».

В чем отличие этой утечки от других? Какими могли быть цели публикаторов и для чего им понадобилось облекать данные в визуально яркую форму? «Cумма технологии» обратилась к экспертам с этими вопросами.


Алексей Мунтян

— В чем особенность утечки данных сервиса «Яндекс.Еда»? 

— Я бы не сказал, что эта утечка качественно или количественно существенно отличается от других аналогичных эпизодов, имевших место в предыдущие годы. Единственное существенное отличие — это социально-экономический контекст и обстановка в стране, на фоне которых произошла утечка, и то, как этими данными могут воспользоваться.

— Каковы цели тех, кто выложил персональные данные пользователей сервиса в сеть?

— Мы говорим о достаточно распространенном сервисе в нашей стране, которым пользуются разные слои населения, в том числе люди, которые в силу финансового состояния либо в силу занимаемых постов в государственных структурах могут представлять интерес как для мошенников, так и для лиц, которые осуществляют ту или иную деловую разведку, либо даже разведку в интересах иностранных спецслужб. Опубликованные данные позволяют фиксировать актуальные номера сотовых телефонов и адреса доставки. Можно получить представление, где человек находился в определенный период времени. Анализируя частоту доставок и другие характеристики, можно получить представление о поведении и перемещениях человека. 

— Почему за доступ к опубликованным данным злоумышленники не запрашивали деньги?

— Некоторые базы данных публикуются в силу, скажем так, «энтузиазма» тех людей, которые обеспечили утечку. Они это публикуют как бы pro bono. Как они считают, чтобы показать уязвимость той или иной IT-инфраструктуры. Оставим за скобками, насколько их «благородная» цель соотносится с негативными последствиями для людей, чьи данные утекли. 

Иногда те или иные хакерские группировки пытаются показать своим потенциальным заказчикам свои компетенции, условно говоря, прорекламировать товар лицом, показать всему миру свои возможности. Если речь идет о каких-то целевых атаках, некоторые базы данных крадут именно под заказ. Сам факт утечки базы данных далеко не всегда становится публично известным, а организация, которая эту базу создавала, не сразу может узнать о факте кражи этой базы данных, а лишь через некоторое время по косвенным признакам.

Можно только гадать о мотивах действий, которые привели к утечке базы данных. Я не стал бы что-то точно утверждать — был ли там какой-то особый мотив, что произошло... Важнее понимать, что в текущей ситуации эти данные, учитывая их актуальный характер, могут быть использованы в разных сценариях, в том числе и в тех, которые выходят за рамки обычного представления о возможности их использования мошенниками разных мастей. Сейчас эти данные могут использоваться и в сценариях, имеющих отношение к обстановке в стране вообще. 

Учитывая, что количество утечек в последнее время возрастает, я бы не исключил ситуацию, что компания может столкнуться с коллективными исками со стороны своих клиентов, которые пострадали в результате этого инцидента.

— Представление данных в виде карты — это что-то новое для хакеров? Для чего такая показательная интерактивность? 

— Насколько я понимаю, утекшие данные были получены от самих пользователей сервиса и не носят в себе каких-то элементов уже ранее сделанной аналитики. Эта интерактивная карта показывает в очень-очень базовом приближении аналитический потенциал этих данных. То есть демонстрирует, что можно сделать, используя самый примитивный инструмент визуализации — просто взяв данные и наложив их на карту, с точки зрения локаций, по которым доставлялась еда в рамках сервиса. 

Для большинства людей какие-то отвлеченные, по их мнению, или абстрактные рассказы об аналитике данных, о тех интересных результатах, которые можно получить в результате аналитики, не носят наглядный характер. Видимо, те люди, которые организовали такую наглядную демонстрацию, хотели показать, насколько эти данные могут быть потенциально опасными для тех субъектов, чья информация таким образом оказалась в ненадлежащих руках. 

Обычно люди, слыша про какую-то базу данных, думают: «Ну ничего страшного, какие-то данные обо мне утекли, стало известно, что я заказывал что-то в сервисе, ну и ладно». Но, если мы посмотрим уже на карту, — как говорится, лучше один раз увидеть, чем сто раз услышать. С этой точки зрения не последствия утечки, а именно визуализация ее результатов может быть очень существенным элементом для привлечения внимания общества к этому вопросу. Людям наглядно показывают, как эти данные даже в примитивном сценарии могут быть обработаны и к чему это может привести. 

Учитывая даже личную жизнь людей, — человек может своей супруге или супругу сказать, что он в командировке, а супруг или супруга могут проверить по этой базе данных, был ли человек по тому месту, которое было указано в качестве командировочного, либо он на соседней улице что-то заказывал. Это просто один из сценариев, который может прийти в голову. Карта — наглядный пример простой аналитики, когда мы просто сопоставляем данные по конкретным идентификаторам и по конкретным локациям в определенный период времени. 

— Нужно ли рассказывать о таких инцидентах в СМИ? Нет ли тут риска увеличить ущерб от утечки? 

— Это всегда баланс между свободой слова и свободой оборота информации, которые защищены в нашей стране Конституцией. Безусловно, общество имеет право знать про такого рода инциденты, потому что они затрагивают его интересы. И не только гражданам РФ это интересно, ведь у нас многие люди являются пользователями сервиса, не имея российского гражданства, и у них есть свое представление об обеспечении их информационной приватности. Мне кажется, что в этом обсуждении важно конструктивное зерно. Если мы посмотрим на реакцию компании, — она не пыталась это «замести под коврик». Насколько я знаю, компания разослала своим клиентам, которые пострадали от утечки, информационные письма, где сама им рассказала об этом прискорбном факте. Такой подход является позитивным. У нас многие компании в подобных ситуациях действовали не столь информационно открыто. Я вижу здесь позитивные сдвиги, хотя они и не влияют на саму оценку инцидента и его масштабы. 

С другой стороны, очень важно в такого рода материалах, как минимум, стараться воздерживаться от ссылок на ресурсы, где произошла публикация. Не нужно человека стимулировать осуществлять какие-то действия. 

И конечно, общественное обсуждение должно нести для людей важную мысль о том, что нужно соблюдать принципы информационной гигиены. Не нужно несознательно регистрироваться на сервисах, стараясь максимально везде зарегистрироваться без намерения потом эти сервисы использовать. Нужно беречь свои персональные данные, нужно минимизировать все случаи предоставления данных о себе. 

— Насколько велик риск, что подобным утечкам могут сопутствовать публикации еще и биометрических данных пользователей?

— В рамках этого инцидента, как мне известно, не было скомпрометировано никаких биометрических персональных данных. Если у кого-то из интересующихся этим вопросом уже есть информация по утечкам биометрических персональных данных, есть какие-то уже утекшие базы данных в распоряжении, то, конечно, они могут сделать простое действие — просто сопоставить по набору идентификаторов ту информацию, которая сейчас была противоправно раскрыта, с теми базами данных с биометрией, которые ранее уже утекли из других компаний. Причем необязательно это должны быть именно утечки. Есть компании, которые занимаются маркетинговыми активностями и торгуют базами данных. 

Поэтому потенциальная опасность, конечно же, есть. Более того, мы сейчас говорим о том, что есть на текущий момент, но кто знает, какие утечки произойдут, допустим, в перспективе одного года. 


Лилия Земнухова 

Я бы выделила три принципиальные проблемы в факте утечки данных и публикации их в виде карты. 

Во-первых, визуализация данных стала более мощным инфоповодом, чем их утечка три недели назад. О чем это говорит? Информация в виде таблиц или баз данных не привлекает такого публичного внимания, как карта, которая красиво отобразила персональные сведения, привязала их к геолокации, геймифицировала поиск информации о себе, друзьях, родственниках или — наоборот — знаменитых или скрывающихся людях. 

Во-вторых, эта утечка упростила поиск информации для тех, кто не имел официального допуска к персональным данным (например, для мошенников). Карта не просто привлекла дополнительное внимание к факту утечки, но и упростила обращение с пользовательскими данными — адреса, имена, номера телефонов и другая информация оказались доступны любому пользователю для любых целей с помощью очень понятного интерфейса. 

И третье: конечно, такое обнародование данных ставит под угрозу пользователей. Эта утечка влечет за собой нарушение довольно большого количества законов — о частной жизни, о персональных данных и т. п. Пока неясно, что можно сделать в защиту пользователей, информация о которых разнеслась по всему интернету. Сейчас Роскомнадзор составил административный протокол в отношении ООО «Яндекс.Еда», по которому компания может быть оштрафована (до 100 тыс. рублей), но это слишком мягкая мера наказания.

Пользовательские иски к «Яндексу», о которых уже говорят в СМИ, — едва ли не единственная возможность призвать компанию к ответственности за этот инцидент. 

Публичное влияние, массовые коллективные и индивидуальные иски, общественное давление на компанию — все это может сформировать базовые принципы ответственности цифровых гигантов перед пользователями. Такие меры соответствуют принципам подотчетности платформ, которые развиваются в Европе и Штатах с целью защиты пользователей, но пока не имеют большой силы в России.