В социальных сетях появилась информация о возможной утечке в даркнет персональных данных 27 миллионов граждан Узбекистана. Предположительно, база содержит имена и фамилии, номера телефонов, ПИНФЛ, адреса проживания, паспортные данные и биометрические фотографии. В качестве примера злоумышленники привели личные сведения министра цифровых технологий.
По их заявлению, если требования не будут выполнены до 08:00 2 ноября, архив с данными появится в открытой продаже.
На фоне этих сообщений блогер Умид Гафуров рассказал об обнаруженной в конце сентября уязвимости на платформе одного из министерств. По словам программиста, который выявил проблему, она позволяла без авторизации получать сведения примерно о 40 миллионах человек — практически обо всём населении Узбекистана и зарегистрированных в стране иностранцах.
В открытом доступе могли оказаться ФИО, фотографии, даты рождения, данные ID-карт, загранпаспортов и свидетельств о рождении, ПИНФЛ, информация об учёбе, адреса регистрации и кадастровые номера. Критичность уязвимости оценили в 8,6 балла из 10 по шкале CVSS.
Разработчик попытался предупредить министерство, однако, по его словам, сначала столкнулся с формальным отношением к обращению. Во время личной встречи сотрудники ведомства признали, что знают об ошибке, но не считают её срочной.
Через пять дней после обнаружения проблемы программист обратился в Центр кибербезопасности Узбекистана. Уязвимость устранили спустя восемь дней после обращения, но первоначально лишь частично. Специалиста попросили самостоятельно проверить, закрыт ли доступ к данным.
По его оценке, попадание такой базы к мошенникам могло бы привести к незаконному оформлению кредитов и другим злоупотреблениям. Потенциальный ущерб он оценил примерно в 50 долларов на человека, или около двух миллиардов долларов в масштабах страны.
При этом связь между обнаруженной ранее уязвимостью и нынешними сообщениями об утечке данных 27 миллионов граждан пока не подтверждена.
