Опасный поиск

Утечка документов

Популярная в русскоязычном сегменте интернета социальная сеть «Вконтакте» в свое время добавила возможность выкладывать документы. Действительно полезная опция, позволившая делиться с собеседниками документами, вот только по умолчанию все документы загружались с опцией общего доступа и их заголовки индексировались внутренним поиском социальной сети.

В результате в поиске оказывались фотографии банковских карт, сканы паспортов, чем не замедлили воспользоваться мошенники. По запросу “банковская карта” или “паспорт” они ежедневно находили новые документы, которые затем продавали на черном рынке или использовали для совершения преступлений.

Справедливости ради, охотники за чужими данными здорово погорели, когда об этой проблеме стали активно писать. Хакеры сделали документы, содержащие вредоносное программное обеспечение, и выкладывали их в социальной сети под видом документов и банковских карт пользователей. Многим охотникам за документами пришлось тогда заплатить солидный выкуп за расшифровку своих данных.

Утечка доступа к приватным чатам

Многие знают мессенджер Telegram, среди прочего он предлагает пользователям функционал приватных чатов. Вы можете создать приватный чат, и никто, кроме приглашенных туда людей, не будет иметь к нему доступ.

В этих чатах обсуждается личная информация, иногда корпоративная, передаются корпоративные данные, если и не секретные, то уж точно не предназначенные для широкого круга лиц. Попасть туда можно по приглашению администратора или переходу по секретной ссылке, которую знают только участники чата и … поисковая система.

К сожалению, ссылки на вступление в приватные чаты не были защищены от индексирования, поисковая система Google просканировала их, и они стали доступны неограниченному кругу лиц. Проблема решилась только после того, как независимый исследователь обратил внимание на это.

Обнаруживший уязвимость исследователь рассказал, что разработчики Telegram не только непростительно долго не отвечали ему, но и не признали серьезность проблемы. На самом же деле, это очень серьезная проблема для всех использующих приватные чаты для передачи ценной информации.

Наверное, у вас возник вопрос, как эта статья может помочь вам стать защищеннее или повысит вашу анонимность в сети. Не спешите с выводами, разбор подобных историй – тоже часть обучения, важная ее часть. Зная их, вы сможете предположить, откуда может прийти угроза, оценить надежность того или иного решения.

Например, выкладывая файл, проверьте, не открыт ли к нему публичный доступ, отправляя СМС с сайта, будете держать в уме возможность его утечки, создавая в мессенджере приватный чат, продумаете варианты, при которых третьи лица смогут получить доступ к информации, хранящейся в нем.

Завершая статью хочу вам дать еще один совет.

Яндекс и документы Google

Пожалуй, один из самых громких скандалов, связанных с поисковыми системами, случился, когда в поисковой выдаче Яндекса появились документы Google.Docs, к которым был открыт доступ по ссылке.

Как обычно происходит передача документов? Документ загружается, затем выбирается опция «сделать доступным по ссылке», затем ссылка передается адресату. Таким образом передавались корпоративные документы, файлы с паролями; московские чиновники передавали документы о повышении явки на выборах, блогеры – финансовые сметы. Теперь все эти документы стали достоянием публики.

Самым резонансным оказался документ, принадлежащий предположительно сотрудникам «Тинькофф Банк», согласно которому в банк нельзя принимать на работу представителей негроидной расы, ярко выраженных представителей сексуальных меньшинств, соискателей, которым нужно молиться в течение рабочего дня, бывших сотрудников правоохранительных органов, ФСБ, бывших судебных приставов, лиц кавказской национальности (за исключением армян и дагестанцев с опытом работы в банке), соискателей, имеющих неславянские ФИО.

Какие выводы стоит сделать:

Передавать по ссылке можно только документы, утечка которых не страшна. Если Яндекс смог проиндексировать документы, значит, это теоретически сможет и злоумышленник.

Кроме того, следует допустить возможность утечки этих документов и принять меры: например, если там были пароли, ‒ сменить их.

Яндекс и персональные данные пользователей

Летом 2018 года снова случился скандал, связанный с Яндексом, хотя сам популярный поисковик тут не виноват. Независимый эксперт провел исследование на предмет утечек персональных данных в поисковую выдачу и обнаружил, что в сети можно найти данные билетов, купленных на сайте РЖД, обращения в департамент транспорта, включая полный текст обращений и копии приложенных документов, и другие персональные данные.

В списке компаний, допустивших утечки, оказались такие гиганты, как Сбербанк и ВТБ. Ниже вы можете познакомиться с примерами утекших данных, взятых из авторского материала.  

  Вина в данном случае лежит на компаниях, не закрывших поисковым системам доступ к персональным данным и вообще нередко хранящих пользовательские данные в открытом виде. Разумеется, открытым данным рады не только поисковые системы, но и злоумышленники, для которых кража личности – выгодный бизнес. Рекомендуем проверить, не утекли ли ваши персональные данные в сеть, а также принять меры для дальнейшего предотвращения кражи личности.