Хакеры в подземелье: как данные пользователей могут украсть через Wi-Fi в метро

В беспроводной сети подземки найдена уязвимость. Почему оператор не провел простое тестирование, чтобы не ставить под удар миллионы москвичей и гостей столицы.

В наше время ситуации утечки персональных данных начинают входить в обычную рабочую рутину. Это начинает становиться нормой для всех: пользователей, операторов и разработчиков. Случай с утечкой персональных данных в московском метро поражает не столько масштабами (куда Москве до 58 млн пользователей Facebook), сколько безалаберностью оператора "МаксимаТелеком", подставившего под удар всех москвичей.

Подземная дыра

Судя по доступной информации , уязвимость была найдена исследователем еще около месяца назад и выложена публично в блоге на "Хабрахабр". Она заключается в том, что идентификация пользователя происходила по номеру телефона и МАС-адресу устройства. MAC-адрес устройства — это идентификатор, который вшит в чип вашего устройства, теоретически он уникальный у каждого устройства в сети: компьютера, смартфона, роутера. Однако программными средствами можно сэмулировать любой адрес, чтобы, как в случае с беспроводной сетью в Московском метрополитене, получить доступ к чужим персональным данным. Практически о любом, кто подключился к сети подземки, можно узнать, куда и по каким маршрутам он ездил.

Если бы оператор озаботился защитой информации пользователя, то шифровал бы данные и злоумышленник не смог бы узнать ничего ценного. А в этом случае оператор зашифровал только номера телефонов, по которым происходит подключение (на них приходит SMS), но остальные данные остались в исходном виде.

Безальтернативный оператор

Утечка данных из бюро кредитных историй Equifax гремела не один месяц, последовало увольнение топ-менеджеров, судебные иски. В инциденте с Facebook хватило извинений. А о случае в метрополитене почти не было реакции в соцсетях и СМИ. Все смирились?

С одной стороны, персональные данные, которые могли быть украдены через беспроводную сеть в Московском метрополитене, не несут особой ценности. Профили пользователей скорее всего есть (может быть, частично) и у других агрегаторов, и даже с большим количеством данных. Кроме того, негативный эффект снижает то, что эти данные продавались различным рекламным агентствам и по другим каналам.

С другой стороны, Московский метрополитен обрабатывает данные больше половины всех москвичей. Напомню про туристов, среди которых есть иностранные гости, а значит, надо учитывать область действия закона ЕС о персональных данных — GDPR. Последствия могут быть далеко не локальными.

Найденная уязвимость вполне банальна и должна была быть устранена на этапе тестирования бета-версии продукта или раньше, но почему-то о ней не знали. Это наводит на мысли о том, а насколько вообще нефинансовые организации пекутся о своей безопасности? Точнее, о нашей.

Вот финансовая сфера живет в мире, который более чувствителен к киберугрозам, там серьезно занимаются безопасностью. На них "давят" регламенты, риски, пользовательское недовольство в конце концов, потому что там есть что потерять — деньги, измеримые деньги. В случае потери или утечек эффект будет прямой — возмещения, судебные иски и так далее.

В случае с персональными данными потери не так очевидны, а значит, и не так страшны риски. Нет прецедентов крупных штрафов, которые могут сильно навредить бизнесу. Вот в ЕС по GDPR предусмотрен штраф в размере 4% от годового оборота компании, но в России регламенты с похожими штрафами пока что не слишком популярны, и видимо, зря. Оператора не особо заботит мнение пользователей, особенно в метро, где нет конкурентной борьбы — 3G/LTE практически не работает, выбора нет. Поэтому безопасность не в приоритете. Тем более сейчас в мире столько информационного фона, что об этом забудут через несколько дней.

Памятка выжившего

Очень интересно в разных сферах рынка видеть разный уровень развития организаций в части ИБ. Кто-то всеми способами внедряет процессы безопасной разработки, тестирует приложения, проводит аудит безопасности, а в других сферах компании не озадачиваются даже простейшими тестами на проникновение. Например, многие организации финансового сектора проходят множество аудитов на соответствие различным стандартам, проходят различные тестирования своих приложений на безопасность и не только поддерживают требуемый уровень безопасности, но и стараются его максимально улучшить.

Какие же выводы можно сделать? Пользователям повлиять было практически невозможно: хочешь интернет — держи Wi-Fi, все остальное не ловит. В результате и максимально возможная реакция: "Покричат немного, а потом забудут". Избежать повторения ситуации, когда персональные данные жителей столицы хранились в незашифрованном виде, можно только с помощью регулятора: путем введения правил, штрафов, санкций и всего того, что так не любят.

Пользователь может только запомнить, что подключение к публичным точкам Wi-Fi априори считается небезопасным. Так как получить все данные, которые вы передаете в незашифрованном виде, может как минимум хозяин точки доступа. Злоумышленник, получивший доступ к оборудованию или сымитировавший сеть, может перехватить и передаваемые персональные данные, и даже файлы, в которых часто содержатся пароли.

Несмотря на многочисленные инциденты с утечками данных, взломами различных сервисов, найденными критическими уязвимостями в различном оборудовании и ПО, компании начинают заниматься безопасностью, когда риски достигают уровня, в несколько раз превышающего стоимость внедрения этой самой системы информационной безопасности. В основном этот момент наступает после того, как происходит какой-то непоправимый инцидент. Нежелание учиться на чужих ошибках может дорого стоить, а пока непоправимой ситуации не произошло, у нас любят полагаться на старый добрый авось. Не настало ли время переосмыслить подходы?

Алексей АНТОНОВ