Утекают персональные данные? Ерунда какая!

Дисклеймер:
Данной пост не содержит технических подробностей и не является описанием взлома.

tl;dr: На сайте, запущенном мэрией Новосибирска обнаружилась проблема (вероятно с кэшированием), позволяющая неавторизованному пользователю получить персональные данные пользователей сайта (включая номер мобильного телефона и возможный адрес). Спустя час после обнаружения, проблема перестала воспроизводится. Местным интернет-сми пофиг. Техподдержка сайта молчит. Cпустя день, неизвестно, исправлена ли проблема и оповещены ли пользователи о её существовании.

Таймлайн

19 марта. Утро.

Пресс-служба мэрии г.Новосибирска рассылает пресс-релиз «Об отключении воды или света можно узнать через SMS»

12:24

Новость ^[2], написанная по этому пресс-релизу появляется на Сиб.фм (Небольшой новостной сайтик — по 3 тысячи фолловеров в Фейсбуке и Твиттере, 4 — Вконтакте).

12:54

Ещё одна новость ^[3] появляется на НГС (Сами они себя называют «крупнейшим городским порталом в России ^[4]»).

12:55

Новость на сиб.фм читает мой знакомый и кидает мне ссылку на веб-сервис через IM.

13:00

Открыв сайт, я вижу замечательное в верхнем правом углу: Здравствуйте, mnweb [Выход].
После обновления страницы я вижу другой, более стандартный текст: «[Вход]». Не обращаю на это особого внимания.

13:05

Неспешно пытаюсь пройти регистрацию, ругаясь на абсолютно дурацкие требования. Понимаю, что без указания номера телефона этот сайт мне не откроется. Тыкаю по ссылкам в поисках FAQ,
Снова замечаю в верхнем правом углу вместо текста [Вход], примерно вот это: Здравствуйте, Андрей4500 [Выход]

Тут до меня доходит, что сайт явно показывает мне то, что не должен. Тыкаю по ссылке «Мои регистрационные параметры» — вижу форму авторизации. Несколько раз обновляю страницу.

Попалось!

Ещё несколько обновлений и я вижу другой профиль.

13:10

К этому времени я получаю подтверждение от знакомого о том, что он тоже может воспроизвести проблему и получить данные чужого профиля. С этого момента и до 14:00 проблема остаётся активной.

13:14

Быстро пишу письмо на адрес «техподдержки портала». Других контактных данных на сайте нет.

13:15

Получают ответ от робота: Ваше сообщение принято. Спасибо за информацию.
Больше писем от них получено не было.

13:31

Понимая, что оперативного ответа я не получу, пишу письмо в редакцию НГС (news@ngs.ru) с кратким описанием проблемы и просьбой временно скрыть материал. Дублирую через систему сообщения об опечатках.

13:34

Ещё одно письмо уходит в Сиб.фм (fm@sib.fm). На данный момент только эти два источника отображается в поиске Яндекс.Новостей.

13:42

Нахожу новость на Тайга.инфо (Уникальных посетителей в день: 10 000 — 12 000 ^[6]) и отправляю им аналогичное письмо (info@taygainfo.ru).

14:00

Проблема больше не воспроизводится.

Подводя итог

Я не могу сказать, в чём технически заключалась проблема. Скорее всего, неправильно настроенное кэширование.

Сейчас, спустя день, о том, что проблема имела место быть нигде не написано.
Ни одно из СМИ не скрывало материал и не связалось со мной для уточнения подробностей.
Позже днём было отправлено сообщение в «техподдержку портала» с простым вопросом, ответа на него не последовало. Вероятно, эту почту никто не читает.

Я не знаю, сохраняется ли проблема на данный момент или она была исправлена. Не исключаю, что проблема не воспроизводится из-за спада посещаемости и фактически её всё ещё можно воспроизвести.

Я не знаю, но сомневаюсь, что все пользователи портала получили оповещение о том, что их данные были скомпрометированы. Если кто-то из журналистов захочет это проверить, напишите — у меня сохранилось несколько скриншотов, с номерами телефонов.

Автор: sust

Источник ^[7]