Управление бюджетной ответственности Великобритании (Office for Budget Responsibility, OBR) обвинило в утечке государственного бюджетного отчёта Economic and Fiscal Outlook (EFO) ошибки в конфигурации сайта на движке WordPress, сообщает The Register. В докладе отмечается, что WordPress может быть сложен в настройке, а при работе с ним легко допустить ошибки.
Фактически данные были раскрыты из-за непонимания работы плагина Download Monitor для WordPress и неверной настройки сервера, что вкупе позволило получить прямой доступ к файлу путём подбора URL. Плагин формирует простые и предсказуемые ссылки на файлы, что само по себе не является большой проблемой. Однако отсутствие на хостинге WP Engine блокировки прямого доступа к файлам стало второй ошибкой, приведшей к утечке. В результате документ до официальной публикации получили не только госслужащие, но и посторонние.
26 ноября, чуть позже 06:00 некие пользователи начали предпринимать десятки попыток найти отчёт по прямым URL с семи уникальных IP-адресов. Вскоре после загрузки отчёта в 11:30–11:35 по местному времени один из этих IP, наконец, подобрал нужный URL и скачал файл. Менее чем за час файл пытались получить с 32 различных IP-адресов. Удаление файла не помогло, поскольку он уже оказался в Internet Archive.
Источник изображения: Luke Stackpoole/unsplash.com
Канцлер Казначейства начал доклад по EFO в 12:34 того же дня, признав, что информация уже утекла в Сеть. Обычно сотрудники OBR сами поддерживают свой сайт, но примерно на три дня в году, в том числе во время публикации отчёта, из-за пиковых нагрузок к ресурсам допускаются сторонние разработчики. Примечательно, что нечто подобное уже случилось в марте 2025 года. Тогда один из IP-адресов получил доступ к документу приблизительно за полчаса до официальной публикации.
По итогам проверки предложено осуществить тщательную цифровую проверку материалов EFO за последние два года, а также пересмотреть постановление 2013 года, разрешившее OBR иметь независимый веб-сайт за пределами доменной зоны .gov.uk. Великобритания отличается весьма жёсткой позицией в сфере защиты информации. Например, в правительстве страны всерьёз рассматривался проект по физическому уничтожению лондонского дата-центра, содержавшего конфиденциальные данные и по ошибке проданного китайской фирме, до того как можно было бы обеспечить безопасность хранившейся там информации другими методами.
