Сайт UK Visa Portal, не имеющий отношения к правительству Соединённого Королевства, выложил конфиденциальную информацию клиентов в незащищённое облачное хранилище Amazon. Исправить допущенную оплошность пытались с привлечением юристов и специалистов по связям с общественностью.
«Помощники» из Объединённых Арабских Эмиратов
Согласно информации издания TechCrunch, веб-ресурс UK Visa Portal сделал общедоступными как минимум сто тысяч отсканированных паспортов и фотографий заявителей, которые оплачивали владельцам портала услуги по оформлению британской иммиграционной визы.
UK Visa Portal не аффилирован с иммиграционной службой Великобритании, однако взимает плату и собирает персональные данные с тех, кто стремится получить визу. Портал зарегистрирован в ОАЭ, а его предполагаемым оператором выступает компания Active Leadgen LLC. Впрочем, в TechCrunch отмечают, что независимого подтверждения этой информации получить не удалось.
При этом подлинность утёкших данных и их принадлежность реальным людям была подтверждена.
О факте утечки TechCrunch сообщил анонимный пользователь, который выявил неполадки в серверной части портала, а также обнаружил общедоступное хранилище в облаке Amazon. В нём хранились все пользовательские сведения: паспорта, селфи и данные о географическом местоположении.
Многие из загруженных пользователями снимков содержали довольно точные координаты места съёмки, поэтому по некоторым фотографиям можно было даже установить домашний адрес человека, сделавшего фото.
«Такая информация — весьма востребованный товар на чёрном рынке, активно применяемый в мошеннических и иных преступных схемах, — считает Михаил Зайцев, эксперт по информационной безопасности компании SEQ. — Хотя законность деятельности самой компании вызывает сомнения, в целом подобные инциденты нередко происходят исключительно из-за некорректных настроек облачных хранилищ; так что это может быть просто ошибкой, а не результатом злого умысла».
Несмотря на то, что содержимое хранилища не было проиндексировано в публичном доступе, файлы внутри оставались доступны по прямым ссылкам. А ошибка на серверной стороне сайта позволяла просматривать полный список этих файлов.
Как полагают в TechCrunch, такая утечка грозит серьёзными последствиями: паспортные данные в сочетании с фотографиями лиц являются крайне востребованным товаром на рынке киберпреступности. Особенно сейчас, когда во многих странах мира внедряются процедуры проверки личности по паспортам.
Доступ к данным был заблокирован в ночь на среду, спустя несколько часов после публикации первой статьи TechCrunch об инциденте. Учитывая исключительно конфиденциальный характер скомпрометированной информации, TechCrunch попытался связаться с руководством UK Visa Portal, чтобы сообщить подробности о выявленной проблеме.
Переговоры не удались
Единственный контакт, указанный на сайте, относился к службе поддержки клиентов. Журналисты TechCrunch решили не делиться с ними деталями, опасаясь, что раскрытые сведения могут быть использованы не по назначению.
«Представитель техподдержки сообщил TechCrunch имя и электронную почту Майкла Тейлора, который, по их словам, занимает должность менеджера в UK Visa Portal. Этот человек не ответил на наш запрос», — отмечает издание.
Однако спустя короткое время связаться попытались юристы американской компании BakerHostetler и сотрудники PR-агентства FTI Consulting: они запросили детали инцидента, но не смогли подтвердить, что имеют полномочия представлять интересы фирмы. В результате редакция TechCrunch отказалась вести с ними переговоры.
Никто из руководства компании так и не вышел на контакт с журналистами.
Как поясняется в статье TechCrunch, сторонний сервис для подачи визовых заявлений требуется только в ситуациях, когда речь идет о привлечении иммиграционного адвоката. Во всех остальных случаях заявки обрабатываются через официальный сайт правительства Великобритании.
