20 декабря 2022

⚡️ ​​Отчёт об анализе цикла выгрузок информации в украинских телеграм-каналах, относящихся к данным «Почты России»  19.12.2022 в 10:17 в телеграм-канале DumpForums выложен файл (esia.097.csv), содержащий 1 миллион строк и следующие данные: 1. Наименование информационной системы (ЕСИА) 2. Токен 3. Дата 4. Наименование информационной системы (erl-portal) 5. ФИО 6. Пол 7. Дата рождения 8. СНИЛС 9. ИНН 10. Адрес 11. Паспортные данные 12. Статус проверки паспорта (предположительно) 13. E-mail 14. Телефон 15. OID ЕСИА (идентификтатор пользователя в базе ЕСИА) Это стало очередной публикацией так называемой утечки из ЕСИА, первая из которых была выложена 11.10.2022 в том же телеграм-канале. После этого было осуществлено последовательное малое дополнение утечки в 3 итерации до общего объема данных около 30 тысяч строк и две большие выгрузки, выставленные на различных форумах – публикация от 18 октября, содержащая более 2,5 миллионов строк, и от 19 декабря, описанная выше в отчете. Совокупный объем опубликованной уникальной информации на текущий момент превышает 3 млн строк. Даты на записях в файле явным образом перебиты (не совпадают между утечками и не совпадают с датой формирования части данных внутри систем) с целью продемонстрировать актуальность полученной базы, поэтому на текущий момент дата утечки атрибутируется во вторую половину 2021 года.             Поскольку речь идет о персональных данных, в выгрузке отсутствуют пароли или хэши паролей и по существенной части учетных записей включен второй фактор, версия по получения данной информации из системы ЕСИА посредством брутфорс (перебора паролей) считается технически невозможной.   В результате проверки установлено: 1.     Источником утечки информации не являются информационные системы ИЭП, в том числе ЕПГУ(ЕСИА): a.     Информация о проверке паспорта в указанном виде не содержится в БД ЕСИА; b.     OID ЕСИА содержится лишь в небольшой части строк. Значения OID остальных строк не содержат данных; c.      Несмотря на то, что OID действительно используется в рамках взаимодействия между компонентами ЕПГУ и некоторыми внешними системами, в частности СМЭВ, эта утечка не является утечкой из ЕСИА, поскольку в последней отсутствуют данные о статусе проверки паспорта (п12). OID ЕСИА могли оказаться в наборе данных вследствие утечки из сторонней системы, взаимодействующей со СМЭВ; d.     Наименование информационной системы (erl-portal) отсутствует в данных БД ЕСИА и иных БД ЕПГУ. 2.     Согласно проведенной аналитике, утечка произошла из одной из информационных систем АО «Почта России»: a.     Выгрузка данных по запросам согласий на передачу данных показала, что подавляющее количество указанных OID давали согласие на передачу данных из ЕСИА в адрес ИС «Почты России» (ввиду отсутствия историчности данных, на момент проверки часть пользователей могли отозвать свое согласие на передачу данных в сторону «Почты России»). b.     В справочниках по ВС СМЭВ выявлено несколько ресурсов на стороне «Почты России» для межведомственного взаимодействия, имеющих название, схожее по написанию с указанной в файле информационной системой erl-portal. c.      Структура данных совпадает с передаваемой со стороны Госуслуг в сторону «Почты России» 3.     Информация от 19.12.2022 не совпадает с другими утечками из «Почты России», ранее опубликованными в открытом доступе, поскольку относится к другой информационной системе почтового оператора, не появлявшейся ранее в публичном поле. Целями злоумышленников можно считать желание расширить формируемую в публичном поле область компрометации инфраструктуры РФ за счет выдачи данных утечки из одной организации за данные другой.