Открытка: какого Whois «АКАДО» раскрывает персональные данные абонентов всем желающим

в 8:33, , рубрики: акадо, Никита Михалков, персональные данные, провайдеры, Текучка, телеком, утечки, метки: , , , , , ,

Московский оператор связи «Акадо-Телеком» (ОАО «Комкор») настроил трансляцию персональных данных клиентов в базу данных RIPE, общедоступную для прочтения через инструмент Whois. Владислав Здольников выяснил, что через Whois любой желающий может узнать ФИО клиентов «Акадо-Телеком» (или название компании), адрес подключения, телефоны этих абонентов. Оператор обеспечивает связью москвичей и жителей элитных Рублёвки, Барвихи, Жуковки, и Николиной Горы, в частности Никиту Михалкова. Здольников рассказал о раскрытии персональных данных представителю «Комкор», через некоторое время сотрудник оператора поблагодарил и заверил, что информация в Whois отредактирована. Здольников перепроверил, снова удивился, но на его письмо с уточняющим вопросом больше никто не ответил:

… решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал.

Контакты абонентов «Акадо-Телеком» доступны для просмотра всем желающим через Whois:

Фамилии, адреса и телефоны абонентов Акадо-Телеком, Комкора, утечка ПД

Здольников объяснил:

По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.

Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.

Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:

  • Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
  • Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
  • Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.

В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.

По данным с официального сайта «Акадо-Телеком» (ОАО «Комкор») обеспечивает связю: Госнаркоконтроль РФ, Государственный таможенный комитет РФ, ГУВД Москвы и Московской области, Минюст, Мосводоканал, Мосгортранс, московские аэропорты Внуково и Домодедово, Московскую объединенную энергетическую компанию, Мосэнерго, МЧС, Пенсионный фонд РФ, Почту России, Правительство Москвы, Сбербанк, столичные управления Федерального казначейства и Федеральной налоговой службы и другие ведомства и ключевые российские корпорации.

Владислав Здольников — активист Фонда борьбы с коррупцией, руководитель прокси-сервиса для Telegram TgVPN. В 2017 Здольников с коллегами просили Следственный комитет наказать чиновников Минкомсвязи и Роскомнадзора по трём статьям УК, за дыры в системе интернет-блокировок. Летом 2018 года компания Private Networks, зарегистрированная в Шотландии, фактически владеющая TgVPN, снова попыталась выступить в суде против Роскомнадзора.

В России именно последнее ведомство защищает права субъектов персональных данных, в данном случае клиентов «Акадо-Телеком».

Источник

* - обязательные к заполнению поля


https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js