Поздно вечером 25 января в даркнете появилось объявление о продаже базы QR-кодов россиян, переболевших коронавирусом или сделавших прививку. Информация на 150 гигабайтов была, по словам продавца, похищена из приложения «Госуслуги СТОП Коронавирус», которое Минцифры создало для контроля за распространением COVID-19. С помощью приложения можно было в одном месте хранить сертификаты о вакцинации, справки, ПЦР-тесты и анкеты для прибывающих из-за границы прямо с телефона.
В своем объявлении продавец базы представил потенциальным покупателям ее образец: только в нем содержится 10 тысяч строк, в каждой из которых — инициалы, первые две цифры серии и последние три цифры номера паспорта, дата рождения, уникальный номер регистровой записи пациента, название вакцины и закодированный в Base64 QR-код в формате PNG со сроком действия. Всего же, утверждает обладатель базы, у него есть 48 миллионов таких записей. Расстаться с таким массивом данных продавец готов не меньше чем за 100 тысяч долларов.
Михаил Климарев, директор Общества защиты интернета, считает, что паниковать из-за очередного слива базы не стоит, однако все равно ничего хорошего в этом нет.
«Мы крайне осуждаем тех, кто торгует данными, пусть и обезличенными. Но не все так все страшно, как кажется. Утекло на самом деле не так много. Да, это все-таки персональные данные. Но хорошо, что создателям приложения один добрый человек подсказал, что не надо публиковать полностью фамилию, ведь в слитой базе только первые буквы. Так что информация утекла не полностью».
Однако, утверждает эксперт, база может послужить дополнительным инструментом для мошенников, которые могут воспользоваться информацией о QR-кодах в корыстных целях.
«Если у мошенника есть другие украденные базы данных с сайта Госуслуг (ими тоже торгуют на черном рынке), то он может сопоставить две базы. Таким образом, он получит список людей с QR-кодами и сроками их действия. Вот возможность для шантажа людей без прививок. Особенно это опасно для пожилых людей, которых, например, могут обзванивать и уведомлять о якобы выписанном штрафе за отсутствие прививки. Они придумают, там все талантливые. Могут обзванивать и тех, у кого истек сертификат. Эта база определенно может быть использована для мошенничества», — говорит Климарев.
Кроме того, у слива может быть еще один побочный эффект: утечка может стать дополнительным аргументом для противников вакцинации и QR-кодов.
После публикации объявления Минцифры объявило о начале собственной проверки. Позже в министерстве сообщили, что «угроз для безопасности личных данных пользователей приложения нет». Ситуацию прокомментировали и в «Ростелекоме»: там и вовсе заявили, что данные из базы — недействительные. «Опубликованные данные были сгенерированы вне системы и не имеют отношения к действующей базе пользователей приложения», — заявили в компании.
Создатели телеграм-канала «Утечки информации» утверждают, что выборочная проверка показала, что QR-коды все-таки действительны и ведут на сайт Госуслуг. Данные, представленные в образце продавца базы, полностью совпадают с тем, что указано на официальной странице проверки QR-кодов. При этом аналогичная проверка «Ростелекома» показала обратное.
