✍️Хакеры собрали подписи - Коммерсантъ

Не часто федеральные издания пишут про нашу сферу.

На сайты федерального удостоверяющего центра (УЦ) по выдаче цифровых электронных подписей (ЭП) совершена кибератака, в результате которой был остановлен процесс выдачи ЭП

Журналисты никогда не выучат, что же выдают удостоверяющие центры.

В Минцифры “Ъ” инцидент не прокомментировали.

Из статьи можно узнать, что атака шла с ресурсов, расположенных в США, Нидерландах и Эстонии.

В удостоверяющем центре «Контур», который работает с пострадавшей организацией, подтвердили “Ъ”, что временно недоступны информационные системы партнера, через которого «Контур» помогает получать сертификаты УЦ ФНС. «Получить сертификат определенного класса — руководителя — пока можно только через отделения ФНС»,— рассказали в компании.

Рассказали неправильно, т.к. у УЦ ФНС России есть и другие доверенные лица.

На данный момент Списки отозванных сертификатов, согласно мониторингу ГУЦ, по-прежнему недоступны, размещены по временному адресу http://62.109.21.113/

Интересная история с взломом УЦ "Основание", который пишет, что:
🔤 инфраструктура, участвующая в создании сертификатов ключей ЭП, не затронута (по выложенным хакерами скринам они получили доступ к 29 виртуалкам ESXi, с интересными названиями у некоторых, а пишут у себя они про 180 виртуалок)
🔤 криптографические ключи не скомпрометированы 🔓

Но лично мне интересно другое. Судя по тем же опубликованным скринам, там утекли и копии паспортов пользователей (о чем жертва скромно умалчивает), а это означает, что:
🔤 Если удостоверяющий центр обеспечивает взаимодействие субъектов КИИ (а среди клиентов они скорее всего были), то сам УЦ становится субъектом КИИ и должен об инциденте уведомить НКЦКИ. Судя по комментариями в канале это было сделано 🛡
🔤 Утечка персональных данных клиентов должна сопровождаться уведомлением Роскомнадзора, о чем в канале жертвы пока ни слова. Роскомнадзор тоже пока молчит.
🔤 Утечка копий паспортов означает и утечку биометрических ПДн (фотографии на паспорте к ним относятся), а значит УЦ "Основание" должен согласно приказу Минцифры №453 уведомить еще и Минцифры об инциденте, о чем жертва тоже пока молчит 🤕

Мне вот последний пункт наиболее интересен. С уведомлением РКН, НКЦКИ и даже ФинЦЕРТ все понятно - у них есть соответствующие структуры для обработки таких данных. А вот в Минцифры куда направлять сведения об инциденте? Каков порядок такого уведомления? 🤔

🏛Судебная практика: закупочная комиссия не нашла электронную подпись

🔹Заявка Участника закупки на оказание услуг была отклонена Заказчиком с основанием - предоставление Участником ненадлежащей справки о состоянии задолженности по уплате налогов в форме электронного документа, поскольку в составе документов отсутствовал файл электронной подписи *.sig, *.sgn или другом формате.
🔹По мнению Заказчика, факт того, что на трех из четырех страницах файла имелась отметка об ЭП свидетельствует о том, что заявитель самостоятельно сформировал новый «.pdf» файл.
🔹В Московское УФАС России на действия Заказчика поступила жалоба на неправомерное отклонение заявки.
🔹Комиссия УФАС установила, что Участник закупки предоставил справку, полученную с помощью системы ЭДО - АО «ПФ «СКБ Контур», содержащую встроенную электронную подпись должностного лица ФНС России (ни в 63-ФЗ, ни в приказе ФНС России ЕД-7-8/1123@ не установлена обязательность наличия отметки об электронной подписи) и выдало Заказчику предписание об устранении допущенного нарушения.
🔹Не согласившись с принятым решением УФАС, Заказчик заказчик обжаловал его в Арбитражном суде. Суды трех инстанций подтвердили законность решения Московского УФАС России.

Вместе с тем, в материалах дела имеется видеозапись выгрузки справки с АО «ПФ «СКБ Контур», из содержания которой следует, что исходный файл со справкой был получен с использованием ресурсов ЭДО и какие-либо изменения в него не вносились, единый документ подписан начальником налоговой инспекции

P.S. Само решение Арбитражного суда электронную подпись не содержит🤨

🚀Об ЭП и УЦ

📣 Минцифры России разработан Оптимизированный стандарт предоставления государственной услуги : «Аккредитация удостоверяющих центров»✅

🚀Об ЭП и УЦ

24 сентября пройдет 2-я онлайн-конференция «IT. Право. Безопасность», традиционно на стыке 3 больших тем, которая соберет множество юристов, и спикеров, и слушателей.
Красной нитью через все доклады пройдет тема защиты данных и личной безопасности, будь то утечки, цифровые улики, анализ дипфейков или буллинг в сети.

В программе:
🔥 Реформа законодательства о ПДн: первые итоги и снятие моратория — как меняется законодательство и чего ждать от новых требований. Как это повлияет на бизнес и регулирование данных.
🔥 Начальная дипфейкология: мир дипфейков - как они создаются, как их распознать, и почему это важно для вашей компании. Реальные примеры и советы.
🔥 Какие ваши доказательства? Работа с цифровыми уликами: от получения доступа до анализа и верификации.
🔥 Дискуссия. Резкий рост числа киберугроз. Основные векторы текущей криминальной активности в сети.
🔥 Кто может стать жертвой кибербуллинга? Как защитить себя в сети.

Участие бесплатное по предварительной регистрации. Приходите сами и зовите коллег!

✍️Телеграм-канал "Об ЭП и УЦ" - информационный партнер онлайн-конференции «IT. Право. Безопасность»

📣PKI-Форум. День 1

В первый день работы PKI-Форума пройдут:
🔹Стратегическая сессия "Итоги 5 лет реализации самой масштабной реформы 63-ФЗ"
🔹Экспертная панель «Итоги деятельности аккредитованных УЦ в 2024 году»
🔹Экспертная панель «Мобильная подпись: жесткие вопросы и честные ответы»

🏆Победители в ежегодных номинациях «PKI-Форума» за 2024 год

🥇Номинации:
1. За вклад в становление отрасли (ветераны) -  М.А. Игнатьева
2. За вклад в развитие отрасли - К.В. Дробаденко
3. Эксперт года - П.В. Смирнов
4. Удостоверяющий центр года - Т-Банк
5. Организация года (не УЦ) -  Национальный технологический центр цифровой криптографии
6. Продукт (решение) года - КриптоПро 5.0 CSP
7. Проект года - X5. Трансформация ЭДО
8. Региональный проект года - Обеспечение системы инженерного ЭДО ООО "Газпром проектирование" сервисом юридически-значимой проверки действительности КЭП
9. Технологии PKI в цифровой экономике - Трансграничное признание ЭП Россия-Казахстан

🚀Об ЭП и УЦ