Микрофинансисты поделились BigData. МФК допустила утечку персональных данных

Более миллиона кредитных историй россиян нашлись в открытом доступе.

Произошло это в результате ошибки в конфигурации базы данных на одном из серверов, предположительно принадлежавшем микрофинансовой организации.

Сейчас брешь закрыта, но из-за того, что данные были доступны для свободного скачивания долгое время, они могли быть украдены злоумышленниками.

Независимый исследователь по кибербезопасности, руководитель проекта Security Discovery Боб Дяченко сообщил в среду вечером, 16 октября, в своем Twitter об обнаруженном сервере онлайн-кредитора, на котором находились кредитные истории более миллиона россиян, полученные из бюро кредитных историй (БКИ) «Эквифакс», а также c данными сотовых операторов.

Господин Дяченко пояснил “Ъ”, что обнаружил открытую СУБД MongoDB 10 октября, но она была проиндексирована специализированными поисковиками вроде Shodan или BinaryEdge еще 28 августа.

Владелец сервера не реагировал на попытки с ним связаться. Господин Дяченко сообщил о проблеме в БКИ, после чего база данных была закрыта. Поскольку поисковики проиндексировали ее давно, то шансы, что ее кто-либо успел скачать, по его мнению, высокие.

“Ъ” изучил информацию, которая потенциально могла оказаться в руках злоумышленников. Название базы данных отсылает к микрофинансовой компании «ГринМани», выдававшей онлайн-займы. IP-адрес сервера ведет на служебную страницу сайта компании, использовавшуюся для тестирования.

База данных содержит 29 коллекций (директорий). В базе есть данные нескольких сторонних сервисов для оценки заемщиков микрофинансовых организаций, ЕСИА и сотовых операторов.

Основной объем утекшей информации приходится на кредитные истории, хранящиеся в коллекции «Эквифакс»,— свыше 1 млн записей (более 52,5 Гб).

В частности, в них содержатся полные паспортные данные и другие документы заемщика, адрес регистрации и фактического места жительства, номера телефонов, а также информация о кредитах и скоринговом балле.

Похожие данные содержатся и в коллекции ОКБ, но записей в ней намного меньше — около 130 тыс. (825 Мб).

Сотовые операторы привлекались, судя по всему, лишь для проверки телефонного номера.

МФК «ГринМани», по данным «Эксперт РА», по итогам первого полугодия 2019 года занимала 13-е место по общему размеру портфеля микрозаймов.

Однако 12 сентября ЦБ исключил ее из реестра МФО за многочисленные нарушения, связанные как с отношениями с заемщиками, так и с предоставлением недостоверной отчетности регулятору. Одна из причин — «осуществление взимания вознаграждения за услугу по предоставлению сведений в бюро кредитных историй, оказывая которую общество действовало исключительно в собственных интересах».

Гендиректор «ГринМани» Андрей Луцык заявил “Ъ”, что проводится проверка для выяснения «всей информации по данному случаю». «Компания соблюдает все требования по хранению и обработке персональных данных, предусмотренные законодательством,— заявил господин Луцык.— До окончания проверки преждевременно говорить о том, что произошла какая-либо утечка». В «Эквифакс» заверили, что оттуда данные не утекали, но не стали уточнять, предпримут ли они какие-либо действия. В ОКБ подтвердили, что «ГринМани» была одним из их клиентов с 2015 года по сентябрь 2019-го. По словам представителя ОКБ, все запросы в адрес ОКБ делались этой МФК в период до отзыва лицензии в полном соответствии с законодательством и при наличии действующего согласия заемщика. Последний запрос датирован маем 2019 года. В ЦБ заявили, что требования к обеспечению защиты информации для некредитных финансовых организаций уже установлены положением №684-П.
Несмотря на то что сервер, на котором располагалась в свободном доступе MongoDB, был тестовым, скорее всего, он содержал копию реальной базы, предназначенную для разработчиков, считает основатель DeviceLock Ашот Оганесян. По его словам, уже бывали аналогичные случаи с другими МФО.

«Даже банки часто относятся к своим обязанностям халатно, и МФО от них не отстают,— считает гендиректор Zecurion Алексей Раевский.— Пока ответственность за утечки не усилят, мы будем получать такие печальные новости».

В Китае приняли закон о криптографии

Постоянный комитет Всекитайского собрания народных представителей принял закон о криптографии, который вступит в силу с 1 января 2020 года. Это произошло на следующий день после того, как президент Китая Си Цзиньпин призвал страну «воспользоваться возможностями технологии блокчейн».

Китай пока запрещает торговлю криптовалютой и пока только планирует запустить свою цифровую валюту, отмечает издание Coindesk. Однако криптография, как неотъемлемая основа технологии блокчейн, может стать ключом к повышению конкурентоспособности страны на рынке криптовалют.

Новый закон направлен на решение возникающих регуляторных и правовых проблем в случаях использования коммерческой криптографии, поскольку они играют все более важную роль в развитии экономики Китая.

Согласно закону, власти будут контролировать криптографические стандарты. Всего же в тексте прописаны три типа шифрования —ключевые, общепринятые и коммерческие.

Закон также приняли для того, чтобы предотвратить утечки данных, способных навредить государственным структурам Китая, компаниям и частным лицам. Он также регламентирует наказания, которые полагаются в случае нарушения установленных принципов безопасности.

Новое изобретение протестующих в Гонконге. Бейсболка со встроенным блокиратором распознавания лица.

У ФНС будут новые полномочия. Это коснется всех компаний и ИП

Госдума сегодня приняла в первом чтении поправки в закон «Об электронной подписи». Этот проект касается всех организаций и ИП, поскольку изменятся правила выдачи электронных подписей.

Поправки предусматривают, что юридические лица и индивидуальные предприниматели смогут получать усиленную квалифицированную электронную подпись только в Федеральной налоговой службе, а финансовые организации — в ЦБ РФ. Аккредитованные Минкомсвязью удостоверяющие центры (УЦ), которые выдают КЭП сейчас, смогут выдавать такие подписи только физическим лицам.

При этом требования к УЦ сильно изменятся: собственный капитал должен быть увеличен с 7 млн до 500 млн — 1 млрд, размер страховой ответственности увеличивается с 30 млн до 300-500 млн рублей, срок аккредитации сокращается с 5 лет до 3 лет.

Законопроект уже вызвал острую критику как бизнеса, так и представителей власти (администрации Президента и ФСБ). Основные претензии сводятся к тому, что изменения приведут к закрытию подавляющего большинства коммерческих УЦ, потребуют значительных затрат из бюджета на расширение и поддержание мощностей УЦ ФНС, а также к концентрации всех типов рисков на единственной инфраструктуре, что станет удобной мишенью для кибератак.

Еще одна поправка, против которой выступает в том числе и Сбербанк — обязанность подписывать документы компаний не одной, а двумя усиленными квалифицированными подписями одновременно. Руководитель организации должен будет ставить на документе подпись юридического лица и личную цифровую подпись как физического лица.

Это повлечет затраты на модернизацию информационных систем организаций, чтобы они могли одновременно проверять несколько электронных подписей на одном документе. Кроме того, появляется риск нарушения личных прав граждан, так как их персональные данные могут быть скомпрометированы из-за обязанности использовать личные электронные подписи для служебных целей.

Принятие законопроекта в том виде, в котором он существует сейчас, может привести к полному коллапсу в бизнесе. Впрочем, авторы документа и его сторонники пытаются убедить всех в том, что он необходим для защиты самих предпринимателей.

Ссылка на законопроект – https://sozd.duma.gov.ru/bill/747528-7

#эп #эцп #кэп #фз63 #нпа
@ofd24

по данным от источников ко второму чтению документ будет изменен, и от идеи госмонополии на подписи для юридических лиц откажутся. Однако при этом будут кратно увеличены требования для аккредитованных удостоверяющих центров, выдающих подписи юридическим лицами, в связи с чем общее число таковых удостоверяющих центров не будет большим.

Про электронную подпись

Глава Делимобиля (каршеринг) :

«..Кстати, на одном из таких совещаний чиновники предложили установить в машины камеры с функцией распознавания лица. Нам идея понравилась, мы сейчас тестируем такую технологию. Система автоматически сверяет лицо севшего за руль человека с фотографией, которую владелец аккаунта загрузил при регистрации. Когда мы поймём, что технология работает стабильно, оснастим ею все наши автомобили..»

🔥🔥 Удивительно что этого до сих пор нет в новостях 🔥🔥

НАЦИОНАЛЬНЫЙ БАНК КАЙМАНСКИХ ОСТРОВОВ НЕ ПРОСТО ЛОМАНУЛИ, НО И СЛИЛИ ВСЕ ДАННЫЕ С БАНКОВСКИХ СЕРВАКОВ В ОТКРЫТЫЙ ДОСТУП. Эта бомба может быть даже покруче Panama Papers.

Ответственность на себя взял Phineas Fisher, который ранее сливал данные Wikileaks на Эрдогана и друзей, а также сливал инфу по поставщикам шпионского софта Hacking Team и FinFisher. Также этот хакер (команда взломщиков?) подозревался ранее в работе на российские спецслужбы. Взлом и слив произошел в годовщину смерти боливийского вождя Тупака Катари, который боролся с 18 веке с испанскими колониалиастами (о чем не забыл упомянуть Phineas Fisher). Что еще интереснее, 15 ноября (4 дня назад) он же объявил о bug bounty program с наградой до 100 тыс. долл. в криптовалюте для тех, кто найдет дыры в компаниях или организациях, хранящих социально значимую информацию. Очевидно, что офшорный банк, который может хранить личные финансовые секреты многих сильных мира сего, более чем к ним относится.

P.S. Банк уже подтвердил, что взлом был и ведется внутренее расследование.

Первые 100 тысяч электронных паспортов создадут в первом полугодии 2020 года, сообщил на рабочей встрече с президентом вице-премьер Максим Акимов.

«Проект будет реализован в двух формах — это пластиковая карта с российским чипом и мобильное приложение, которое будет сопровождать гражданина там, где особенного подтверждения юридической значимости действий не требуется. Это потребует модернизации IT-инфраструктуры, прежде всего, в Министерстве внутренних дел», — сказал Акимов.

Также вице-премьер попросил президента провести общенациональный конкурс на лучший дизайн электронного паспорта, «чтобы это было современное решение, красивое, и оно было людьми поддержано».

@tv360ru

Мэрия Москвы закупит видеоаналитику на 1,2 млрд рублей.

Мэрия Москвы провела закупку серверов для вычислительных ресурсов создающейся в столице системы распознавания лиц по картинкам с видеокамер.
Поставщиком выбрана компания «МаксимаТелеком». Сумма контракта =1,15 млрд руб.

Общая емкость оборудования составит около 9 петабайт.

Проведение закупки было объявлено ранее -
https://t.me/gip_24/4195

Япония переходит на биометрический TAX FREE в торговых автоматах
https://infovend.ru/2019/11/yaponiya-perehodit-na-biometricheskij-tax-free-v-torgovyh-avtomatah/

Правительство Японии планирует с 2020 года разрешить беспошлинные покупки в торговых автоматах, чтобы стимулировать покупательную способность иностранных туристов. В настоящее время власти предоставляют беспошлинный статус только магазинам, которые продают безрецептурные товары из-за необходимости проверять идентификацию с помощью паспортов. Но в настоящее время правительство рассматривает вопрос о том, чтобы торговые автоматы с функциями распознавания лиц и [...]

Ну,что у нас в стране произошёл первый прецедент - Савеловский суд разрешил следить за людьми через системы распознавания лиц

Решение было вынесено по иску Алены Поповой, требовавшей признать незаконным применение технологии распознавания лиц в системе видеонаблюдения. 25 ноября была опубликована мотивировочная часть решения суда.

Попова утверждала, что обработка биометрии, полученной с помощью видеонаблюдения, без письменного согласия человека нарушает закон о персональных данных, а также право на частную жизнь. В апреле 2018 г. она провела одиночный пикет около здания Госдумы, за что Тверской районный суд оштрафовал ее на 20 000 руб. Он изучил записи с видеокамер, зафиксировавших лицо Поповой, ее изображение на них было увеличено в 32 раза – это признаки применения технологии распознавания лиц. Закон о персональных данных относит к ним сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность. Без письменного согласия человека их можно обрабатывать только в случаях, описанных в законах об обороне, о безопасности и о противодействии терроризму, говорится в иске Поповой.

Ранее ДИТ Москвы поручил IT-интегратору «Ситроникс» организовать постоянное техническое сопровождение массовых мероприятий. Когда видеонаблюдение станет постоянным, в систему будет внедрена технология распознавания лиц.

Важно заместить, что в США уже в нескольких штатах суд запретил властям использовать технологию распознавания лица, а также общественность рьяно выходит на улицу с протестами.

В Австралии после успешного окончания тестов начинают рабочую эксплуатацию камер на дорогах, умеющих распознавать использование водителем мобильного телефона. Система предполагает, что картинки, на которых запечатлён водитель, держащий в руках телефон, будут предъявляться инспектору-человеку, который будет принимать окончательное решение о выписке штрафа.
При этом, в отличие от камер, фиксирующих превышение скорости, никаких предупреждающих о камере знаков на дорогах не будет — водитель должен знать, что его в любой момент могут поймать за опасным занятием. И штрафы солидные - сотни долларов плюс штрафные баллы.
С трепетом ждём новостей от нашего Дептранса;)

https://mashable.com/article/australia-automatic-cell-phone-detection-camera-driving/

В туалетах, установленных в метро нашли видеокамеры прямо над унитазами

Электронная подпись не прошла сверку

Очередная версия законопроекта вызвала критику администрации президента

Государственно-правовое управление (ГПУ) президента не поддержало очередную версию законопроекта о реформе сферы электронной цифровой подписи. Документ, уже принятый Госдумой в первом чтении в ноябре, предполагает резкое усиление роли на этом рынке Федеральной налоговой службы (ФНС) и Центробанка (ЦБ). По мнению ГПУ, это создаст «риски для стабильной предпринимательской деятельности в РФ».

ГПУ президента РФ не поддержало новую версию законопроекта об электронной цифровой подписи, следует из письма начальника управления Ларисы Брычевой руководителю аппарата правительства Константину Чуйченко от 29 ноября (копия есть у “Ъ”). В нем отмечается, что ГПУ уже дважды (копии писем от 27 февраля и 18 июля 2019 года также есть у “Ъ”) высказывало замечания по законопроекту, которые до сих пор «не учтены практически полностью».

Поправки, разработанные группой депутатов и сенаторов, были приняты Госдумой в первом чтении 7 ноября. Как сообщал ранее “Ъ”, документ предусматривает масштабную реформу системы электронных подписей. Он, в частности, предполагает, что юридические лица и индивидуальные предприниматели (ИП) смогут получать усиленную квалифицированную электронную подпись (УКЭП) только в ФНС, а финансовые организации — в ЦБ. Аккредитованные Минкомсвязью удостоверяющие центры (УЦ), которые выдают КЭП сейчас, смогут выдавать их только физическим лицам. При этом требования для таких УЦ планируют сильно ужесточить.

ГПУ считает, что наделение исключительными полномочиями в части выдачи квалифицированного сертификата электронной подписи ФНС и ЦБ «непропорционально повысит их возможности для блокировки операционной деятельности хозяйствующих субъектов, что создаст необоснованные риски для стабильной предпринимательской деятельности в РФ». Кроме того, в одном из писем управления указано, что предлагаемый подход с точки зрения ИП «не упростит процедуру подписания электронных документов, а усложнит ее».

О рисках ранее также предупреждала Федеральная нотариальная палата в письме Ларисе Брычевой от 18 июня (копия есть у “Ъ”), указывавшая на возможную «угрозу невозможности предоставления нотариальных услуг гражданам и юридическим лицам», а также риски «ликвидации рынка услуг по выдаче УКЭП как такового (более 400 УЦ) вместе с потерей всей созданной инфраструктуры». А начальник управления президента по общественным проектам Сергей Новиков в письме от 24 июля отмечал, что инициатива может привести к перегрузке государственных УЦ.

В ФНС и ЦБ не ответили на запросы “Ъ”. Ассоциация разработчиков и операторов систем электронных услуг согласна с замечаниями ГПУ к законопроекту. «В текущей версии не прописано, кто и какую понесет ответственность за выдачу УКЭП, если эта подпись была использована в мошеннических действиях, а такие случаи по факту будут происходить даже при монополизации сферы»,— считает президент ассоциации Юрий Малинин. Таким образом, по его мнению, проект в текущем виде не решает основную задачу — искоренение причин мошенничества с использованием электронной подписи.