Еще не успели забыть нашумевшею утечку базы с данными 26 млн водительских удостоверений украинцев (главное — оправдали «Дію»), как выяснилось еще одна не менее интересная история того же жанра, с той лишь разницей, что теперь на продажу выставили… данные украинской таможни. На инцидент обратил внимание ресурс AIN.UA, которые провел собственное расследование, пытаясь выяснить, как так вышло.
Базы данных продают по цене от $100 до $400. Как рассказал редакции AIN.UA, компетентный источник, фактически это слитые старые и новые внутренние базы данных таможни. Иногда они структурированы, с отфильтрованной информацией и визуализацией, иногда — оригинальные Excel-таблицы. Вот несколько примеров таких сайтов: 1, 2, 3, 4. Часто они предлагают скачать пример с данными, а в некоторых случаях даже выкладывают демо-видео работы сервиса. В таких таблицах содержатся данные об операциях, которые совершаются на таможенной границе Украины. Здесь и названия компаний, их ЕГРПОУ, даты принятия и оформления товара, реквизиты отправителей, стоимость товара и курс доллара на тот момент.
На некоторых сайтах можно оформить подписку (начиная от $15 в месяц). Можно единоразово качать таблицы: такая услуга может стоить от $100 и выше.
В октябре 2019 года в Украине создали рабочую группу для аудита IT-систем, использующихся таможней. В ходе аудита проверку проходили два продукта:
- «Инспектор» (ранее называлась «Инспектор 2006»), с помощью которой проводят таможенное оформление;
- ЕАИС (Единая автоматизированная информационная система), которая обеспечивает другие функции (например, транзит).
Согласно аудиторскому заключению, те процессы и IT-системы, которые используются сейчас, недостаточно защищены.
Вот как прокомментировал источнику ситуацию компетентный участник, знакомый с технической стороной вопроса:
«Это — система старого образца, обычная десктопная версия, которая синхронизирует данные имейлом с центральной базой. И каждый человек, у которого она стоит, несложными манипуляциями может получить полный доступ ко всем базам данных. Через эти системы ведется учет абсолютно всех операций, которые проходят на таможенной границе Украины, в том числе, и по “оборонке”».
Он также добавил, что узнать, кто именно стоит за «сливами», сложно, потому что эти системы не имеют полноценного логирования.
Существования этой проблемы подтвердил и экс-глава таможенной службы Максим Нефёдов. Он рассказал, что в ходе аудита, который инициировала его команда, стало понятно, откуда эти базы берутся в продаже, добавив, что весь процесс аудита и модернизации саботировался внутри таможни.
Системы «Инспектор» и ЕАИС не сертифицированы в Госспецсвязи. То есть, не имеют сертификата безопасности КСЗИ, хотя программы, использующееся в украинских госорганах, в особенно те, что работают с личными данными граждан, должны проходить сертификацию. На запрос AIN.UA в Госспецсвязи подтвердили, что эти системы не проходили сертификацию.
Один из способов решения проблемы, по словам Нефёдова, — полное обновление IT-инфраструктуры таможни или публикация этих же данных, но в обезличенном виде. Собственно, в апреле команда Нефёдова запустила соответствующий онлайн-сервис, позволяющий узнать ключевую статистику по внешнеторговой деятельности Украины. Это те же данные, только в обезличенном виде.
Источник: AIN
Дія», ГМСУ, Максим Нефёдов, Сервисы, Таможня, Украинские новости, Утечка данных, Утечки данных,