ФНС "прорвало". Архивы с персональными и налоговыми данными 20 млн россиян за 2009-2016 годы пролежали в открытом доступе в интернете почти полтора года

Данные 20 млн российских налогоплательщиков около года находились в открытом доступе в интернете, сообщила британская исследовательская компания Comparitech. По ее данным, база содержала ФИО, адреса, телефоны, паспортные данные, ИНН и суммы уплаченных налогов. В ФНС сомневаются в подлинности данных.

Персональные данные примерно 20 млн российских налогоплательщиков могли около года находиться в незашифрованном открытом доступе — в незащищенном кластере Elasticsearch на облачной платформе Amazon Web Services. Об этом 1 октября сообщила британская исследовательская компания Comparitech.

Британская компания Comparitech Limited основана в 2015 году, зарегистрирована в городе Мейдстоун, графство Кент. С ней сотрудничает около 30 исследователей, разработчиков и авторов, занимающихся изучением и подготовкой отчетов и публикаций по следующим темам и проблемам: защита персональных данных в интернете, кибербезопасность, вирусная активность в интернете, работа интернет-провайдеров, мониторинг работы сетей, работа интернет-сервисов, в том числе VPN и т.д. Ежемесячная аудитория сайта Comparitech.com составляет около 1 млн уникальных пользователей. Эксперты Comparitech регулярно дают комментарии и выступают на ТВ и радио, их отчеты публикуются или цитируются в таких СМИ как Forbes, The New York Times, BBC, The Guardian, Business Insider, Huffington Post, CBS News, Cnet, ZDNet и др.

В феврале Comparitech подготовила рейтинг стран мира по уровню кибербезопасности. При составлении рейтинга Comparitech учитывала семь основных критериев, среди которых процент мобильных устройств и ПК, зараженных вредоносным ПО, количество хакерских атак с целью кражи денег, подготовленность страны к хакерским атакам и т.п. В рейтинге из 60 стран Россия оказалась на 23-м месте, лидером стала Япония, а последнюю строчку занял Алжир. Россия также оказалась среди стран, законодательство которых лучше всего отвечает современным требованиям в сфере кибербезопасности.

Comparitech занимается расследованием ситуации вместе с независимым исследователем в области безопасности Бобом Дьяченко, который и обнаружил утечку. Данные были индексированы поисковыми системами в мае 2018 года. 17 сентября этого года господин Дьяченко обнаружил базу в открытом доступе и рассказал об этом ее владельцу, который находится на Украине. 20 сентября доступ к базе был закрыт.

Среди персональных данных россиян, которые могли находиться в открытом доступе более года,— ФИО человека, адрес, его статус налогового резидента, номер паспорта, номер телефона, ИНН, название/имя и телефон работодателя, сумма уплаченных налогов.

Данные были разбиты на две базы — в первой содержались персональные и налоговые данные на 14 млн человек за период с 2010 по 2016 год, во второй — на 6 млн человек за период с 2009 по 2015 год.

Comparitech неизвестно имя владельца базы, они только знают, что он находится на Украине. Исследователи пытаются выяснить, кто мог быть вовлечен в столь масштабную утечку.

Comparitech подчеркивает, что если эти данные оказались в руках злоумышленников, они могут воспользоваться ими для мошеннических действий, например, фишинговых атак, кражи средств или получения доступа к другой персональной информации.

По мнению основателя и технического директора компании DeviceLock Ашота Оганесяна, «судя по налоговым данным и информации о работодателе не в формате ИНН, а с полным названием организации, это может быть либо компиляция из криминальных баз, похищенных из госорганов (например, ФНС и ПФР), либо же база, связанная с личным кабинетом физлица на одном из порталов государственных услуг». «Украинский след» в истории сервера, как считает господин Оганесян, может объясняться тем, что была обнаружена копия базы, когда-то найденная в другом месте и сохраненная для продажи или обмена. «Такие базы достаточно часто появляются на черном рынке, однако эта — одна из самых больших за последнее время. Криминальные элементы используют такую информацию для различных мошеннических схем, таких, например, как появившиеся в последнее время в Москве фальшивые требования об уплате налогов, волна которых странным образом почти совпала с обнаружением этой базы»,— рассказал Ашот Оганесян.

В «Ростелекоме» сообщили “Ъ”, что для портала «Госуслуги» «обеспечивается необходимый комплекс защиты мер, проводятся периодические тестирования на наличие уязвимостей, а все критичные события ИБ подлежат круглосуточному анализу и корреляции с применением SIEM систем».

Представитель Минкомсвязи сообщил “Ъ”, что «утечек данных нет и никогда не было», «информационные системы надежно защищены: сертифицированы и аттестованы в соответствии с требованиями регуляторов».

В ФНС России заявили, что часть данных, упомянутых в статье на портале Comparitech, вообще не собирается и не хранится в информационных ресурсах Налоговой службы, а формат и структура данных не соответствуют форматам хранения данных, применяемых в ведомстве. «Проверить подлинность якобы утекших данных и существование ресурса, указанного в статье, невозможно в связи с отсутствием на него ссылки. Информация, изложенная в статье, может являться провокацией. ФНС России уже направила официальное письмо об инциденте в ОЭСР»,— сообщили в службе.

***
"Утечек в течение 19 лет зафиксировано не было, потому что эта информация надежно закрыта"
Глава ФНС Михаил Мишустин заверил Госдуму в надежности баз данных ведомства

ФНС исключила риски утечки данных из единого федерального информационного ресурса, содержащего персональные данные населения России. Об этом во вторник сообщил руководитель ФНС Михаил Мишустин в ходе пленарного заседания Госдумы, отвечая на вопрос депутата о рисках утечки данных из указанного ресурса.

Сегодня Госдума одобрила в первом чтении правительственный законопроект о создании единого федерального информационного ресурса с персональным данным россиян. Он объединит все имеющиеся у различных ведомств данные. Оператором федеральной информационной системы предлагается сделать ФНС России.

"В соответствии с Налоговым кодексом налоговая служба уже получает много лет (в соответствии со ст. 85 НК) совокупность данных от 15 ведомств, которые так или иначе интересуют любого человека — это данные ГИБДД, Росреестра и так далее. Этих утечек в течение 19 лет зафиксировано не было, потому что эта информация надежно закрыта. У нас два центра обработки данных, которые сертифицированы по всем международным стандартам", — подчеркнул Мишустин.

Первый замглавы Минфина Татьяны Нестеренко представляя законопроект сообщила, что целью формирования и ведения ресурса является создание системы учета сведений о населении, обеспечивающей актуальность, достоверность и гармонизацию в информационных ресурсах государственных и муниципальных информационных систем.

Нестеренко также подчеркнула, что зайти в систему ресурса смогут только аккредитованные сотрудники, доступ к этой информации со стороны частных лиц исключен.

Согласно законопроекту, ресурс будет содержать базовые (фамилия, имя, отчество, дата и место рождения и смерти, пол, реквизиты записи акта гражданского состояния о рождении и смерти, СНИЛС, ИНН и иные) и дополнительные (семейное положение, родственные связи и иные) сведения о физическом лице.

Оригинал этого материала