Чем закончилась утечка из «Здравсити»

Если компания заявляет, что утечки данных не было, стоит ли ей верить на слово?

1 февраля на одном хакерском форуме появилось сообщение о взломе онлайн-сервиса по заказу лекарств «Здравсити». Злоумышленник выставил на продажу данные почти 9 миллионов клиентов, включая имена, даты рождения, телефоны, email'ы и пр. Для подтверждения был опубликован небольшой фрагмент похищенной базы.

2 февраля об утечке сообщил телеграм-канал «Утечки баз данных». На это обратили внимание СМИ, а вскоре отреагировал и руководитель маркетплейса:

«Информация о взломе онлайн-сервиса "Здравсити" не соответствует действительности. На текущий момент мы проводим тщательное расследование инцидента. Первые выводы свидетельствуют о том, что появившаяся информация носит провокационный характер. Из пробных строк выгрузки, приведенных в качестве примера подтверждения, определенно видно, что база неактуальная».

На этом опровержении публичная история утечки закончилась. Ничего интересного.

Но не расходитесь. Из материалов судебного дела можно узнать, что было дальше.

14 февраля, спустя почти две недели, компания «Проаптека», которая, очевидно, отвечает за развитие сервиса, уведомила Роскомнадзор «о неправомерной или случайной передаче персональных данных, повлекшей нарушение прав субъектов персональных данных», а 17 февраля направила в ведомство ещё одно уведомление. Причиной инцидента был назван «несанкционированный доступ к базе данных, расположенной у внешнего подрядчика, скачивание базы данных пользователей – участников программы лояльности клиентов через создание пользователя с административными правами посредством команд API».

Через пять месяцев, 17 июля, Роскомнадзор составил по этому поводу протокол об административном правонарушении. А ещё через два месяца суд признал компанию виновной по ч.1. ст. 13.11 КоАП и назначил штраф в 60 тысяч. Представитель компании в суде с правонарушением согласился, правда, как часто бывает в таких делах, просил ограничиться предупреждением.

Но, напомню, публичная история утечки закончилась опровержением. Теперь вот и вы в курсе.

К сожалению, это, скорее, типичная история, чем исключение. Организации могут говорить что угодно, уточнять информацию их никто не обязывает, оповещать клиентов тем более. Наиболее распространённая стратегия реагирования — сидеть тише воды, ниже травы. А пока подробности инцидента остаются тайным знанием узкого круга, злоумышленники аналогичным образом ломают и другие организации. Не особо способствует повышению осведомлённости о причинах и последствиях утечек и Роскомнадзор, в основном ограничиваясь рапортами о количестве составленных протоколов (то есть о своих успехах).

Стоит ли удивляться скепсису граждан относительно способности государства и бизнеса защищать персональные данные?